역사상 최대 규모의 암호화폐 해킹: 바이비트에서 무슨 일이 있었나?
2025년 2월 21일, 전 세계는 기록상 최대 규모의 암호화폐 탈취 사건을 목격했다. 두바이에 본사를 둔 암호화폐 거래소 바이비트에서 디지털 자산 약 15억 달러어치가 단 한 차례의 대규모 보안 침해로 사라졌다. 공격의 규모와 정교함은 세계 금융 시스템에 큰 충격을 안겼으며, 급성장하는 아시아 암호화폐 시장의 취약성뿐 아니라 북한 정부가 후원하는 사이버 작전 인력의 위험한 영향력도 드러냈다.
목차
- 역사상 최대 규모의 암호화폐 해킹: 바이비트에서 무슨 일이 있었나?
- 해킹은 어떻게 전개됐나?
- 즉각적인 여파와 업계의 대응
- 공격 배후는 누구인가? 북한의 라자루스 그룹과 트레이더트레이터
- 라자루스 그룹의 작전 수법
- 북한은 탈취한 암호화폐를 어떻게 세탁했나?
- 탈중앙화 금융: 양날의 검
- 북한은 왜 암호화폐를 노리며, 세계에는 어떤 영향을 미치나?
- 사람을 노리는 공격: 사회공학과 클라우드 취약점
- 아시아의 암호화폐 생태계, 약한 고리인가?
- 업계와 규제 당국의 대응
- 북한의 사이버 전력: 커지는 위협
- 주요 과거 공격 사례
- 법 집행의 과제와 앞으로의 대응
- 규제 및 보안 분야의 교훈
- 요약
이용자가 6천만 명이 넘는 세계 최대 암호화폐 거래소 중 하나인 바이비트는 새로운 사이버 범죄 시대의 중심에 놓였다. 블록체인 분석 업체 체이널리시스에 따르면, 이 해킹으로 탈취된 자산은 2025년 상반기 전 세계에서 도난당한 디지털 자산의 약 70%를 차지했다. 이번 사건은 디지털 생태계의 균열이 커지고 있음을 보여줬으며, 북한 해커들의 수법과 야심이 위험한 수준으로 확대되고 있다는 신호를 보냈다.
해킹은 어떻게 전개됐나?
보안 침해는 일상적인 거래처럼 보이는 일에서 시작됐다. 바이비트 최고경영자(CEO)인 벤 저우는 회사 계정 간에 인기 암호화폐인 이더리움(ETH)을 이체하는 일반적인 거래로 보이는 요청을 승인했다. 그는 알지 못했지만, 해커들은 이미 바이비트가 거래 관리에 사용하던 소프트웨어 인터페이스를 장악한 상태였다. 몇 분 만에 공격자들은 이더리움 40만1천 개가 담긴 지갑을 통제하게 됐다. 당시 가치로 15억 달러에 달하는 자금은 공격자들이 관리하는 주소로 옮겨졌다.
조사 결과, 해커들은 바이비트가 디지털 자산 보관 및 관리에 사용하던 세이프(Safe)라는 무료 소프트웨어 제품의 취약점을 악용한 것으로 드러났다. 공격자들은 세이프 사용자 인터페이스를 조작하고 악성 코드를 삽입해 바이비트가 사기 거래를 승인하도록 속였다. 이번 보안 침해는 기술적 실패일 뿐 아니라 디지털 금융 부문에서 제3자 소프트웨어에 의존할 때 따르는 위험을 여실히 보여주는 사건이기도 했다.
즉각적인 여파와 업계의 대응
영향은 즉각적이고 심각했다. 비트코인은 1월 고점 대비 20% 하락하는 등 암호화폐 시장이 급락했다. 디지털 자산의 대중화를 촉진하기 위한 새 규제를 미국을 비롯한 각국 정책 당국이 논의하던 시기에 해킹이 발생하면서 업계에 대한 신뢰도 흔들렸다.
바이비트는 고객 자금을 보장하겠다고 밝히고, 도난 자산을 추적하고 동결하는 데 도움을 준 이들에게 회수 자산의 최대 10%를 지급하는 현상금 프로그램을 시작했다. 몇 주 만에 도난 자금 4천만 달러 이상이 확인돼 동결됐고, 참여자들에게는 보상금 400만 달러 이상이 지급됐다. 그러나 전문가들은 도난 자산 대부분이 이미 “자취를 감췄다”며, 정교한 경로를 통해 세탁돼 회수가 어려울 것으로 보인다고 경고했다.
