150억 달러 암호화폐 해킹 사건의 배후: 체인 상의 배트맨이 북한 해커의 자금 세탁망을 폭로하다

원문 제목：1.5억 달러의 암호화폐를 훔치는 것은 쉽지만, 현금화는 함정이다

원문 저자：Andjela Radmilac

원문 번역：Saoirse，Foresight News

2025년 2월, 북한 해커가 Bybit에서 약 15억 달러의 암호화폐를 훔쳤습니다. 이 해킹 사건은 이미 많은 보도와 분석을 받았지만, 사건의 후속 조치와 도난 자금의 행방은 거의 주목받지 못했습니다.

이 거액의 범죄 자금을 이동시키기 위해 해커는 도난 자산을 처리할 의향이 있는 인적 네트워크에 의존해야 합니다. 그리고 이렇게 형성된 관계망은 충분한 자금이 투입되면 침투될 수 있습니다.

가명 블록체인 조사관 ZachXBT는 이러한 방법을 사용했습니다. 그는 349,700개의 USDC를 꺼내어 특정 중국 세탁 네트워크의 고객으로 위장하고, 각 거래에서 5%의 손실을 기꺼이 감수했습니다. 그는 결국 중요한 단서를 확보하여 1,200만 달러 이상의 Bybit 도난 사건과 관련된 자금을 추적했습니다; 그의 설명에 따르면, 이 정보는 Tether가 442,000개의 USDT를 동결하는 데도 도움이 되었습니다.

그의 조사는 하나의 세탁 네트워크를 드러냈습니다. 그의 판단에 따르면, 이 네트워크는 북한의 Lazarus Group 암호화 도난 사건에서 발생한 10억 달러 이상의 자금을 세탁했으며, 이번 Bybit 공격에서 얻은 자금도 포함되어 있습니다.

이 조사는 규모가 큰 불법 금융 서비스 암시장에서의 단서를 제공합니다. 미국 당국은 지난 2년간 이에 대한 단속을 진행해왔습니다.

같은 해 9월, 미국 재무부는 Xinbi Guarantee(신화 보증)에 대해 제재를 시행했습니다. 미국 측은 2022년부터 이 거래 플랫폼이 자체 시스템을 통해 240억 달러 이상의 디지털 자산과 법정 화폐 거래를 처리했으며, 북한 해커가 이 플랫폼 서비스를 이용하는 불법 주체 중 하나라고 밝혔습니다.

재무부는 또한 Huione Group(회왕 그룹)이 제재를 받은 후 범죄자들이 Xinbi Guarantee를 이용해 불법 활동을 계속하고 있다고 언급했습니다. 이는 단순히 하나의 거래 플랫폼을 중단하는 것으로는 뒤에 있는 인맥 관계와 범죄 수요를 근절할 수 없음을 보여줍니다.

믿기 어려운 것은: 거래소를 침입하고 자금을 훔치는 것은 전체 범죄 사슬에서 상대적으로 간단한 단계에 불과하다는 것입니다. 진짜 어려운 점은 훔친 암호화폐를 법정 화폐나 실제 구매력이 있는 다른 자산으로 교환하는 것입니다.

현금화를 완료하기 위해 해커는 다양한 결제 서비스와 회색 인맥을 이용해야 하며, 이는 조사관과 규제 기관에게 개입할 수 있는 돌파구를 남깁니다.

349,700개의 USDC를 투입한 '잠입 고객'

2025년 2월 26일, FBI는 Bybit 도난 사건이 북한 해커의 소행이라고 판단하고, 작전 코드명 TraderTraitor를 발표하며 경고했습니다: 도난 자산이 비트코인 및 기타 암호화폐로 변환되고 있으며, 수천 개의 블록체인 주소로 분산되고 있습니다.

해커의 신원은 곧 확인되었지만, 범죄 자금을 처리하는 중개 기관을 찾기 위해서는 여전히 많은 조사 작업이 필요했습니다.

ZachXBT는 Telegram과 Discord의 공개 그룹에서 Bybit 범죄 자금과 관련된 거래를 수행하는 15개 이상의 계정을 발견했다고 말했습니다. 이는 적어도 일부 세탁 단계에서 중개자가 공개적으로 사업을 모집하고 거래를 성사시킨다는 것을 의미합니다.

