바이낸스 63억 달러 해커가 TraderTraitor로 특정되었는데, 라자루스와 무슨 관계인가요?

11월 1일, 미국 연방수사국(FBI)이 공고를 발표하여 10월 29일 바이낸스에서 도난당한 63억 달러를 북한의 소행으로 지목했습니다. 공고에는 'TraderTraitor'라는 단어가 사용되었습니다.

이 이름을 검색해 보면, Bybit의 15억 달러, Bitget의 3억 달러, 그리고 과거 몇 년간의 여러 암호화폐 대형 사건들이 모두 이 이름과 연관되어 있음을 알 수 있습니다.

TraderTraitor는 회사도 아니고 조직도 상의 한 칸도 아닙니다. 미국 정부가 일련의 행위 유형에 붙인 코드명입니다.

2022년 4월, FBI, 미국 사이버보안 및 인프라 보안국(CISA), 미국 재무부가 공동으로 공고를 발표했는데, 번호는 AA22-108A였습니다. 그때 이 단어가 처음 공식적으로 등장했습니다. 당시에는 코인 투자 소프트웨어로 위장한 몇 가지 트로이 목마를 가리켰는데, 예를 들어 DAFOM, TokenAIS, CryptAIS 등이 있으며, 인터페이스는 그럴듯하게 만들어졌지만 설치하면 바로 개인 키를 탈취하기 시작했습니다.

이 일을 하는 주체를 업계에서는 줄곧 Lazarus Group, APT38, BlueNoroff, Stardust Chollima라고 불러왔는데, 이는 네 개의 팀이 아닙니다. Lazarus, 즉 라자루스는 총칭이며, APT38(Mandiant), BlueNoroff(카스퍼스키), Stardust Chollima(CrowdStrike)는 서로 다른 보안 회사가 같은 자금 탈취 라인에 붙인 세 가지 이름입니다.

2년 후, 이 레이블은 구체적인 행위에 적용되었습니다. 2024년 12월 23일, FBI, 미국 국방부 사이버범죄센터, 일본 경찰청이 공동으로 DMM 3억 달러 도난 사건의 귀속을 발표하면서 처음으로 "TraderTraitor로 추적되는 북한 사이버 행위자"라는 표현을 사용하고, 그 세 가지 별칭을 나열했습니다: Jade Sleet(마이크로소프트 명칭), UNC4899(구글 명칭), Slow Pisces(Palo Alto 명칭).

이제 정보가 비교적 명확해졌습니다. TraderTraitor는 Lazarus라는 대그룹 내에서 암호화폐 자산을 전문으로 다루는 조직이며, 현재 가장 큰 수익원입니다. 이 조직은 적어도 2020년부터 블록체인만을 겨냥해 왔습니다—거래 플랫폼, DeFi, 지갑 서비스 제공업체, 암호화폐 펀드, 그리고 대량의 코인을 보유한 개인까지 포함해서 말입니다.

은행 강도에서 거래 플랫폼 강도로

Lazarus는 우산 같은 이름으로, 그 아래에는 모든 것이 포함됩니다. 2014년 소니 픽처스의 하드디스크를 삭제했고, 2016년 방글라데시 중앙은행에서 자금을 빼돌렸습니다.

예를 들어 방글라데시 중앙은행 사건의 경우, 당시 공격 조직은 APT38, 또는 BlueNoroff라고 불렸습니다. 2016년 2월, 그들은 SWIFT 지시문(은행 간 송금에 사용되는 국제 전문)을 위조하여 방글라데시 중앙은행의 뉴욕 연준 계좌에서 10억 달러를 이체하려 했습니다. 최종적으로는 8,100만 달러가 성공했는데, 한 건의 이체에 철자 오류가 있어 중개 은행에서 차단되었기 때문입니다.

은행의 운영 절차를 연구하고, 수동 검토의 틈새를 찾아내며, 지시문을 위조하는 그 기술은 이후 그대로 암호화폐 거래 플랫폼으로 옮겨졌습니다.

대략 2020년 전후였습니다. 그들은 수법을 업그레이드하기 시작했고, 목표는 코인 업계였습니다. 이유도 짐작하기 쉽습니다. 돈은 많고 규제는 없으며, 유동성도 괜찮기 때문입니다.

공격 수단은 몇 가지가 있습니다.

첫 번째는 가짜 채용입니다. 헤드헌터가 LinkedIn에서 접근해 잘 이야기하다가 마지막에 '입사 전 코딩 테스트' 또는 '내부 도구' 설치 패키지를 보냅니다. 설치하면 기기가 그들의 손에 넘어갑니다. Ronin의 6억 2,000만 달러가 이렇게 사라졌습니다.

두 번째는 공급망입니다. 사람을 속이는 대신 개발자의 도구 체인을 오염시키는 것으로 바꿨습니다. GitHub의 악성 저장소, npm의 독성 패키지, JumpCloud 같은 신원 서비스 제공업체 등입니다. 한 사람이 당하면 하위의 여러 회사가 연달아 당합니다.

세 번째는 거래를 직접 바꾸는 것입니다. 일본 DMM 사건에서 그들은 상대방의 로그인 자격 증명을 훔쳐 지갑 회사 Ginco의 내부 통신에 잠입한 뒤, 정상이어야 할 이체 한 건을 바꿨습니다. Bybit 사건에서는 Safe{Wallet} 개발자 한 명의 컴퓨터를 해킹해 웹 프런트엔드에 스크립트를 삽입했고, 서명하는 사람은 여전히 정상 페이지를 보지만 실제로 서명한 것은 다른 거래였습니다.