공격 배후는 누구인가? 북한의 라자루스 그룹과 트레이더트레이터
북한은 사이버 공격의 책임을 인정하는 경우가 드물지만, 바이비트 사건의 증거는 압도적이었다. FBI와 국제 사이버 보안 업체들은 이번 해킹의 배후로 악명 높은 북한의 라자루스 그룹과 그 산하 조직인 트레이더트레이터를 지목했다. 이들 국가 후원 해커는 대담한 절도 행각으로 악명을 떨쳤으며, 탈취한 자금은 정권의 핵·미사일 프로그램을 지원하는 데 쓰이고 있다.
FBI에 따르면 ‘트레이더트레이터’ 작전은 사회공학 기법, 공급망 공격, 기술적 취약점 악용을 결합한다. 이 조직은 블록체인 및 암호화폐 기업을 표적으로 삼으며, 가짜 채용 제안과 악성 오픈소스 소프트웨어를 이용해 표적에 침투하는 경우가 많다. 내부에 진입한 뒤에는 악성코드를 배포해 자격 증명을 탈취하고 암호화폐 지갑 키를 빼낸 다음, 막대한 디지털 자산을 북한이 통제하는 주소로 빼돌린다.
라자루스 그룹의 작전 수법
라자루스 그룹의 전술은 빠르게 진화해 왔다. 최근 몇 년간 이들은 다음과 같은 수법을 사용했다.
- 링크드인, 슬랙, 텔레그램 같은 플랫폼에서 피싱을 벌여 직원들이 악성코드를 내려받도록 유인했다.
- 개발자의 컴퓨터를 장악하고 소프트웨어 공급망에 악성 코드를 삽입했다.
- 바이비트 해킹에서처럼 클라우드 서비스와 스토리지 소프트웨어의 취약점을 악용했다.
- 탈중앙화 금융(DeFi) 도구, 크로스체인 브리지, 암호화폐 믹서를 이용해 탈취 자금을 세탁하고 출처를 감췄다.
블록체인 분석 업체 엘립틱의 공동 창업자 톰 로빈슨 박사는 이 조직의 효과적인 수법을 다음과 같이 설명했다.
북한은 암호화폐 세탁에 가장 능숙합니다. 자동화 도구를 쓰고 교대 근무를 하며 암호화폐를 현금으로 바꾸는 것으로 보입니다.이 조직의 작전은 국가 수준의 정교함과 사이버 범죄 조직의 민첩성을 결합해 세계 금융 시스템에 중대한 위협이 되고 있다.
북한은 탈취한 암호화폐를 어떻게 세탁했나?
바이비트 해킹에서 가장 우려스러운 점 가운데 하나는 탈취 자금이 빠르고 효율적으로 세탁됐다는 것이다. 48시간 만에 최소 1억6천만 달러가 불법 경로를 통해 이동했고, 첫 주가 끝날 무렵에는 4억 달러 이상이 옮겨졌다. 3월 초에는 초기 세탁 단계가 마무리됐으며, 탈취된 이더리움 대부분이 비트코인으로 바뀌어 수천 개 지갑에 분산됐다.
탈중앙화 금융: 양날의 검
해커들은 자산을 교환하고 이동 경로를 감추기 위해 탈중앙화 금융(DeFi) 프로토콜, 특히 토르체인(THORchain) 같은 크로스체인 브리지에 크게 의존했다. 중개자 없이 서로 다른 암호화폐 간에 원활한 자산 이동을 가능하게 하도록 설계된 이 도구들은 법 집행기관이 불법 자금을 추적하고 동결하는 일도 어렵게 만든다.
탈취한 이더리움을 브리지를 통해 비트코인으로 바꾼 뒤, 해커들은 와사비와 크립토믹서 같은 암호화폐 믹서에 거액을 예치했다. 이들 서비스는 여러 이용자의 거래를 섞어 특정 코인의 출처를 추적하기 거의 불가능하게 만든다. 블록체인의 투명성 덕분에 거래를 공개적으로 추적할 수 있지만, 세탁 과정의 막대한 거래량과 복잡성은 규정 준수 담당자와 수사 당국의 대응 역량을 압도했다.
이런 노력에도 불구하고, 환전된 비트코인 상당량은 여전히 움직이지 않고 있다. 이는 해커들이 대규모 현금화나 장외거래 네트워크를 통한 추가 은폐를 준비하고 있을 가능성을 시사한다. 특히 중국 일부 지역처럼 단속이 느슨한 곳이 관련 경로로 꼽힌다.
북한은 왜 암호화폐를 노리며, 세계에는 어떤 영향을 미치나?
