북한 연계 의심 바이낸스 해킹, 정권 자금 조달의 중심에 놓인 암호화폐 절도

몇 분 만에 수십억 달러 이동…뒤이어 자금 동결 경쟁

블록체인 정보 분석업체 TRM 랩스에 따르면 2026년 10월 29일 바이낸스 지갑에서 10개 블록체인에 걸쳐 약 63억6,000만 달러어치의 암호화폐가 빠져나갔으며, 대부분은 약 20분 만에 이동했다. TRM과 체이널리시스는 북한과 연계된 해킹 조직 트레이더트레이터가 공격을 벌인 것으로 봤다. 사실로 확인되면 역대 최대 규모의 암호화폐 절도 사건이다.

바이낸스는 피해 자산 가운데 약 30억 달러를 확보했으며, 손실을 보전하기 위해 회사 자금 63억4,000만 달러 이상을 따로 마련했다고 밝혔다. 거래소는 처음에는 한 엔지니어의 노트북이 해킹당했을 가능성을 의심했지만, 이후 조사에서 더 광범위한 침해 정황이 드러났다고 설명했다. 회사는 조사와 자금 회수 작업을 진행하는 동안 출금을 중단했다.

이번 절도 의혹은 두 가지 문제를 한데 묶는다. 대형 암호화폐 거래소에 보관된 자금의 보안과 북한의 사이버 범죄를 통한 외화 확보 문제다. 유엔 안전보장이사회 조사와 관련해 인용된 추산에 따르면 탈취 자금은 북한 외화 수입의 약 절반, 무기 개발 비용의 약 40%에 해당한다.

TRM이 추산한 바이낸스 자금 유출 규모에는 이후 동결된 자산도 포함된다. 따라서 당장의 쟁점은 자금을 얼마나 회수할 수 있는지, 고객이 보유 자산에 어떻게 다시 접근할 수 있는지, 공격자가 얼마나 많은 자금에 여전히 접근할 수 있는지다. 바이낸스는 모든 손실을 보전하겠다고 약속했으며, 조사 당국은 시스템 침입 경로와 책임자 신원을 계속 조사하고 있다.

바이낸스 내부에서 무슨 일이 있었나?

TRM에 따르면 공격자들은 여러 바이낸스 지갑에서 자금을 옮기기 전 최소 36시간 동안 준비했다. 이 절도는 이더리움, 비트코인, 솔라나를 포함한 네트워크에 영향을 미쳤다. 블록체인은 거래를 공동으로 기록하는 디지털 장부다. 여러 네트워크를 가로질러 자산을 옮기면 조사 당국은 동시에 여러 경로를 추적해야 한다.

바이낸스 공동 최고경영자 리처드 텅은 조사가 처음 주목했던 노트북 문제를 넘어섰다고 밝혔다.

이번 사건은 한 사람이 저지른 것이 아닙니다. 초기 조사에서는 보안 사고가 해킹된 노트북과 관련됐을 가능성이 있다고 봤지만, 이후 조사에서 추가 침입 지점이 확인됐습니다.

텅은 공격자들이 작업을 진행하면서 도구와 흔적을 파괴하는 수법을 썼다고도 밝혔다. 바이낸스는 지갑의 개인 키가 유출됐다는 증거는 찾지 못했다고 말했다. 개인 키는 암호화폐 이체를 승인할 때 사용하는 비밀 디지털 자격 증명이다. 회사는 아직 침해 사건에 대한 완전한 기술 설명을 공개하지 않았다.

조사 당국이 트레이더트레이터를 의심하는 이유

체이널리시스는 자금 이동 경로에서 연관성을 확인했다. 바이낸스에서 탈취된 암호화폐가 블록체인상에서 전월 비트겟에서 훔친 자금과 섞여 나타났다는 것이다. 연구자들은 북한 해커들의 소행으로도 지목된 9월 비트겟 절도 규모를 3억8,700만 달러로 추산했다.

TRM은 2025년 2월 바이비트에서 15억 달러를 훔친 사건을 비롯해 북한과 연계된 과거 공격과 유사한 준비 및 거래 패턴을 근거로 들었다. 체이널리시스 공동 창업자 겸 최고경영자 조너선 레빈도 유력한 공격자로 트레이더트레이터를 지목했다.

트레이더트레이터는 북한 국가가 지원하는 조직으로, 2016년 또는 2017년경 정보기관 산하에서 만들어진 것으로 알려져 있다. 연구자들은 이 조직을 더 광범위한 라자루스 네트워크와 연관 짓는다. DTEX의 연구원 마이클 반하트는 조직원들이 금융 공격 경험이 풍부하며, 북한 사이버 작전을 가리키는 또 다른 명칭인 APT38과 연계된 요원도 포함돼 있다고 설명했다.

