10월 29일 바이낸스 지갑에서 약 63억 달러 상당의 암호화폐가 탈취됐다. TRM Labs 분석에 따르면 피해액 대부분은 약 20분 동안 빠져나갔으며, 바이낸스와 다른 암호화폐 업체들은 지금까지 약 절반을 동결했다. 북한 해커 집단의 소행일 가능성이 제기됐지만, 바이낸스와 법 집행기관은 아직 연관성을 확인하지 않았다.

TRM Labs는 최소 10개 블록체인에 걸친 바이낸스 지갑이 털려 공격자가 관리하는 여러 주소로 자금이 옮겨졌다고 분석했다. 공격 준비는 탈취 최소 36시간 전에 시작됐다. 공격자는 소액 출금으로 시험한 뒤 코드를 두 지갑에서 테스트하고, 최종 버전을 리허설한 지 4시간 뒤 바이낸스의 인터넷 연결 지갑인 핫월렛에 설치했다고 TRM Labs는 밝혔다.

바이낸스는 해킹 조사와 함께 입출금을 거의 즉시 중단했고, 손실액을 모두 보전하겠다고 밝혔다. 회사의 초기 조사는 엔지니어의 노트북이 침해됐을 가능성을 가리켰지만, 이후 조사에서 추가 침해 지점이 드러났다고 바이낸스는 설명했다. 회사는 법 집행기관과 협력해 공격 책임자를 찾고 있다.

TRM Labs와 Chainalysis는 북한 해커 집단 TraderTraitor가 공격에 관여했을 가능성을 제기했다. 두 업체는 온체인·오프체인 활동 분석을 근거로 들었다. Chainalysis는 탈취 자금이 전월 Bitget 해킹에서 나온 자금과 섞이는 장면을 실시간으로 관찰했다고 밝혔다. Elliptic의 공동창업자이자 수석 과학자인 톰 로빈슨(Tom Robinson)은 이번 공격을 TraderTraitor와 직접 연결하지는 않았지만 활동에서 겹치는 점이 있다고 말했다.

바이낸스와 법 집행기관은 북한 해커와의 연관성을 공식적으로 지목하지 않았다. 미국 연방수사국(FBI)은 지난해 TraderTraitor를 암호화폐 거래소 Bybit에서 발생한 15억 달러 규모 해킹의 배후로 지목했다. 보안업체 Sophos의 위협 인텔리전스 선임 이사 레이프 필링(Rafe Pilling)은 TraderTraitor가 대형 탈중앙 금융 조직을 노리고 가짜 애플리케이션을 만들어 침투를 시도한 전력이 있다고 설명했다.

Elliptic의 로빈슨은 약 28억 달러, 전체 탈취액의 약 44%가 동결됐으며 대부분 스테이블코인이라고 추산했다. 나머지 약 33억 달러는 주로 비트코인, 이더리움, XRP로, 거래소나 다른 서비스에 도달하기 전에는 동결할 수 없다고 그는 말했다. Chainalysis는 자금 세탁 과정에서 이전에 보지 못한 패턴을 발견했고, 빠르게 처리되는 수천 건의 거래가 자금 흐름을 감추기 위한 자동화를 시사한다고 밝혔다.

참고 자료: TRM Labs 분석, Chainalysis 분석, FBI의 TraderTraitor 관련 발표.