727 Finance63억 달러 규모의 바이낸스 해킹 사건부터 바이비트와 로닌 같은 주요 암호화폐 업계 대형 절도 사건에 이르기까지, 북한 해커 그룹 트레이더트레이터(TraderTraitor)가 점차 드러나고 있다. 미국 정부가 지정한 이 해커 네트워크는 가짜 채용, 공급망 공격, 서명 하이재킹을 어떻게 활용해 거의 100억 달러에 달하는 암호화폐 자산을 빼돌렸는가?
작성자: BlockBeats
11월 1일, 미국 연방수사국(FBI)은 공지를 발표하여 10월 29일 바이낸스에서 탈취된 63억 달러를 북한에 귀속시켰다. 해당 공지에서는 TraderTraitor라는 용어 하나를 사용했다.
이 이름을 검색해 보면, Bybit의 15억 달러, Bitget의 3억 달러, 그리고 과거 몇 년간의 여러 주요 암호화폐 사건들이 모두 이 이름과 연결되어 있음을 알 수 있다.
TraderTraitor는 회사도 아니고 조직도상의 한 칸도 아니다. 미국 정부가 일련의 행위 범주에 부여한 코드명이다.
2022년 4월, FBI, 미국 사이버보안 및 인프라 보안국(CISA), 미국 재무부는 공동으로 AA22-108A 번호의 공지를 발표했다. 그것이 이 용어의 첫 공식 등장이었다. 당시에는 DAFOM, TokenAIS, CryptAIS 등 암호화폐 거래 소프트웨어로 위장한 여러 트로이 목마를 가리켰으며, 인터페이스가 그럴듯해 보였고 설치되면 개인 키를 탈취하기 시작했다.
이 배후의 인물들은 업계에서 오랫동안 Lazarus Group, APT38, BlueNoroff, Stardust Chollima로 불려 왔다. 이들은 네 개의 별도 팀이 아니다. Lazarus는 우산 명칭이고, APT38(Mandiant), BlueNoroff(Kaspersky), Stardust Chollima(CrowdStrike)는 서로 다른 보안 회사들이 동일한 자금 확보 라인에 부여한 세 가지 이름이다.
2년 후, 이 라벨은 구체적인 행위에 붙었다. 2024년 12월 23일, FBI, 미국 국방부 사이버범죄센터, 일본 경찰청은 공동으로 3억 달러 규모의 DMM 탈취 사건에 대한 귀속을 발표하며 처음으로 "TraderTraitor로 추적되는 북한 사이버 행위자"라는 표현을 사용하고 세 가지 별칭을 나열했다: Jade Sleet(마이크로소프트 명칭), UNC4899(구글 명칭), Slow Pisces(팔로알토 명칭).
정보는 이제 비교적 명확하다: TraderTraitor는 더 큰 Lazarus 그룹 내에서 암호화폐 자산을 전문으로 하며 현재 가장 수익성이 높은 부대다. 적어도 2020년 이후로는 블록체인—거래 플랫폼, DeFi, 지갑 서비스 제공업체, 암호화폐 펀드, 그리고 대량의 코인을 보유한 개인—에만 전념해 왔다.
은행 강탈에서 거래 플랫폼 강탈로
Lazarus는 2014년 소니 픽처스의 하드 드라이브를 지운 것부터 2016년 방글라데시 은행에서 자금을 빼낸 것까지 모든 것을 포괄하는 우산 명칭이다.
방글라데시 은행 사건을 예로 들어 보자. 이를 수행한 부대는 당시 APT38, 즉 BlueNoroff로 불렸다. 2016년 2월, 그들은 SWIFT 지시문(은행 간 송금에 사용되는 국제 메시징 시스템)을 위조하여 방글라데시 은행의 뉴욕 연준 계좌에서 10억 달러를 이체하려 했다. 결국 8,100만 달러를 확보했는데, 한 이체에서의 철자 오류로 인해 중개 은행이 이를 중단시켰기 때문이다.
은행의 운영 절차를 연구하고, 수동 검토의 허점을 찾아내며, 지시문을 위조하는 기술은 나중에 암호화폐 거래 플랫폼에 그대로 이식되었다.2020년 무렵. 그들은 암호화폐 세계를 표적으로 삼아 수법을 업그레이드하기 시작했다. 이유는 짐작하기 쉽다. 돈이 있고 규제가 없으며 유동성도 괜찮기 때문이다.
공격 방법은 여러 가지다.
첫째는 가짜 채용이다. 헤드헌터가 링크드인에서 접근해 즐겁게 대화를 나누다가 마지막에 "입사 전 프로그래밍 테스트"나 "내부 도구" 설치 파일을 보낸다. 일단 설치되면 그 기계는 그들의 것이 된다. 로닌의 6억 2천만 달러가 이렇게 사라졌다.
둘째는 공급망이다. 사람을 속이는 대신 개발자의 툴체인을 오염시키는 쪽으로 전환한다. 깃허브의 악성 저장소, npm의 오염된 패키지, 점프클라우드 같은 신원 서비스 제공업체 등이다. 한 사람이 뚫리면 하류의 여러 회사가 연쇄적으로 뚫린다.