바이낸스 이번 건도 포함됩니다.

공격자는 36시간 전에 미리 준비하여 50건의 EIP-7702 승인을 서명했습니다. 이는 이더리움의 새로운 기능으로, 지갑이 일시적으로 프로그램 한 조각을 '임대'해 사용할 수 있게 하는 것입니다. 그런 다음 바이낸스의 핫월렛이 스스로 돈을 이체하도록 했습니다. 40분 동안 10개 네트워크를 넘나들었습니다. 한 보안 회사의 결론은 그들이 바이낸스의 서명 시스템에 이미 접근했을 가능성이 높다는 것입니다.

이 조직의 범죄 금액

가장 유명한 열두 건, 97억 달러.

바이낸스 한 곳이 63억. 나머지 열한 건은 2022년부터 2026년까지 모두 합쳐 34억 4,000만 달러.

바이비트 15억 달러는 프런트엔드가 조작된 사건이었고, 로닌 6.2억 달러는 채용 사기로 유출된 것이며, 비트겟 3.88억 달러는 지갑 시스템에 심어진 위조 출금 명령이었습니다.

DMM 3.08억 달러, 와지르X 2.35억 달러, 하모니와 아토믹 각 1억 달러, 알파포 0.6억 달러, 코인엑스 0.55억 달러, 스테이크 0.41억 달러, 코인스패드 0.37억 달러입니다.

도표에서 미국 정부가 직접 TraderTraitor로 지목한 것은 바이낸스, 바이비트, DMM 세 건뿐입니다. 로닌, 하모니, 스테이크, 알파포, 코인스패드, 아토믹은 FBI가 Lazarus/APT38로 분류했고, 와지르X는 2025년 1월 미국·일본·한국의 공동 성명에서 지목되었으며, 코인엑스는 온체인 분석 기관의 추정에 불과합니다. 비트겟 건은 여러 기관이 TraderTraitor와의 연관성을 의심했지만 공식 귀속은 이루어지지 않았습니다.

TRM 집계에 따르면 북한은 2017년 이후 100건을 저질러 누적 약 128억 달러를 탈취했고, 올해만 74억 달러이며, 2026년 전 세계 암호자산 도난 총액 중 85%가 북한 계정으로 기록됩니다. 이 표는 그중 열두 건에 불과합니다.

얼굴이 확인된 인물

미국 당국이 지목하고 사진까지 남긴 북한 해커는 한 명이 아닙니다. 박진혁(Park Jin Hyok), Jon Chang Hyok, Kim Il은 모두 2021년 2월 기소장에 포함되었고, 2024년에는 Rim Jong Hyok이 추가되어 현상금 1,000만 달러가 걸렸습니다.

FBI 수배 중인 박진혁(Park Jin Hyok)

박진혁은 가장 먼저 기소된 인물입니다. 2018년 6월 미국 법무부가 형사 고발했고 같은 해 9월 기소장이 공개되었습니다. 기소장에 따르면 그가 가담한 공모에는 2014년 소니 픽처스 공격, 2017년 워너크라이, 2016년 방글라데시 중앙은행에서 빼낸 8,100만 달러가 포함됩니다. 그는 여전히 도피 중이며 법정에 한 번도 출석하지 않았습니다.

바이낸스 해킹 추적

바이낸스는 회사 자금, SAFU 펀드 및 선물 보험 기금으로 약 90%를 보충했으며, 나머지 10%는 유동성이 낮은 토큰입니다. 손실은 전적으로 회사가 부담하며 사용자가 부담하지 않습니다.

11월 1일 기준으로 약 27억 달러, 약 42%가 스테이블코인 발행사와 Arbitrum 보안 위원회에 의해 동결되었습니다. 공격자는 여전히 42만 ETH와 18,270 BTC, 약 24억 달러를 보유하고 있습니다.

자금 세탁 경로는 여전히 일반적인 방식입니다: 크로스체인 브릿지로 체인을 바꾸고, THORChain 같은 서비스로 코인을 교환하며, 믹서로 여러 사람의 코인을 섞어 분산시킨 후 최종적으로 장외 거래를 이용합니다.

이번에는 몇 가지 작은 에피소드가 있었습니다. THORChain은 최근 이더리움 체인 재구성으로 인해 바이낸스 공격 사건에서 도난당한 자금의 자금 세탁 과정이 예기치 않게 지연되었습니다. 이번 체인 재구성으로 THORChain이 10 ETH를 예치한 사용자에게 실수로 중복 환불을 하면서 프로토콜이 긴급 일시 중단되었고, 일시적으로 모든 사용자의 크로스체인 교환이 차단되었으며, 여기에는 북한 해커 조직 관련 자금 세탁 인원도 포함됩니다.

지난번 Bitget의 도난 자금이 THORChain을 거쳤을 때 THORChain은 전혀 동결하지 않았으며, 탈중앙화라서 동결할 수 없다고 말했습니다. 하지만 지난번 자체가 도난당했을 때는 그렇게 말하지 않았습니다.
THORChain이 서비스를 재개할 때, 이번 바이낸스 도난 자금이 여전히 THORChain을 거친다면 그들이 또 어떤 핑계로 얼버무릴지 모르겠습니다.

BlockBeats 공식 커뮤니티에 참여하세요:

Telegram 구독 그룹：https://t.me/theblockbeats

Telegram 토론 그룹：https://t.me/BlockBeats_App

Twitter 공식 계정：https://twitter.com/BlockBeatsAsia