세계 최대 가상자산 거래소 바이낸스에서 자금을 빼돌린 북한 해커들이 가치 없는 일회용 밈코인을 자체 제작해 자금을 세탁하는 수법을 동원하고 있다는 분석이 나왔다. 탈취한 자금 이동 경로를 위장하기 위해 유행성 코인을 일종의 ‘세탁용 바구니’로 악용한 셈이다.
블록체인 분석업체 엘립틱의 톰 로빈슨 창업자는 북한 해커들이 무가치한 밈코인을 직접 발행한 뒤 자금 흐름을 교란하고 있다는 내용의 보고서를 9일(현지시간)쯤 발표했다.
◆ 가짜 코인 사들이며 ‘대박 투자자’ 위장
수법은 치밀했다. 해커들은 실체가 없는 밈코인을 만든 다음 탈취 자산이 보관된 지갑을 동원해 이를 사들였다. 이후 해킹 이력이 없는 깨끗한 지갑으로 해당 코인을 재매각했다.
이 같은 연쇄 거래를 거치면 제3자 시선에는 최종 지갑 소유주가 단지 밈코인 급등으로 우연히 거액을 번 일반 투기꾼처럼 위장된다.
톰 로빈슨 창업자는 “하루에도 수천 개의 밈코인이 생겨났다 며칠 만에 사라지기 때문에 단명하는 코인이 추가돼도 시장의 의심을 사지 않는다”고 지적했다.
◆ 머스크 얼굴 박아 유령 코인 연쇄 발행
조사 결과 해커들은 ‘FUK’, ‘OLCCL’, ‘MEILI’, ‘MMLI’, ‘DABI’, ‘SINU’ 등 총 6종의 밈코인을 급조했다. 현재까지 파악된 자금세탁 규모만 43만 달러(약 5억 8000만 원) 수준이다.
일반적인 밈코인처럼 보이기 위한 속임수도 동원됐다. 분홍 리본을 맨 원숭이나 ‘Elon 2028 President’ 문구가 적힌 일론 머스크의 얼굴을 코인 로고로 합성해 유포했다.
해당 코인들은 일반 투자자 거래 없이 해커 조직이 통제하는 지갑 사이에서만 2분에서 13분 간격으로 빠르게 순환 거래된 뒤 즉각 폐기됐다. 앞서 북한의 소행으로 지목된 가상자산 거래소 바이비트 공격 당시에도 동일한 패턴이 확인된 바 있다.
◆ 10초마다 1건씩 거래… 추적 지연 노려
엘립틱은 공개 분산원장인 블록체인의 특성상 자금 흐름이 완전히 지워지지는 않지만, 수사기관의 추적 속도를 늦추는 교란 효과가 상당하다고 분석했다.
실제로 북한 해커들은 바이낸스 공격 후 일주일간 2만 개 이상의 지갑을 쪼개 쓰며 6만 5000건이 넘는 거래를 일으켰다. 약 30초마다 신규 지갑을 생성하고 10초마다 거래를 실행한 셈이다.
현재까지 확인된 총 탈취액 64억 3000만 달러(약 8조 6000억 원) 중 동결·압수된 액수는 28억 5000만 달러다. 나머지 31억 3000만 달러(약 4조 1860억 원)는 여전히 해커 조직의 통제권 아래 남아있는 것으로 전해졌다.