미 연방수사국(FBI)은 바이비트 공격이 발생한 지 닷새 만에 북한과 트레이더트레이터의 소행이라고 공식 발표했다. 현재 바이낸스 침해 사건에 대한 귀속 판단은 블록체인 정보 분석업체들의 평가에 근거하고 있다. 바이낸스는 범죄자 신원을 확인하기 위해 법 집행기관과 협력하고 있다고 밝혔다. 북한은 암호화폐 절도에 관여했다는 의혹을 부인해 왔다.

탈취된 암호화폐는 왜 회수가 어려워지나

체이널리시스에 따르면 바이낸스에서 빠져나간 자금은 짧은 시간 동안 수천 건의 거래를 거쳐 지갑 사이를 반복적으로 이동했다. 조사 당국은 약 20분 안에 거래가 이뤄졌으며, 자산 이동에 자동화 프로그램이 동원된 것으로 보이는 패턴이 나타났다고 밝혔다.

암호화폐 지갑은 디지털 자산을 관리하고 거래를 승인하는 도구다. 탈취 자금을 여러 지갑으로 옮기면 추적 경로가 복잡해지지만, 공개 블록체인의 거래 내역은 계속 확인할 수 있다. 조사 당국은 어떤 이체가 공격자의 것인지, 거래소나 다른 업체가 어느 지점에서 이를 차단할 수 있는지 파악해야 한다.

일부 자산은 발행사가 동결할 수 있기 때문에 속도도 중요하다. 체이널리시스에 따르면 탈취된 스테이블코인 약 3억2,500만 달러어치가 약 20분 만에 이더리움 네트워크에서 사용하는 암호화폐인 이더로 교환됐다. 스테이블코인은 대개 미국 달러와 같은 다른 자산의 가치를 추종하도록 설계된 토큰이다. 발행사는 일부 스테이블코인 보유분을 동결할 수 있지만, 이더에는 같은 권한을 가진 발행사가 없다.

TRM은 기존 거래소 밖에서 활동하는 중국 중개업자들이 탈취 암호화폐를 할인된 가격에 매입한다고 밝혔다. 이런 중개업자들은 디지털 자산을 실제로 쓸 수 있는 돈으로 바꾸는 일을 돕는다. 북한에는 이 환전 과정이 성공적인 컴퓨터 침입과 정권이 사용할 수 있는 자금 사이를 잇는 다리다.

얼마나 도난당했고, 얼마나 확보됐나?

TRM은 자산 이동 당시 가격을 기준으로 바이낸스 자금 유출 규모를 약 63억6,000만 달러로 계산했다. 이번 사건은 대체로 약 63억 달러 규모의 절도로 설명돼 왔다. 이는 2025년 바이비트에서 탈취된 15억 달러의 4배가 넘는 규모다.

초기 자금 동결 규모는 TRM이 약 27억 달러, 체이널리시스가 28억 달러로 추산했다. 이후 바이낸스는 초기 유출액의 절반에 가까운 약 30억 달러를 확보했다고 밝혔다. 회사는 손실 보전 노력의 일환으로 암호화폐 토큰도 적극적으로 매입하고 있다고 덧붙였다.

바이낸스는 일본 시간으로 10월 30일 입금과 출금을 일시 중단한다고 처음 발표했다. 이후 공지에서는 입금은 정상적으로 이뤄지고 출금은 계속 중단된다고 밝혔다. 거래소는 하루나 이틀 안에 출금을 재개할 것으로 예상했지만, 정확한 재개 시점은 제시하지 않았다.

바이낸스는 미국에서 운영되는 거래소는 영향을 받지 않았다고 밝혔다. 미 비밀경호국은 자금의 신원을 확인하고 동결·추적·회수하기 위해 작업 중이라고 했으며, 바이낸스는 FBI에 협조하고 있다고 밝혔다. 테더와 서클의 스테이블코인을 포함해 미국 기업과 연관된 자산도 이번 사건에 포함됐다.

고객들은 기술적 회수 노력과 함께 법적 문제에도 직면해 있다. 런던의 에드윈 코 법률사무소 소속 변호사 대니얼 턴켈은 회수 권리가 계약상 약속과 바이낸스가 의무를 이행하지 않을 경우 고객이 어느 지역에서 소송을 제기할 수 있는지에 달려 있다고 말했다. 손실을 보전하겠다는 바이낸스의 약속에 따라 당장의 재정적 부담은 회사가 지게 된다.