그는 그 중 몇 개의 계정에 연락을 취했고, 결국 전보 닉네임이 Jimmy Green인 연락처와 연결되었습니다. 그 상대방은 암호화폐의 크로스 체인 전송을 도와줄 수 있다고 주장했습니다.

ZachXBT는 2025년 3월 6일, 새로운 이더리움 주소로 349,700개의 USDC를 전송하고, 그 연락처를 통해 이더리움 체인의 USDC를 트론 체인의 USDT로 교환했습니다. 그는 실제 고객의 신원을 형성하기 위해 불리한 교환 조건을 수용했습니다.

이 349,700개의 USDC는 거래를 위한 원금이며, 조사가 가져온 순손실이 아닙니다; 그는 각 거래에서 5%의 손실을 감수하고, 일반적인 체인 분석으로는 얻을 수 없는 정보를 얻기 위해 이를 선택했습니다.

이러한 거래 자체도 위험을 내포하고 있습니다: 중개자가 직접 자금을 빼돌릴 가능성이 있습니다.

해커가 의존하는 중개자 또한 배신하거나 도난 자금을 가로챌 수 있습니다. 강제력이 있는 상업적 보장이 존재하지 않기 때문에, 업계의 평판과 개인적인 관계가 이 협력을 유지하는 핵심이 됩니다.

이것은 ZachXBT에게 침투 기회를 제공합니다: 서비스 제공자에게 반복적으로 거래를 수행할 의향이 있는 고객은 더 높은 가치를 지닙니다.

이 잠입 관계 덕분에 그는 지갑 주소에 국한되지 않은 정보를 얻었습니다. 중개자는 거래를 실행하기 전에 그와 자금 이동 계획을 논의합니다. ZachXBT는 비공식적으로 소통한 내용을 블록체인에 남겨진 거래 기록과 교차 비교할 수 있었습니다.

한 번은 중개자가 거래가 발생하기도 전에 자금을 솔라나 체인으로 이동시키는 것에 대해 그와 논의했습니다. 나머지 교환 기록 및 지갑 연관 단서들은 그가 Bybit 도난 사건과 관련된 자산을 대량으로 잠금할 수 있도록 도와주었습니다.

이것은 조사의 중요한 전환점입니다: 체인 상의 데이터는 거래 행동만 기록할 수 있으며, 거래 뒤에 있는 행위자와 그들의 진짜 동기를 확인할 수 없습니다. 거래 쌍방의 비공식 소통 기록이 자금의 통제자를 잠금하고 자금의 용도를 명확히 하는 핵심 증거입니다.

비록 ZachXBT의 조사 결론이 FBI의 공식 기록과 완전히 일치하지는 않지만, 이는 최근 몇 년간 매우 중요한 조사 작업입니다. 이는 블록체인 데이터만으로는 완료할 수 없는 작업이 인맥 관계와 상업적 거래를 통해 증거를 확보할 수 있음을 증명합니다; 유사한 방법이 다른 암호화 도난 사건의 조사에도 적용될 가능성이 있습니다.

1,200만 달러 추적 = 1,200만 달러 회수 성공 아님

ZachXBT는 Jimmy Green과의 연결을 통해 여러 블록체인에 분산된 Bybit 관련 자금 집단을 총 1,200만 달러 이상으로 확인했다고 말했습니다.

그는 또한 Tether가 북한 해커 사건과 관련된 442,000개의 USDT를 동결했다고 밝혔습니다. 이는 도난 자금이 여전히 발행자가 관리하는 USDT, USDC와 같은 토큰에 머물러 있을 때, 도난 자산을 신속하게 식별하는 것이 손실을 회복하는 데 중요하다는 것을 보여줍니다.

두 그룹의 데이터를 구분해야 합니다: 1,200만 달러를 추적했다고 해서 이 자금이 모두 동결된 것은 아닙니다; 442,000개의 USDT가 동결되었다고 해서 이 토큰이 이미 압수되어 Bybit에 반환된 것은 아닙니다.

