바이낸스 [로이터=연합뉴스 자료사진. 재판매 및 DB 금지]

세계 최대 가상화폐 거래소 바이낸스를 해킹한 북한 해커들이 일회용 밈코인을 만들어 탈취 자금을 세탁하고 있다는 분석이 나왔다. 글로벌 블록체인 분석업체 엘립틱은 해커들이 일반 투기꾼처럼 보이도록 위장해 추적을 교란한다고 설명했다.

엘립틱의 톰 로빈슨 창업자는 9일(현지시간) 보고서를 내고 이같이 밝혔다. 북한 해커들이 아무 가치가 없는 밈코인을 직접 발행해 탈취 자금의 이동 경로를 감추고 있다는 내용이다. 밈코인은 온라인상의 유행이나 장난으로 발행돼 투자자의 관심도에 따라 가격이 크게 출렁이는 가상자산이다. 보고서에 따르면 해커들은 이를 자금 세탁용 '용기'(container)로 악용했다.

세탁은 두 단계로 이뤄졌다. 해커들은 먼저 사실상 가치가 없는 밈코인을 만든 뒤, 탈취한 가상자산이 든 지갑으로 이 밈코인을 사들여 탈취 자산을 옮겼다. 이어 문제가 되는 거래 내역이 없는 지갑이 가진 밈코인을 주고 이 탈취 자산을 사들였다. 이 과정을 거치면 탈취 자금이 있는 지갑의 주인은 밈코인 투자로 뜻밖의 수익을 낸 평범한 투기꾼처럼 보인다.

이런 위장이 통하는 배경도 있다. 로빈슨 창업자는 "하루에도 수천 개의 밈코인이 새로 나왔다가 며칠 만에 사라지기 때문에 단명하는 코인이 추가돼도 주목받지 않는다"고 지적했다.

해커들은 'FUK', 'OLCCL', 'MEILI', 'MMLI', 'DABI', 'SINU' 등 밈코인 6종을 새로 발행해 세탁을 진행했다. 확인된 세탁 규모는 43만 달러(약 5억8천만원)다. 위장을 위해 로고에는 분홍색 리본을 맨 원숭이 그림을 쓰거나, 'Elon 2028 President'라는 문구 아래 일론 머스크 스페이스X·테슬라 최고경영자(CEO)의 이미지를 넣기도 했다.

거래 방식은 폐쇄적이었다. 문제의 밈코인은 외부 거래자의 매매 없이 해커 연계 지갑 사이에서만 오간 뒤 버려졌다. 코인 하나를 팔아 얻은 자금으로 2∼13분 뒤 다음 코인을 발행하는 연쇄 구조였다. 이 수법은 북한 해커들의 소행으로 지목된 바이비트 해킹 때도 쓰였다.

엘립틱은 블록체인에 모든 기록이 남기 때문에 자금이 완전히 숨겨지지는 않는다고 설명했다. 다만 이런 방식을 쓰면 수사기관의 추적을 늦추는 효과가 있다고 분석했다.

세탁 속도도 빨랐다. 북한 해커들은 바이낸스에서 자금을 탈취한 지 1주일 만에 2만 개 이상의 지갑으로 6만5천 건 이상의 거래를 벌였다. 약 30초마다 지갑 하나가 새로 만들어지고, 10초마다 새 거래가 이뤄진 셈이다.

엘립틱에 따르면 해커가 탈취한 자금은 64억3천만 달러(약 8조6천억원)다. 이 가운데 28억5천만 달러는 동결되거나 압수됐고, 31억3천만 달러가 해커들의 손에 남아 있다.

“ 저작권자 ⓒ 퍼스널포커스 무단전재 및 재배포 금지 ”