전 세계 암호화폐 피해에서 커지는 북한의 비중

체이널리시스는 북한 해커들이 2025년 20억2,000만 달러를 훔쳤다고 추산했다. 2024년의 13억4,000만 달러와 비교하면 약 51% 증가한 수치다. 바이비트 절도만으로도 2025년 피해액의 약 4분의 3을 차지했다.

체이널리시스는 2026년 보고된 전 세계 암호화폐 해킹 피해 중 북한의 비중을 89%로 추산했다. 2021년에는 15%였다. TRM은 2026년 북한의 비중을 85%로 추정했으며, 바이낸스 사건을 제외하면 45%로 낮아진다고 밝혔다. 따라서 바이낸스 사건이 연간 수치의 급격한 상승분에서 큰 비중을 차지한다.

체이널리시스는 북한이 벌인 것으로 의심되는 공격 한 건당 평균 피해액도 2021년 5,065만 달러에서 2026년 1억8,565만 달러로 늘었다고 추산했다. 두 수치를 나눠 보면 약 3.7배 증가한 것으로, 사건당 경제적 피해가 크게 커졌음을 보여준다.

체이널리시스 자료를 인용한 수치에 따르면 2021년 1월부터 2026년 10월 29일까지 전 세계 피해액은 223억4,000만 달러, 북한 연계 피해액은 132억4,000만 달러로 각각 집계돼 북한 비중은 약 59%였다. 이 업체에 귀속된 또 다른 집계에서는 각각 220억3,400만 달러와 130억2,400만 달러로, 역시 약 59%를 차지했다.

TRM은 2017년 이후 북한이 벌인 공격을 100건으로 추산하고, 피해액은 128억 달러라고 밝혔다. 이 가운데 74억 달러는 2026년 발생했다. 반하트는 누적 절도액을 약 135억 달러로 추산했다. 이들 추산은 대상 기간과 사건 범위가 서로 달라 총액을 이해할 때 각 수치가 제시하는 기간을 확인해야 한다.

평양에 이 자금이 중요한 이유

유엔 안전보장이사회 전문가 패널 조사에 따르면 2017년부터 2023년까지 암호화폐 기업을 겨냥한 북한의 공격 의심 사례는 58건으로, 피해 규모는 약 30억 달러였다. 이후 규모가 더 커져 현재는 바이낸스 공격 의심 사건 한 건이 이전 누적액을 넘어섰다.

북한은 무역과 금융 접근을 제한하는 광범위한 국제 제재를 받고 있다. 암호화폐 절도는 통상적인 수출을 거치지 않고 외화를 확보할 경로를 제공한다. 유엔 패널과 관련된 추산에 따르면 해킹 수익은 북한 외화 수입의 약 절반을 차지하며, 탈취 자금은 무기 개발 비용의 약 40%를 충당하는 것으로 추정된다.

바이낸스에서 탈취된 63억 달러는 북한 국민총소득의 약 5분의 1에 해당하는 규모로 비교돼 왔다. 국민총소득은 한 해 동안 한 나라의 주민과 기업이 벌어들인 소득을 말한다. 이 비교는 이번 규모의 절도가 거래소 고객을 훨씬 넘어선 영향을 미치는 이유를 보여준다.

북한은 1990년대 정교한 위조 미화 100달러 지폐 제작, 2000년대 메스암페타민 생산과 밀매를 비롯한 불법 외화벌이 의혹도 오랫동안 받아 왔다. 사이버 작전은 정권이 컴퓨터 네트워크를 통해 해외 기업을 겨냥할 수 있는 수단이다.

공격 뒤에 있는 수년간의 훈련

북한은 수학과 과학에 뛰어난 아동을 선발해 3~5년간 사이버전 훈련을 시키는 것으로 알려져 있다. 재능을 인정받은 학생은 이후 전문 대학 과정으로 진학해 기술 훈련을 받은 인력을 지속적으로 배출한다.

북한인권위원회는 평양 모란봉대학에서 군사학, 해킹, 암호 분석을 결합한 5년 과정이 운영된다고 설명했다. 암호 분석은 정보를 비밀로 유지하도록 설계된 암호를 깨거나 보안 체계를 무력화하는 방법을 연구하는 분야다. 일부 정예 요원은 중국과 러시아에서 추가 교육을 받는 것으로 알려졌다.

신범철 전 한국 국방부 차관은 북한 해커들이 외화벌이 작전을 위해 훈련받은 고도로 공격적이고 숙련된 인력이라고 설명했다. 국가의 지원을 받는 이들 조직은 지속적인 지원을 받고, 다른 범죄자들이 직면하는 국내 기소 위험 없이 활동할 수 있다.