442,000개의 USDT라는 숫자와 이 동결과 이번 조사의 연관성은 모두 ZachXBT의 개인적인 진술에서 나온 것입니다; Tether는 또한 Bybit 도난 사건과 관련하여 더 큰 규모의 동결 작업을 발표한 적이 있습니다.

도난당한 암호화폐를 발견하고, 중개자를 찾고, 도난 자금에 대한 법적 또는 기술적 통제권을 확보하는 것 사이에는 큰 간극이 존재합니다.

공식 블록체인은 자산이 다시 이동되는 것을 막을 수 없습니다. 자금이 조사에 협조하지 않거나 사법 관할권 밖에 있는 서비스 플랫폼을 통과하면 상황은 더욱 복잡해집니다.

중앙 집중식으로 발행된 스테이블코인은 규제가 개입할 수 있는 수단을 제공합니다: 발행자는 특정 주소의 송금을 제한할 수 있는 관리 권한을 가지고 있습니다. 원주율 비트코인은 발행자가 제공하는 동결 메커니즘이 존재하지 않습니다; 그러나 당국이 합법적인 권한을 얻으면 여전히 관리 기관이 보관하는 비트코인을 압수하거나 해당 개인 키를 통제할 수 있습니다.

이는 조사가 정확한 추적을 요구할 뿐만 아니라, 발견된 자금 잔액이 기술적 능력과 법 집행 권한이 있는 기관의 관할 범위 내에 있어야 함을 의미합니다.

Bybit가 자산 회수 작업을 진행하는 동안, 법원 명령과 금융 중개자의 협력은 도난 사건이 발생한 후에도 자산의 흐름을 제한할 수 있지만, 전액 회수를 보장할 수는 없습니다.

문제는 도난당한 암호화폐가 서로 다른 지갑, 공공 블록체인, 관리 기관 및 거래 상대방 간에 지속적으로 분할되고 흐른다는 것입니다. 자금이 새로운 플랫폼을 거칠 때마다, 추적자는 종종 새로운 증거를 수집하고 새로운 법적 절차를 시작해야 합니다.

이것이 조사관들이 자금의 흐름을 명확히 볼 수 있지만, 다음 송금을 막거나 도난 자금을 되찾는 데 무력한 이유입니다.

400억 달러 규모의 암호화 세탁 사업

외부 중개자를 통해 도난 자금을 세탁하는 것은 Bybit 도난 사건에만 국한된 현상이 아닙니다. 미국 법 집행 기록에 따르면, 당국은 오랜 기간 동안 다양한 회색 사업을 추적해왔습니다 ------ 이들 사업은 도난당한 암호화폐를 범죄자가 실제로 사용할 수 있는 자산으로 전환하는 데 특화되어 있습니다.

2020년 3월, 미국 법무부는 두 명의 중국 시민인 전인인과 이가동을 기소하며, 이들이 1억 달러 이상의 암호화폐를 세탁했다고 주장했습니다. 도난 자금의 대부분은 거래소 해킹 공격에서 발생했습니다.

이러한 기소는 해커 침입을 직접 수행하지 않더라도, 중개자가 전체 범죄 사슬에서 여전히 핵심 역할을 한다는 것을 보여줍니다.

재무부의 제재 공고는 또한 전인인이 거의 140만 달러의 비트코인을 애플 iTunes 선불 기프트 카드로 교환했다고 밝혔습니다. 이는 세탁 체인의 끝이 복잡한 다국적 금융 서비스일 필요는 없으며, 일반 소매 선불 카드도 활용될 수 있음을 보여줍니다.

같은 현금화 수요는 범죄자와 결제, 교환, 결제 서비스 제공업체 간의 거래 플랫폼에서 더 큰 규모로 운영됩니다.

2025년 5월, 미국 재무부 금융 범죄 단속 네트워크(FinCEN)는 캄보디아에 본사를 둔 Huione Group(회왕 그룹)을 주요 세탁 금융 기관으로 지정했습니다. 조사에 따르면, 2021년 8월부터 2025년 1월까지 이 그룹이 세탁한 불법 소득은 최소 400억 달러에 달합니다.