셋째는 거래를 직접 변조하는 것이다. 일본 DMM 사건에서는 상대방의 로그인 자격 증명을 훔쳐 지갑 회사 긴코의 내부 통신에 침투한 뒤, 정상이어야 할 이체를 변조했다. 바이비트 사건에서는 세이프{월렛}의 개발자 컴퓨터를 해킹해 웹 프런트 엔드에 스크립트를 삽입했다. 서명자들은 여전히 정상 페이지를 보았지만, 그들이 서명한 것은 다른 거래였다.
이번 바이낸스 사건도 여기에 포함된다.
공격자들은 36시간 전에 준비해 50건의 EIP-7702 승인을 서명했다. 이는 지갑이 일시적으로 프로그램을 "임대"해 사용할 수 있게 하는 이더리움의 새로운 기능이다. 그런 다음 바이낸스의 핫월렛이 스스로 돈을 내보내게 만들었다. 40분 동안 10개 네트워크에 걸쳐서였다. 한 보안 회사의 결론은 그들이 바이낸스의 서명 시스템에 이미 도달했을 가능성이 매우 높다는 것이다.
이 조직 관련 사건들의 금액
가장 유명한 열두 건: 97억 달러.
바이낸스 한 건만 63억 달러를 차지한다. 나머지 열한 건은 2022년부터 2026년까지 합계 34억 4천만 달러다.
바이비트의 15억 달러는 변조된 프런트 엔드였고, 로닌의 6억 2천만 달러는 채용 사기였으며, 비트겟의 3억 8천8백만 달러는 지갑 시스템에 기록된 위조 출금 지시였다.
DMM 3억 8백만 달러, 와지르X 2억 3천5백만 달러, 하모니와 아토믹 각 1억 달러, 알파포 6천만 달러, 코인엑스 5천5백만 달러, 스테이크 4천1백만 달러, 코인스패드 3천7백만 달러.
차트에서 미국 정부가 트레이더트레이터로 직접 지목한 것은 바이낸스, 바이비트, DMM 사건뿐이다. 로닌, 하모니, 스테이크, 알파포, 코인스패드, 아토믹은 FBI가 라자루스/APT38로 귀속시켰고, 와지르X는 2025년 1월 미국, 일본, 한국의 공동 성명에서 지목되었으며, 코인엑스는 온체인 분석 회사들만 추론했다. 비트겟 사건은 여러 회사가 트레이더트레이터와 관련 있다고 의심하지만 공식적으로 귀속시킨 곳은 없다.
TRM 통계에 따르면 북한은 2017년 이후 100건을 실행해 총 약 128억 달러에 달한다. 올해만 74억 달러이며, 2026년 전 세계 암호화폐 자산 탈취 총액의 85%가 북한에 귀속된다. 이 표는 그중 열두 건만 다룬다.얼굴이 매칭되는 사람들
미국 당국이 지목한 북한 해커 중 사진까지 공개된 사람은 한 명이 아니다. 박진혁, 존 창혁, 김일은 모두 2021년 2월 기소장에 포함되었고, 2024년에는 림종혁이 추가되어 1,000만 달러의 현상금이 걸렸다.
박진혁(Park Jin Hyok), FBI 수배 중
박진혁은 가장 먼저 기소된 인물 중 하나다. 2018년 6월 미국 법무부가 그를 형사 기소했고, 기소장은 같은 해 9월에 공개되었다. 기소장에 따르면 그가 가담한 공모에는 2014년 소니 픽처스 공격, 2017년 워너크라이 공격, 2016년 방글라데시 중앙은행에서 이체된 8,100만 달러가 포함된다. 그는 여전히 도피 중이며 법정에 한 번도 출석하지 않았다.
바이낸스 도난 추적
바이낸스는 회사 자금, SAFU 펀드, 선물 보험 기금으로 약 90%를 충당했고, 나머지 10%는 유동성이 낮은 토큰이다. 전체 손실은 회사가 부담하며 사용자는 부담하지 않는다.
11월 1일 기준 약 27억 달러, 약 42%가 스테이블코인 발행사와 아비트럼 보안위원회에 의해 동결되었다. 공격자들은 여전히 42만 ETH와 1만 8,270 BTC, 약 24억 달러를 보유하고 있다.
자금 세탁 경로는 여전히 표준적인 수법이다. 크로스체인 브리지로 체인을 바꾸고, THORChain 같은 서비스로 코인을 스왑하며, 믹서로 여러 사람의 코인을 섞고 분산시킨 뒤 최종적으로 장외 거래를 한다.
이번에는 약간의 차질이 있었다. THORChain은 최근 이더리움 체인 재구성으로 인해 바이낸스 공격 피해 자금의 세탁을 실수로 지연시켰다. 이 체인 재구성으로 THORChain은 10 ETH를 예치한 사용자에게 중복 환불을 잘못 발행했고, 이로 인해 프로토콜이 긴급 일시 중단되어 모든 사용자의 크로스체인 스왑이 일시적으로 차단되었으며, 북한 해커 그룹의 자금 세탁자들도 포함되었다.
지난번 비트겟 피해 자금은 THORChain을 거쳤고, THORChain은 전혀 동결하지 않았으며 탈중앙화라서 동결할 수 없다고 말했다. 그러나 지난번 그들 자신이 해킹당했을 때는 그렇게 말하지 않았다. THORChain이 서비스를 재개했을 때, 이번 바이낸스 도난 피해 자금이 여전히 THORChain을 거친다면, 그들이 어떤 변명으로 사람들을 속일지 알 수 없다.