북한이 암호화폐 탈취에 나서는 것은 절박한 상황 때문이다. 국제 제재로 고립되고 심각한 경제난에 직면한 정권은 사이버 범죄를 주요 외화 확보 수단으로 삼았다. 유엔은 북한이 2017년 이후 암호화폐 30억 달러어치 이상을 훔쳤으며, 그 상당액이 무기 프로그램에 쓰인 것으로 추정한다.
바이비트 해킹은 더 큰 흐름의 일부다. 2025년 상반기에만 전 세계에서 암호화폐 21억7천만 달러어치 이상이 도난당했으며, 그 가운데 약 70%를 북한 해커들이 책임진 것으로 추정된다. 사이버 범죄의 급증은 디지털 금융에 대한 신뢰를 약화하고, 더 강력한 규제와 국제 공조를 촉구하는 목소리를 키우는 등 세계적 파장을 낳고 있다.
사람을 노리는 공격: 사회공학과 클라우드 취약점
기술적 취약점 악용은 사건의 일부일 뿐이다. 북한 해커들은 직원들을 속여 민감한 시스템에 접근 권한을 내주도록 하는 사회공학 기법에도 능숙해졌다. 이들은 채용 담당자나 정보기술(IT) 전문가로 위장해 가짜 취업 기회를 제시하고, 피해자가 악성코드를 내려받거나 자격 증명을 공개하도록 유인하는 경우가 많다. 원격 근무 인력과 제3자 소프트웨어에 의존하는 경우가 많은 클라우드 기반 암호화폐 기업에서 이런 수법은 특히 효과를 거뒀다.
보안 연구업체 위즈(Wiz)의 연구원 벤저민 리드는 다음과 같이 지적했다.
트레이더트레이터는 클라우드 취약점 공략에 집중합니다. 데이터와 돈이 있는 곳이 클라우드이기 때문입니다. 특히 클라우드 우선 인프라를 갖춘 신생 암호화폐 기업이 표적이 됩니다.업계가 성장할수록 정교한 위협 행위자들이 공격할 수 있는 표면도 넓어진다.
아시아의 암호화폐 생태계, 약한 고리인가?
바이비트 해킹은 아시아 디지털 금융 부문의 상당한 취약성을 드러냈다. 빠른 성장, 규제 공백, 제3자 소프트웨어 의존으로 이 지역은 사이버 범죄자들의 주요 표적이 됐다. 체이널리시스는 이번 사건이 “아시아 디지털 생태계의 보안상 균열이 커지고 있음을 여실히 보여줬으며, 새로운 사이버 범죄 시대의 도래를 알렸다”고 밝혔다.
바이비트의 본사는 두바이에 있지만, 이용자층과 사업의 중심은 아시아에 깊이 뿌리내리고 있다. 이 지역의 암호화폐 시장은 견고한 보안 기준의 수립보다 빠르게 성장해 거래소와 투자자들이 갈수록 정교해지는 공격에 노출돼 있다.
업계와 규제 당국의 대응
바이비트 해킹 이후 업계 지도자와 규제 당국은 보안 접근 방식을 재검토하고 있다. 바이비트는 고객 피해를 보상하겠다고 약속했으며, 법의학 전문가들과 함께 도난 자산을 추적하고 회수하는 작업을 진행하고 있다. 한편 각국 정부와 법 집행기관은 국제 공조를 강화하고 암호화폐 거래소를 위한 표준 보안 프로토콜을 마련하라고 촉구하고 있다.
트럼프 행정부 아래 미국 정부는 암호화폐를 기술 정책의 핵심 분야로 삼고, 디지털 금융 분야의 세계적 선도국이 되는 것을 목표로 하고 있다. 그러나 바이비트 공격은 소비자를 보호하고 업계의 신뢰를 유지하기 위해 더 강력한 규제와 개선된 보안 조치가 시급하다는 점을 부각했다.
북한의 사이버 전력: 커지는 위협
라자루스 그룹과 트레이더트레이터를 비롯한 산하 조직은 북한 사이버 역량의 최첨단을 보여준다. 이들 조직에는 수천 명의 인력이 근무하며 효율을 높이기 위해 교대 근무를 하는 것으로 추정된다. 국가의 자원과 사이버 범죄 기업의 민첩성을 결합한 고도로 조직적인 작전을 펼친다.
북한의 사이버 전략은 다각적이다. 정권은 직접적인 절도 외에도 원격 IT 인력을 동원해 기술 기업에 침투하고 지식재산을 훔치며 기업을 협박한다. 이런 활동으로 얻은 수익은 평양으로 흘러 들어가 제재 대상인 무기 프로그램을 지원하고 어려움을 겪는 경제를 지탱한다.