그 중 FinCEN은 최소 3,700만 달러의 암호화폐가 북한의 사이버 도난에서 발생했다고 확인했습니다. 나머지 도난 자금은 다양한 투자 사기 및 사이버 사기에서 발생했습니다.

400억 달러는 위의 모든 범죄 행위의 총액이며; 3,700만 달러는 해당 기관이 확인한 북한 관련 도난 자금의 최소 평가액입니다.

FinCEN의 평가 보고서는 이 그룹의 반세탁 및 고객 신원 확인 메커니즘에 심각한 결함이 있음을 지적했습니다. 신원 확인의 결여로 인해 그룹의 하위 기관이 북한 해커 공격에서 얻은 도난 자금을 간접적으로 수령할 수 있었습니다.

이 조사의 의미는 단일 거래에 국한되지 않습니다. 만약 하나의 중개자가 지속적으로 결제 경로를 제공할 수 있다면, 이는 여러 범죄 집단이 공유하는 범죄 기반 시설이 되며, 각 범죄 조직은 스스로 도난 자금을 현금화할 경로를 구축할 필요가 없습니다.

자금이 이러한 플랫폼에 대량으로 집중되면, 이들은 제재, 자산 압수, 은행 협력 차단 및 기타 법 집행 조치의 타겟이 됩니다.

Huione Group의 거래 플랫폼은 대량의 거래와 불법 사업을 수행했습니다. 비록 Telegram이 해당 네트워크의 일부 채널을 차단했지만, 플랫폼 운영자는 여전히 사업 운영을 유지하려고 시도했습니다.

플랫폼의 총 거래량과 FinCEN이 통계적으로 확인한 불법 소득은 통계 기준이 다르며, 플랫폼을 통과한 모든 자금을 이미 확인된 범죄 자금으로 직접 인정할 수는 없습니다.

범죄 플랫폼은 폐쇄할 수 있지만, 범죄 고객은 여전히 존재한다

문제는: 비록 불법 거래 플랫폼의 기반 시설이 파괴되더라도, 이러한 사업을 촉진하는 범죄 수요는 사라지지 않으며, 범죄자들이 여전히 다른 대체 서비스 제공업체와 연락할 수 있는 한 계속 존재합니다.

2026년 6월, 미국 법무부는 Huione Group 자회사가 사용하는 클라우드 서버 백엔드를 압수한다고 발표했습니다. 이 서버들은 사기, 사이버 범죄 및 기타 불법 활동의 수익을 이동하는 데 사용되었다고 합니다.

이번 조치는 미국 측이 해당 그룹에 대해 이전에 제한 조치를 취한 후에 진행되었으며, 불법 자금 이동 및 자산 은닉을 지원하는 기술 시설을 목표로 하고 있습니다.

그러나 기반 시설을 파괴한다고 해서 범죄 고객과 수주 중개자 간의 연결이 자동으로 끊어지지는 않습니다.

9월 9일, 재무부의 제재 공고는 이 한계를 명확히 드러냈다: 당국은 Xinbi 보증을 제재했다. 이는 범죄 조직과 금융 서비스, 기술 및 기타 자원을 제공할 수 있는 상인을 연결하는 불법 거래 시장이다.

재무부는 2022년 전후부터 Xinbi가 처리한 디지털 자산과 법정 화폐 거래 총 규모가 240억 달러를 초과한다고 밝혔다. 사업은 주로 동남아시아 시장을 대상으로 한다.

이처럼 방대한 규모는 해당 플랫폼을 범죄 조직의 금융 기반 시설 단속 작전의 주요 대상으로 만들었다.

재무부는 또한 FinCEN이 Huione를 단속한 이후, 사이버 범죄자들이 Xinbi로 사업을 이전하여 운영을 유지하고 있다고 언급했다. 이 새로운 플랫폼은 동일한 고객에게 거의 완전히 동일한 서비스를 제공한다.

규제 기관은 시장화된 회색 생태계를 묘사했다: 기존 경로가 단속으로 인해 더 이상 신뢰할 수 없게 되면, 참여자들은 다음 서비스 제공자를 찾게 된다.

