727 Finance바이비트 사건을 되짚어보면, 해커들이 10일 만에 50만 ETH를 BTC로 전환한 과정과 크로스체인 코인 세탁 및 지하 OTC 현금화의 전 과정이 드러났다. ETH 매도 압력은 집중되었고 BTC 영향은 제한적이었으며, 해커들은 대폭락의 주요 원인이 아니었다.
Author: SoSoValue Research
10월 29일 저녁, 바이낸스는 역사상 최대 규모의 해커 공격으로 의심되는 사건을 겪었다. Chainalysis는 탈취 금액을 약 59억 달러로 추정하며, 온체인 탐정 ZachXBT는 이 공격이 북한의 Lazarus에 의해 수행되었을 가능성이 가장 높다고 본다.
많은 사람들이 우려한다: 해커들은 이 코인들을 어떻게 처리할 것인가? 매도할 것인가? 이 질문에 답하기 위한 최고의 참고 자료는 같은 조직이 2025년 2월에 수행한 Bybit 사건이다.
I. Bybit 사건 회고: 50만 ETH, 10일 만에 전부 BTC로 전환
2025년 2월 21일, Bybit에서 약 50만 ETH가 탈취되었으며, 당시 가치는 약 14억 달러로 그 시점까지 역사상 최대 규모의 암호화폐 절도 사건이었다.
해커들은 매우 빠르게 움직였다:
● 1일차: 먼저 stETH, mETH 등의 스테이킹 파생상품을 네이티브 ETH로 전환한 후, 다수의 주소로 분산했다.
● 5일차: 최소 16만 ETH가 이미 THORChain을 통해 크로스체인 전송되었다.
● 9일차: 하루에 또 62,200 ETH가 전송되어 누적 약 343,000 ETH가 이동되었다.
● 10~12일차: Arkham은 약 50만 ETH가 모두 이더리움에서 네이티브 BTC로 브릿지되었음을 확인했다.
어떤 채널이 사용되었는가?
● THORChain (탈중앙화 크로스체인 프로토콜): 약 72%, 361,000 ETH
● eXch (노-KYC 거래소 플랫폼): 약 16%, 79,700 ETH
● OKX Web3 Wallet: 약 8%, 40,000 ETH
THORChain은 이로써 약 550만 달러의 수수료를 벌어들여 커뮤니티로부터 강한 비판을 받았다. eXch는 이후 2025년 5월 1일 서비스 종료를 발표했다.
궁극적으로 얼마나 복구될 수 있었는가? 두 달 후, Bybit CEO는 68.6%가 추적 가능한 상태로 남아 있고, 27.6%는 "사라졌으며", 단 3.8%만 동결되었다는 수치를 발표했다.
결론: 탈취된 ETH의 거의 전부가 BTC로 전환되었으며, 실제로 복구된 것은 4% 미만이었다.
II. 해커들은 왜 반드시 BTC로 전환해야 하는가?
1. 아무도 동결할 수 없다
2. USDT와 USDC는 언제든지 주소를 블랙리스트에 올릴 수 있는 발행자가 있다. 이번 바이낸스 사건에서 Tether와 Circle은 약 24억 달러의 스테이블코인을 신속히 동결했다. ETH 자체는 동결할 수 없지만, 이더리움 생태계의 DEX, 대출 프로토콜, 크로스체인 브릿지 등이 모두 차단할 수 있다. 비트코인 체인에는 그러한 "검문소"가 없다.
3. 가장 깊은 유동성과 가장 높은 수용도
4. 전 세계 어느 장외 딜러든 BTC를 받는다. MIT Technology Review는 이미 2020년에 해커들이 궁극적으로 비트코인으로 돌아가는 경향이 있다고 지적했는데, 다른 어떤 코인도 그렇게 널리 수용되거나 현금화하기 쉬운 코인이 없기 때문이다.
5. 장기 보관에 적합
6. Lazarus는 국가급 해커 조직으로서 자금을 서둘러 사용할 필요가 없다. BTC는 몇 달 또는 몇 년 동안 보유할 수 있으며, 열기가 식기를 기다렸다가 분할하여 현금화할 수 있다.
III. BTC로 전환한 후, 어떻게 현금화하는가?
답은: 지하 OTC(장외) 딜러를 통해 현금화한다.미국 재무부는 북한이 일반적으로 장외 딜러를 이용해 탈취한 암호화폐 자산을 전통 화폐로 전환하며, 이러한 딜러 대부분이 중국에 있어 금융기관과 규제당국의 시야를 피하고 있다고 지적한다.
일반적인 경로:
탈취한 ETH → BTC로 브리지 → 분할 및 믹싱 → 흔히 트론 체인의 USDT로 전환 → 지하 딜러 → 법정화폐 또는 현물 가치
딜러들은 어떻게 "체인을 끊는가"? "미러 트레이드"를 통해서다.
