엘립틱 "투기꾼 위장해 추적 교란…작년 바이비트 해킹 때도 사용된 수법"
(샌프란시스코=연합뉴스) 권영전 특파원 = 세계 최대 가상화폐 거래소 바이낸스를 해킹해 가상자산을 탈취한 북한 해커들이 일회용 밈코인을 만들어 자금을 세탁하는 수법을 동원하고 있다는 분석이 나왔다.
글로벌 블록체인 분석업체 엘립틱의 톰 로빈슨 창업자는 북한 해커들이 아무 가치가 없는 밈코인을 직접 발행해 탈취한 자금의 이동 경로를 위장하고 있다는 보고서를 9일(현지시간) 발표했다.
밈코인은 온라인상에서 유행이나 장난으로 발행돼 투자자들의 관심도에 따라 가격이 크게 변동하는 가상자산을 뜻하지만, 북한 해커들은 이를 자금 세탁용 '용기'(container)로 악용하고 있다고 보고서는 전했다.
해커들은 사실상 아무 가치가 없는 밈코인을 만든 다음 탈취한 가상자산이 든 지갑으로 이 밈코인을 사들여, 탈취 자산을 옮겼다.
이어 문제가 되는 거래 내역이 없는 지갑에 있는 밈코인을 주고 이 탈취 자산을 사들였다.
이런 과정을 거치면 외부에서 볼 때 현재 탈취 자금이 있는 지갑의 주인은 밈코인 투자로 뜻밖의 수익을 낸 일반적인 투기꾼처럼 보이게 된다.
로빈슨 창업자는 "하루에도 수천 개의 밈코인이 새로 나왔다가 며칠 만에 사라지기 때문에 단명하는 코인이 추가돼도 주목받지 않는다"고 지적했다.
해커들은 'FUK', 'OLCCL', "MEILI', 'MMLI', 'DABI', 'SINU' 등 밈 코인 6종을 새로 발행해 이 같은 자금세탁을 진행했으며, 확인된 세탁 규모는 43만 달러(약 5억8천만원)에 달한다.
해커들은 위장을 위해 이들 밈코인의 로고로 분홍색 리본을 맨 원숭이 그림이나, 'Elon 2028 President'라고 적힌 글귀 아래 일론 머스크 스페이스X·테슬라 최고경영자(CEO)의 이미지를 그려 넣기도 했다.
문제가 된 밈코인은 외부 거래자의 매매 없이 해커 연계 지갑 사이에서만 거래된 후 버려졌으며, 코인 하나를 팔아 얻은 자금으로 2∼13분 뒤 다음 코인을 발행하는 식의 연쇄 구조를 보였다.
이 수법은 역시 북한 해커들의 소행으로 지목된 바이비트 해킹 당시에도 사용됐다.
엘립틱은 블록체인상에는 모든 기록이 남기 때문에 자금이 완전히 숨겨지지는 않지만, 이와 같은 방식을 동원하면 수사기관의 추적을 지연시키는 효과가 있다고 설명했다.
북한 해커들은 바이낸스에서 자금을 탈취한 지 1주일 만에 2만 개 이상의 지갑을 동원해 6만5천 건 이상의 거래를 시행하며 자금을 세탁하고 있다. 약 30초마다 새 지갑 하나가 생성되고, 10초마다 새로운 거래가 이뤄진 셈이다.
엘립틱은 해커가 탈취한 64억3천만 달러(약 8조6천억원) 가운데 28억5천만 달러는 동결되거나 압수됐으며, 31억3천만 달러가 해커들의 손에 남아있다고 설명했다.
comma@yna.co.kr
Copyright ⓒ 연합뉴스 무단 전재 및 재배포 금지