Huione에 대한 단속 작전 기간 동안, 텔레그램은 수천 개의 Huione 보증 관련 채널을 삭제했으며, 관련 상인들은 다른 대체 거래 플랫폼으로 이동했다.

이로 인해 단속 작전의 효과는 단순히 폐쇄된 웹사이트, 계정, 서버 수로 측정할 수 없다. 범죄 고객이 여전히 불법 금융 서비스에 대한 수요가 있다면, 여전히 운영 중인 서비스 제공자를 찾기 위해 방법을 찾을 것이다.

물론, 단속 작전은 여전히 범죄 비용을 높일 것이다. 예를 들어 자산이 동결되거나, 결제가 실패하거나, 익숙한 거래 상대방이 사라지는 등의 상황이 발생할 수 있다. 그러나 범죄 행위가 이익이 된다면, 불법 자금을 이동시키려는 경제적 동기는 계속 존재할 것이다.

법 집행 기관이 직면한 딜레마는 전체 대체 서비스 제공자 네트워크의 범죄 비용을 지속적으로 높이고, 그들의 사업 안정성을 낮추는 것이다.

테더 동결 조치, 암호화폐 세탁 네트워크를 다른 결제 수단으로 전환

Xinbi 보증에 대한 법 집행 작전은 금융 제한이 범죄 활동을 방해할 수 있지만, 범죄 집단이 결제 경로를 변경하도록 강요할 수 있음을 보여준다.

테더는 최소 22개의 Xinbi 관련 지갑에서 총 4,500만 달러 이상의 USDT를 동결하는 일련의 동결 조치를 시행했다.

즉시 해당 거래 플랫폼은 사용자에게 USDD로 전환할 것이라고 알렸다. 이 스테이블코인은 USDT와 달리 발행자가 주소 동결 권한이 없다.

이는 중요한 전환점이다: 사건에 연루된 자금이 여전히 발행자의 통제 범위 내에 있을 때, 토큰 동결 기능은 조사자에게 매우 가치가 있다; 규제를 회피하려는 범죄 고객은 통제 메커니즘이 다른 자산을 선택하는 경향이 있다.

이 사건은 결제 시스템의 어느 한 환 이 제한을 받으면 거래가 다른 경로로 흐르게 된다는 것을 보여준다. 조사자는 자산의 흐름을 추적해야 할 뿐만 아니라, 경로를 제공하는 서비스 제공자를 추적해야 한다.

9월의 단속 작전에서 당국은 또한 Xinbi의 관련 기반 시설을 단속하고, 5,200만 달러 이상의 암호화폐를 압수했다. 동시에 자산 인출 속도가 빨라지고, 경쟁 거래 플랫폼은 세탁 상인의 입주를 제한하기 시작했다고 전해진다.

위 사건은 ZachXBT가 언급한 북한 해커와 관련된 442,000개의 USDT 동결 사건과는 별개의 사건이다. 공개된 보도는 두 사건이 동일한 주소, 인물 또는 자금과 관련이 있음을 확인할 수 없다.

그러나 두 사례 모두 하나의 사실을 입증한다: 범죄 집단은 금융 중개인에 크게 의존한다. 원래의 도난이 완료되었더라도, 중개 서비스는 여전히 규제가 개입할 수 있는 창구를 남긴다.

만약 토큰 발행자가 자산 동결 능력을 갖추고 있다면, 위험은 식별 가능한 주소 내의 자금 잔액에 집중된다. 하나의 플랫폼이 여러 범죄 집단에 서비스를 제공한다면, 그 약점은 기반 시설, 상인 인맥, 결제 조정에 포함된다.

두 경로 모두 자금 이동 및 사용의 비용과 위험을 증가시킬 수 있다.

거래를 중개하는 중개인, 더 이상 대체하기 어려워

ZachXBT의 조사가 돌파구를 찾을 수 있었던 핵심은 유료 잠입 수사를 통해 고객 관계를 구축함으로써 거래를 주선하는 인물 정보를 발굴할 수 있었기 때문이다.

장기간 도난당한 암호화폐를 다룬 범죄 중개인은 업계 내에서 평판을 쌓고, 고정된 거래 파트너를 선별하며, 어떤 서비스가 거래를 완료할 수 있고, 자금을 가로채지 않을지를 파악하게 된다.