딜러들은 동시에 암호화폐가 필요하지만 그 출처에 신경 쓰지 않는 또 다른 구매자 집단을 보유한다. 예를 들어 자금을 해외로 이전하려는 사람, 온라인 도박 및 사기 플랫폼, 그레이마켓 국경 간 무역 등이다. 딜러는 해커의 코인을 이들에게 판매한 뒤, 이들이 지불한 현지 법정화폐를 해커가 지정한 사람에게 전달한다. 온체인 추적은 딜러에서 끝나고, 오프체인 자금은 완전히 무관한 당사자로부터 나온다.
법정화폐는 궁극적으로 어디로 가는가? 공개된 사례는 다음과 같다:
● 은행 계좌 및 은련(UnionPay) 카드. 다자간 제재 감시팀(MSMT)의 보고서는 북한의 사이버 부대가 은련 신용카드와 상업은행을 포함한 중국의 금융 시스템을 이용해 탈취한 암호화폐 자산을 현금화했다고 지적했다.
● 기프트 카드. 2020년 미국 법무부에 기소된 두 중국 국적자는 북한의 코인을 인민폐 또는 애플 기프트 카드로 전환해 현금화한 혐의를 받았다.
● 동남아시아의 그레이 금융 플랫폼, 예를 들어 캄보디아의 후이원(Huione) 그룹.
● 관련 지역은 중국, 러시아, 아르헨티나, 캄보디아, 베트남, UAE 등을 포함한다.
IV. "플래그된 BTC는 거래소에 들어갈 수 없는가?"
가장 흔한 질문이다. 답은 세 가지다:
1. 더러운 코인은 컴플라이언스 거래소에 전혀 들어갈 필요가 없다. 그레이 경제의 구매자에게 판매되며, 이들은 코인을 계속 유통 및 결제에 사용하고 바이낸스나 코인베이스에 예치하지 않는다.
2. 플래깅은 영구적인 "흑백" 라벨이 아니라 리스크 점수다. 여러 계층의 중계, 믹싱, 다른 자금과의 혼합을 거치면 추적은 "확정"에서 "확률"로 전환된다. 이것이 바이비트(Bybit) 사건에서 자금의 27.6%가 "사라진" 이유다.
3. 딜러는 높은 수수료로 리스크를 상쇄한다. 딜러는 그것이 더러운 돈임을 알고 정상 수준을 훨씬 초과하는 수수료를 부과한다. 지갑, 은행 카드, 페이퍼컴퍼니는 사용 후 교체되며, 제재 및 동결 리스크는 모두 가격에 반영된다.
물론 이 경로에도 비용이 있다: 믹싱 수수료, 크로스체인 수수료, 딜러 할인, 동결된 부분으로 상당한 손실이 발생할 수 있다. 그러나 다른 외화 수입원이 거의 없는 제재 국가에게 절반을 회수하는 것만으로도 막대한 이득이다. MSMT 보고서는 북한이 2024년 1월부터 2025년 9월 사이에 약 28억 4천만 달러의 암호화폐 자산을 탈취한 것으로 추정한다.
V. 이것이 시장에 무엇을 의미하는가?● ETH 매도 압력은 초기 단계에 집중된다. 해커가 ETH를 BTC로 전환하는 과정에는 실제 온체인 매도가 수반된다. Bybit 사례는 약 10일이 걸렸으며 참고할 수 있다.
● BTC 매도 압력은 작고 분산되어 있다. BTC로 전환된 후 현금화는 주로 장외 미러 거래를 통해 이루어지며 수개월에서 수년까지 지속될 수 있고, 대부분 거래소 오더북을 거치지 않으므로 가격에 대한 직접적 영향은 매우 작다.
● 해커는 대규모 하락의 주요 원인이 아니다. Bybit 해킹 당일 ETH는 약 8% 하락했으며, 이후의 주요 하락은 주로 관세와 레버리지 청산 등 거시적 요인에서 비롯되었다.
이번 Binance 사건은 무엇이 다른가? 탈취 자산의 대부분이 스테이블코인이었고 이미 상당 부분 동결되었다. 직접 동결할 수 없는 ETH는 약 195,000코인으로 약 4억 4천만 달러 상당이며, Bybit 사례보다 규모가 작다. 또한 해커는 Uniswap, Aave 등의 프로토콜을 이용해 스테이블코인을 ETH로 전환하고 있어 최종 ETH 보유량은 증가할 수 있다.
다음으로 주목할 점: THORChain, Chainflip 등 크로스체인 프로토콜의 트래픽 변화는 해커가 ETH를 BTC로 전환하는 속도를 보여주는 직접적인 신호다.
본 문서는 교육 목적으로만 제공되며 투자 조언을 구성하지 않는다. Binance 사건은 아직 진행 중이며 관련 데이터는 업데이트될 수 있다.