NEAR 기반 밈코인 6종 만들어 탈취 자금 이동 경로 은폐
해킹 자금 3조원가량 여전히 해커 지갑에
세계 최대 규모의 암호화폐 해킹 사건으로 바이낸스에서 63억달러(약 8조원)를 탈취한 해커들이 밈코인을 활용해 일부 자금의 이동 경로를 숨기려 한 것으로 나타났다. 밈코인은 실제 통화로서 가치가 있기보다 주목을 많이 받고 커뮤니티에서 널리 퍼지면 가격이 오르는 화제성 투자상품의 일종이다.
투기성 거래가 빈번하고 수명이 짧은 밈코인의 특성을 활용, 탈취한 암호화폐 거래를 추적하기 어렵게 만들려 한 것으로 풀이된다.
10일(현지시간) 블룸버그는 블록체인 분석업체 엘립틱(Elliptic) 보고서를 인용, 해킹 발생 며칠 뒤 니어(NEAR) 블록체인 네트워크에서 최소 6개의 신규 토큰이 만들어졌다고 보도했다. 해커들은 이를 통해 탈취한 암호화폐 가운데 약 43만달러(약 5억6000만원)를 이동시켰다.
엘립틱이 확인한 토큰은 FUK, OLCCL, MEILI, MMLI, DABI, SINU 등 6종이다. 해커들은 바이낸스에서 탈취한 NEAR 토큰으로 탈중앙화 거래소에서 밈코인을 매수한 뒤, 거래 상대방으로부터 도난 자산에 해당하는 NEAR 토큰을 별도의 연관성 없는 지갑으로 받는 방식으로 자금을 옮겼다. 불법 수익이 최종적으로 어디에 도달했는지 추적하기 어렵게 하려는 것이다. 아직 움직이지 않은 도난 NEAR 토큰도 약 4400만달러어치 남아 있다.
토큰에는 전형적인 밈코인 스타일의 로고가 사용됐다. 분홍색 리본을 단 원숭이 그림이 등장하는가 하면 다른 토큰에는 '일론 2028 대통령'이라는 문구와 함께 일론 머스크 테슬라 최고경영자(CEO)의 이미지가 들어갔다. 엘립틱은 머스크가 해당 토큰과 관련이 있다는 근거는 없다고 덧붙였다.
톰 로빈슨 엘립틱 창업자 겸 수석과학자는 블로그 게시물에서 "밈코인은 매일 수천 개씩 발행·거래되고 대부분 며칠 안에 사라진다"며 "만화 캐릭터 로고를 단 단기성 토큰이 하나 더 생긴다고 해서 큰 주목을 받지 않는다"고 설명했다. 이어 "새로운 밈코인 거래 이력이 있는 지갑은 자금의 출처를 확인하지 않는 한 자금세탁업자가 아니라 투기꾼처럼 보일 수 있다"고 말했다.
이 같은 수법은 지난해 가상자산 거래소 바이비트(Bybit) 해킹 이후에도 포착됐다. 당시 북한 해커로 추정되는 세력이 탈취한 암호화폐 가운데 최소 2400만달러를 밈코인을 통해 세탁한 것으로 파악됐다. 미국 당국은 지난달 29일 발생한 바이낸스 해킹 역시 북한 소행으로 지목하며 '트레이더트레이터(TraderTraitor)' 그룹을 배후로 지목했다.
독자들의 PICK
지금 1,097명 읽는 중
거래가 자동화된 방식으로 대규모 실행됐다는 점도 특징이다. 엘립틱은 지난 7일 게시물에서 해킹 발생 일주일 만에 자금세탁 과정에 2만개가 넘는 지갑이 동원됐고 최소 6만5000건의 거래가 이뤄졌다고 밝혔다. 약 30초마다 새로운 지갑 하나가 사용되고, 10초마다 한 건의 거래가 완료된 셈이다.
해커들은 해킹과 연관된 지갑에 약 31억3000만달러(약 4조원)를 여전히 보유하고 있는 것으로 추산됐다. 대부분 비트코인과 이더리움으로 구성됐다. 발행사가 거래를 동결할 수 없는 자산으로 탈취 자금을 최대한 바꿔 자금세탁에 더 긴 시간을 확보하려 한 것으로 보인다.
도난 암호화폐 가운데 28억5000만달러(약 3조7000억원)는 동결되거나 회수 절차를 통해 차단됐다. 차단된 자산 상당 부분은 스테이블코인이었다. 스테이블코인은 미국 달러 등 다른 자산과 1대1 가치를 유지하도록 설계된 암호화폐로, 테더(Tether)와 서클 인터넷 그룹(Circle Internet Group) 같은 발행사가 토큰의 현금화를 막을 수 있다.