이러한 인맥 관계는 범죄 운영이 시간이 지남에 따라 더욱 효율적으로 변하게 만든다. 특히 고객이 대규모 송금을 필요로 할 때, 신원을 드러내고 싶지 않거나 거래 상대방이 자금을 가로챌까 걱정할 때 더욱 그렇다.

그러나 일단 기존의 서비스 제공자가 단속되면, 이 협력 관계는 빠르게 재건하기 어렵다. 대체 서비스 제공자는 종종 더 높은 수수료를 부과하거나 의심스러운 자금을 거부하거나, 사업 안정성이 부족하다.

이러한 의존 관계는 조사에 새로운 정보 출처를 제공하기도 한다. 서비스 제공자는 향후 거래 계획, 다른 참여자, 그리고 주문을 완료하는 데 필요한 결제 기반 시설을 공개할 수 있다.

조사자는 여전히 블록체인 기록과 다른 증거를 결합하여 정보를 검증해야 한다. 하나의 주소가 도난과 관련된 자금을 수령했다고 해서 수령자가 이를 알고 있거나 주관적으로 범죄에 참여하고 있다는 것을 의미하지 않는다.

그러나 비공식적인 채팅 기록과 후속 블록체인 자금 흐름을 교차 비교하면 정보의 불확실성을 줄일 수 있다. 이는 단순히 거래 흐름을 추적하는 것만으로는 할 수 없는 일이다.

더 많은 법 집행 사례는 불법 금융 서비스의 매력을 약화시키기 위해서는 단순히 정기적으로 웹사이트를 폐쇄하는 것만으로는 부족하다는 것을 보여준다. 이러한 사업을 촉진하는 고객 집단과 이익 동기는 웹사이트 서버의 생존보다 더 오래 지속될 수 있다.

그러나 자산을 압수하고, 금융 경로를 차단하고, 서비스 제공자를 기소하고, 결제 통제자를 잠금 해제하는 것은 범죄 행위의 비용과 수익을 변화시킬 수 있다. 단지 서로 다른 서비스 제공자가 감당할 수 있는 위험의 한계점은 각기 다르다.

이것은 또한 암호화폐의 도난 총액이 범죄자가 성공적으로 현금화하여 사용할 수 있는 자금과 동일하지 않다는 것을 설명한다; 더 나아가 이 자금이 특정 군사적 또는 국가적 지출에 사용되었다고 직접적으로 단정할 수 없다.

원래 도난당한 금액, 중개 주소의 유통 금액, 실제 구매력으로 성공적으로 교환된 금액, 그리고 법 집행 기관이 최종적으로 회수한 금액은 서로 독립적인 네 가지 통계 기준으로, 각각 별도로 입증해야 한다.

북한 해커에게는 침투 작전이 성공하더라도, 세탁 서비스에 의존하는 것은 후속 위험을 초래할 수 있다. 도난 자산을 확보했다고 해서 누군가가 이를 수령하고, 교환하며, 최종적으로 소비할 의사가 있는 것은 아니다.

ZachXBT의 잠입 작전은 이러한 현금화 수요가 고객 관계를 조사 돌파구로 전환할 수 있음을 보여준다. 미국의 Huione와 Xinbi에 대한 단속 작전 또한 범죄 고객이 계속해서 진지를 변경하더라도, 회색 서비스 제공자 자체가 여전히 법 집행의 단속 목표가 될 수 있음을 증명한다.

범죄 행위의 핵심 약점은 암호화폐를 도난하는 것과 실제로 암호화폐를 사용하는 것은 완전히 다른 문제라는 것이다. 후자는 여전히 상업적 협력 관계에 의존하며, 모든 참여자는 보존해야 할 자산, 명성 및 경제적 이익이 있다.

북한 해커가 도난 자금을 소비할 수 있는 돈으로 바꾸려면, 다시 신뢰를 구축해야 하는 인맥 네트워크에 발을 들여야 한다; 서비스를 제공하는 중개인 또한 자금 손실의 위험을 감수해야 한다.