가짜 채용이 침입의 문을 열 수 있다

트레이더트레이터는 암호화폐 지갑을 직접 공격하기보다 사람을 겨냥하는 방식으로 작전을 시작하는 경우가 많다. 이 조직은 개발자와 정보기술 담당자에게 가짜 채용 제안이나 사업 제휴를 가장해 접근하고, 업무에 필요하다고 속인 악성 소프트웨어를 설치하게 한다.

FBI와 사이버보안·기간시설 보안국, 미 재무부가 2022년 공동 발표한 경고에는 암호화폐 기업을 겨냥한 악성 소프트웨어와 기만 수법이 담겼다. 반하트는 지원자가 악성 소프트웨어를 내려받도록 유도해 로그인 자격 증명과 민감한 정보를 빼내는 가짜 면접을 설명했다.

보안 전문가들은 공격자에게 유리한 행동을 하도록 사람을 설득하는 수법을 사회공학이라고 부른다. 컴퓨터가 침해되면 공격자는 이를 이용해 조직 내부 시스템을 살펴보고 자금 이동 권한을 얻으려 할 수 있다.

닉스랩 공동 창업자 겸 최고경영자 곽틴간은 바이낸스 공격에 인터넷 연결 지갑에 지속적이고 광범위한 접근 권한을 부여하는 토큰 서명이 관련됐을 가능성을 제기했다. 이는 바이낸스가 전체 사건 경위를 조사하는 동안 그가 제시한 가설이다.

소니에서 바이낸스까지: 확장하는 작전

북한의 사이버 작전에는 금전적 절도뿐 아니라 정치적 혼란을 일으키려는 공격도 포함됐다. 2014년 소니 픽처스 해킹은 김정은 암살 모의를 다룬 코미디 영화에 대한 보복으로 널리 해석됐다. 이후의 사건에서는 대규모 암호화폐 보유분을 겨냥하는 경향이 확대됐다.

• 2014년: 소니 픽처스 해킹으로 북한의 사이버 작전이 세계적인 주목을 받았다.
• 2022년: 블록체인 게임을 지원하는 로닌 네트워크에서 약 6억2,000만 달러를 훔친 사건에 라자루스 조직이 연루된 것으로 지목됐다.
• 2024년: 일본 DMM 비트코인 거래소에서 3억800만 달러를 훔친 사건의 책임이 트레이더트레이터에 돌아갔다.
• 2025년 2월: FBI가 북한의 소행으로 지목한 공격으로 바이비트에서 약 15억 달러가 탈취됐다.
• 2026년 4월: 분석가들은 드리프트에서 2억8,500만 달러, 켈프다오에서 2억9,200만 달러를 훔친 사건을 북한 해커의 소행으로 봤다.
• 2026년 9월: 연구자들이 같은 네트워크와 연관 지은 절도 사건으로 비트겟에서 약 3억8,700만 달러가 탈취됐다.
• 2026년 10월 29일: 10개 블록체인에 걸쳐 바이낸스 지갑에서 약 63억6,000만 달러어치가 빠져나갔다.

드리프트와 켈프다오는 탈중앙화 금융, 즉 디파이 분야에서 운영된다. 디파이에서는 블록체인에서 실행되는 소프트웨어가 금융 거래를 처리한다. 따라서 공격 대상은 전통적인 거래소를 넘어 자동화된 프로그램으로 자금을 보유하거나 이체하는 시스템으로 확장되고 있다.

인공지능은 이런 작전의 일부를 더 빠르게 만들 수 있다. 사이버보안 기업 스텔스몰의 최고기술책임자 사이먼 초이는 AI가 공격자의 보안 취약점 탐색과 공격 자동화를 돕는다고 경고했다. 조사 당국은 바이낸스 자금 이동에서도 자동화 정황을 확인했으며, 회사의 기술 조사는 계속되고 있다.

핵심 요점

• TRM은 2026년 10월 29일 바이낸스 지갑에서 63억6,000만 달러어치가 빠져나갔으며, 대부분 약 20분 만에 이동했다고 추산했다.
• TRM과 체이널리시스는 이번 절도 의혹을 북한의 트레이더트레이터 조직과 연관 지었다.
• 바이낸스는 약 30억 달러를 확보했으며, 손실 보전을 위해 63억4,000만 달러 이상을 따로 마련했다고 밝혔다.
• 체이널리시스는 2026년 보고된 전 세계 암호화폐 해킹 피해 중 북한의 비중을 89%로 추산했다.
• 조사 당국은 여러 침입 지점이 관련된 침해 사건을 조사하고 있으며, 바이낸스는 아직 전체 기술 조사 결과를 공개하지 않았다.
• 암호화폐 절도는 북한의 무기 프로그램 자금 조달에 도움이 되는 것으로 추정되는 외화를 제공한다.