바이낸스 60억 달러 해킹, FBI는 범인 대신 주소 차단을 요청했다

FBI는 왜 범인 대신 주소부터 막아 달라고 했나

FBI의 토요일 성명에서 눈에 띄는 것은 범인 이름보다 요청 대상이다. 수신자 명단에 THORNode 운영자, RPC 노드 운영자, 즉시 거래소, 디파이 서비스, 블록체인 분석업체가 올라 있다. 북한 조직을 잡을 수 없으니 훔친 돈이 지나다니는 문을 하나씩 닫아 달라는 호소에 가깝다.

해커들은 탈취 자금을 주로 이더(ETH)로 바꾸고 있다. FBI는 이들이 스왑 서비스와 디파이 도구를 이용해 세탁을 이어갈 것으로 본다. 훔친 코인은 현금이나 다른 자산으로 바뀌어야 쓸모가 생긴다. 그 길목이 막히면 시간이 늘어나고, 그 사이 동결이 걸릴 기회가 생긴다.

이 형식은 처음이 아니다. 2025년 2월 바이비트 해킹 때도 FBI는 북한 TraderTraitor 소행이라고 확정하면서 같은 식의 주소 차단 요청을 냈다. 이번 요청은 그때 만든 절차를 더 큰 사건에 다시 꺼낸 것이다.

60억 달러는 북한이 몇 년에 걸쳐 훔친 총액에 맞먹는다

체이널리시스 공동창업자 조너선 레빈은 피해액을 64억 달러로 추산했다. 바이낸스 쪽 추산은 63억 달러다. 어느 숫자를 택해도 크기는 같은 층에 있다.

비교할 기준이 있다. 체이널리시스의 2025년 말 보고서는 북한의 역대 누적 도난액을 약 67.5억 달러로 집계했고, 2025년 한 해 도난액은 약 20.2억 달러였다. 이번 한 건이 지금까지 쌓은 총액에 육박한다. 해킹 한 번이 오랜 기간 훔친 몫을 한꺼번에 다시 만든 셈이다.

다만 누적액은 2025년 말 기준이라 올해 도난분은 들어 있지 않다. 정확한 합산은 새 보고서가 나와야 가능하다.

차단 목록은 실제 세탁 주소보다 왜 작은가

FBI가 공개한 주소는 이더리움, 비트코인, 솔라나 세 체인에 걸쳐 있지만, 그중 비트코인과 솔라나는 몇 개에 불과하다. 반면 체이널리시스는 바이낸스 공격자가 이미 수천 개 주소를 썼고 앞으로 몇 주 안에 수만 개가 쓰일 것으로 예상했다.

세탁이 자동화됐다는 뜻이다. 체이널리시스는 공격자가 새로운 자동화 기법으로 주소를 쪼개 쓴다고 짚었다. 사람이 목록을 만들어 배포하는 속도로는 기계가 주소를 만드는 속도를 따라가기 어렵다.

그래서 이 요청은 모든 주소를 막겠다는 선언이라기보다, 이미 확인된 주소 하나하나에 파생 거래까지 붙여 막아 달라는 쪽에 무게가 있다. FBI가 파생 거래까지 언급한 이유가 여기 있다. 목록이 작아도 목록에 닿는 모든 돈을 추적하면 효과를 키울 수 있다.

THORChain 한 곳으로 모이는 세탁 경로

온체인 조사자 ZachXBT는 바이낸스와 앞서 발생한 비트겟 해킹의 탈취 자금이 THORChain을 거친 뒤 같은 주소에서 섞였다고 밝혔다. 같은 행위자가 두 사건 뒤에 있을 가능성이 높다는 판단이다. TRM Labs는 온체인과 오프체인 정보를 근거로 높은 확신을 갖고 TraderTraitor에 귀속했다.

바이비트 때도 해커들은 도난 이더의 절반 이상을 주로 THORChain을 통해 비트코인으로 바꿨다. 이 구조에서 스왑 중개 프로토콜은 수수료를 벌고, 대신 범죄 수익을 처리해 줬다는 평판 위험을 진다. FBI가 이번에 THORNode 운영자를 맨 앞에 부른 이유다.

문제는 탈중앙 프로토콜의 노드 운영자가 한 회사가 아니라는 점이다. 누구에게 어떤 의무를 지울 수 있는지가 불분명한 채 차단 요청이 간다. 디파이가 검열에 저항하도록 설계됐다는 장점이 자금세탁 방지와 정면으로 부딪히는 자리다.

뚫린 것은 코드가 아니라 직원이다

FBI는 TraderTraitor가 회사 직원을 사회공학으로 노린다고 설명해 왔다. 2024년 5월 DMM 비트코인에서 3억 달러 넘게 빠져나간 사건이 사례다. 채용 담당자를 사칭한 공격자가 지갑 업체 Ginco 직원에게 악성 코딩 테스트를 보냈고, 그렇게 얻은 접근권으로 정상 거래 요청을 조작해 자금을 빼돌린 것으로 추정된다.

블록에이드 CEO 이도 벤나탄은 이번 공격의 정교함과 온체인 사전 준비가 북한의 활동과 닮았다고 먼저 진단했다. 다만 바이낸스가 구체적으로 어떻게 뚫렸는지는 아직 알려지지 않았다.

해킹당하면 내 돈은 어떻게 되나

이용자 입장에서 가장 큰 질문의 답은 이번에는 거래소가 메웠다는 것이다. 바이낸스는 탈취된 자산의 90%를 보충했다고 밝히고 출금 재개를 추진했으며, 이후 1단계 출금을 열었다고 발표했다. 스테이블코인 발행사들도 24억 달러 이상을 동결해 첫 차단선 역할을 했다.

하지만 보충은 거래소의 선택이었다. 법이 정한 보상이 아니다. 해외 거래소에 자산을 둔 사람은 출금 중단이라는 불편을 겪었을 뿐 손실은 피했지만, 다음 사건에서도 같은 결과가 나온다는 약속은 어디에도 없다.

결국 이 사건이 보여 주는 구조는 이렇다. 훔치는 쪽은 주소를 수만 개로 늘리고, 막는 쪽은 수백 개 단위 목록을 돌린다. 이 격차를 메우는 것은 법 집행이 아니라 스테이블코인 발행사의 동결과 거래소의 자기 돈이다.