체이널리시스에 따르면 북한 해커들은 2024년 전체 암호화폐 탈취액의 61%를 차지했으며, 2025년에는 이 비율을 넘어설 것으로 보인다. 설득력 있는 피싱 이메일을 만드는 데 인공지능(AI)을 활용하고, 신기술을 악용하며, 대형 거래소와 개인 지갑을 모두 겨냥하는 등 이들의 적응력과 혁신 능력은 지속해서 진화하는 위협이 되고 있다.
주요 과거 공격 사례
바이비트 해킹은 북한의 소행으로 지목된 대형 암호화폐 절도 사건 가운데 가장 최근 사례일 뿐이다. 주요 사건은 다음과 같다.
- 2022년 로닌 브리지 공격(6억 달러 탈취)
- 2023년 아토믹 월렛 보안 침해(1억 달러 탈취)
- 2019년 업비트 해킹(4천100만 달러 탈취)
- 2020년 쿠코인 절도 사건(2억7천500만 달러 탈취)
각 공격은 기술적 정교함과 작전 규모가 갈수록 커지고 있음을 보여줬으며, 바이비트 해킹은 두 측면 모두에서 새로운 기준을 세웠다.
법 집행의 과제와 앞으로의 대응
모든 거래가 공개 기록되는 블록체인 기술의 투명성에도 불구하고, 법 집행기관은 도난 암호화폐를 추적하고 회수하는 데 상당한 어려움을 겪는다. 믹서, 크로스체인 브리지, 탈중앙화 거래소를 이용하면 해커들이 자금을 빠르게 이동시키고 경로를 숨길 수 있어 수사 당국의 대응 속도를 앞지르는 경우가 많다.
국제 공조가 필수적이다. FBI는 북한 해커들과 관련된 지갑 주소 목록을 공개하고, 거래소와 서비스 제공업체에 해당 주소에서 발생한 거래를 차단하라고 촉구했다. 그러나 모든 암호화폐 기업이 이에 응할 의지가 있거나 대응 역량을 갖춘 것은 아니며, 업계의 탈중앙화 구조는 법 집행을 더욱 복잡하게 만든다.
일부 진전은 있었다. 바이비트의 현상금 프로그램과 블록체인 분석 업체들과의 협력으로 도난 자금 수천만 달러가 동결됐다. 그러나 전문가들은 북한의 역량과 세탁 네트워크의 국제적 범위를 고려할 때 자금 대부분을 회수하기는 어려울 것으로 보고 있다.
규제 및 보안 분야의 교훈
바이비트 해킹을 계기로 다음과 같은 조치를 촉구하는 목소리가 나왔다.
- 정기 감사와 제3자 소프트웨어 평가를 포함한 암호화폐 거래소 보안 기준 강화
- 업계 관계자와 법 집행기관 간 투명성 및 정보 공유 확대
- 암호화폐 범죄의 국경 간 특성에 대응할 국제 규제 체계 마련
- 사회공학 및 피싱 공격 위험에 대한 대중의 인식과 교육 강화
디지털 금융 시스템에 대한 신뢰를 구축하려면 업계, 규제 당국, 소비자가 모두 협력해야 한다.
요약
- 2025년 2월 21일 발생한 바이비트 해킹으로 암호화폐 자산 15억 달러어치가 도난당했으며, 이는 역사상 최대 규모의 암호화폐 절도 사건이다.
- 북한의 라자루스 그룹과 산하 조직 트레이더트레이터가 기술적 취약점 악용과 사회공학 기법을 결합해 공격한 것으로 지목됐다.
- 탈취 자금은 탈중앙화 금융 도구, 크로스체인 브리지, 암호화폐 믹서를 통해 빠르게 세탁돼 회수가 어려워졌다.
- 북한의 사이버 범죄 활동은 핵·미사일 프로그램에 자금을 대는 것으로 추정되며, 세계 안보에 위협이 되고 있다.
- 이번 사건은 아시아 암호화폐 생태계의 상당한 취약성을 드러내고 전 세계적으로 더 강력한 보안 및 규제 조치가 필요하다는 점을 부각했다.
- 업계와 법 집행기관의 대응으로 도난 자산 일부가 동결됐지만, 대부분은 회수하기 어려운 상태다.
- 바이비트 해킹은 디지털 금융의 미래를 지키기 위해 국제 공조와 견고한 보안 기준, 대중의 인식 제고가 시급하다는 점을 보여준다.
