🪙북한이 내 돈도 뺏어간다고?

구독자님 안녕하세요. 최근 FBI는 북한이 암호화폐 거래소인 바이비트(Bybit) 에서 약 15억 달러, 한화로 약 2조원 상당의 가상자산을 탈취했다는 보고서를 공개했어요. 탈취된 가상자산의 규모도 놀랍지만, 어떻게 북한의 소행이라고 밝혀낼 수 있는건지 궁금하신 분들도 있을 것 같아요. 그래서 오늘은 바이비트 해킹사건으로 암호화폐 추적에 대해 알아보는 시간을 갖도록 하겠습니다.

블록체인은 안전하다면서?

암호화폐 추적에 대해 알아보기 전에 한 가지 짚고 넘어가도록 할게요. 블록체인은 일반적으로 해킹이 어렵다고 알려진 기술이에요. 하지만 블록체인 기술을 사용하는 암호화폐가 탈취되었다는 소식과 기사는 어렵지 않게 찾아볼 수 있는데요. 먼저 이 부분에 대해서 알아볼게요.

블록체인은 데이터가 저장되어 있는 블록을 서로 연결짓는 기술이에요. 🔗 여기서 데이터라고 하는게 거래 정보에요. A가 B에게 0.1btc 를 송금했다와 같은 정보이죠. 💸 이런 거래 정보를 원장 (ledger) 이라고 부르고, 그 단위는 트랜잭션이라고 불러요. 새로운 블록이 생성되면 해시라는 기술을 사용해서 이전에 있었던 블록의 유효성과 진위를 확인하고 연결지어요. 이렇게 연결된 블록들 중 하나에서 데이터를 변조하려면 다른 블록들의 유효성 검증에서 실패하기 때문에 안전한 기술이라고 하는 것입니다.

출처: https://developer.bitcoin.org/devguide/block_chain.html

블록체인 기술을 사용한 암호화폐들은 지갑에 담기고 지갑에 접근하려면 개인키가 필요해요. 🔐 이 개인키를 잘못 관리해서 유출이 된다면 지갑에 담긴 암호화폐를 탈취당할 수 있어요. 스마트컨트랙트를 이용하는 디파이 서비스들도 해킹의 대상이 되기도 해요. 스마트컨트랙트는 특정 조건이 충족되면 자동으로 계약이 이행되는 시스템으로, 조건과 계약들을 코드로 구현할 수 있습니다. 📋 즉, 스마트컨트랙트 코드에 취약점이 있으면 해킹되어 금전적 피해를 입을 수 있는 것이지요.

정리하자면, 블록체인은 그 자체로는 데이터 변조가 어려워 안전하다고 하는 기술이에요. 다만 블록체인 기술을 사용한 서비스의 보안결함 또는 블록체인 서비스를 사용하기 위한 수단들에 보안결함이 있어 해킹이 발생한다고 볼 수 있겠습니다.

암호화폐는 어떻게 추적할까?

블록체인에 저장되는 원장은 블록체인 네트워크 참여자 누구나 내용을 확인할 수 있어요. 원장에는 지갑 주소, 송금액, 송금 시간 등의 정보가 담겨 있고 이 정보들을 이용해 거래 흐름을 파악할 수 있습니다. 🔍

이런 식으로 거래 흐름을 파악하는 서비스와 도구들이 많이 있는데, 대표적으로 이더스캔(Etherscan) 이 있어요. 지갑 주소를 입력하면, 이 지갑에 송금한 주소는 무엇인지, 얼마만큼 송금했는지, 이 지갑에서 어디로 송금했는지 등의 정보를 알 수 있습니다.

다음은 이더스캔에서 임의의 지갑 주소의 송금 이력을 확인한 결과에요. 자세히 보시면, Rollbit: Hot Wallet 에서 특정한 지갑 주소로 0.05ETH 만큼 송금한 트랜잭션을 볼 수 있어요. 지갑 주소는 To 에 보이는 것 처럼 알기 어려운 16진수 값으로 되어 있는데요. 이더스캔과 같은 암호화폐 추적 서비스들은 지갑 주소 소유자 등이 식별되면 태그를 걸어두곤 해요. 태그는 개인 또는 단체를 지칭하는데요. 해킹 사고에 연루된 지갑일 경우에도 태그가 붙여집니다. 태그는 서비스 제공자가 직접 지정하거나, 제보가 들어오면 태그가 달리곤 해요.

여기까지 보셨다면 암호화폐 추적이 어떻게 가능한지 감이 오실거에요. 블록체인 거래 내역은 누구나 볼 수 있고 내역에는 지갑 주소, 송금액이 있어요. 범죄에 연루된 지갑 주소나 트랜잭션의 ID를 알고 있다면 이더스캔과 같은 서비스를 이용해서 거래 흐름을 추적할 수 있습니다. 🕵

바이비트 해킹 사건

위에서 다룬 내용들을 가지고 바이비트 해킹 사건을 짧게 알아볼게요. 우리 시간 2025년 2월 22일, 바이비트의 CEO 인 Ben Zhou 가 트윗을 올려서 멀티시그 콜드 월렛에 있던 모든 ETH 가 미상의 지갑주소로 송금되었다고 알렸어요.

하나하나 풀어가볼게요. 암호화폐를 담는 지갑은 핫 월렛, 웜 월렛, 콜드 월렛이 있어요. 핫 월렛은 항상 온라인에 연결되어 있는 지갑이고, 콜드 월렛은 오프라인에서 사용 가능한 월렛이에요. 웜 월렛은 필요할 때만 온라인에 연결되는 지갑이에요.

멀티시그는 트랜잭션을 하는데 있어 여러 사람의 서명이 필요한 기술을 말해요. 즉, 송금을 할 때 본인 뿐만 아니라 다른 사람의 승인이 있어야 송금을 할 수 있다는 말이죠.

바이비트에서 콜드 월렛에서 웜 월렛으로 송금을 할 때 멀티시그를 사용했나봐요. 공격자는 송금 승인을 하는 사람들이 보는 화면을 조작해서 정상 주소로 송금하는 것처럼 속였어요. 실제로 승인되었던 건 콜드 월렛의 스마트 컨트랙트 변경 요청이었던 것이죠. 이렇게 공격자가 콜드 월렛의 제어권을 얻고 지갑에 있던 모든 금액을 다른 지갑 주소로 옮길 수 있던 것입니다.

출처: https://x.com/benbybit/status/1892963530422505586

해당 사고의 트랜잭션을 살펴볼게요. 0x0fa0으로 시작하는 공격자의 주소에서 0x1Db9로 시작하는 바이비트 콜드 월렛으로 트랜잭션이 실행되었는데요. Transaction Action 에 설명을 보면 Sweep ETH 함수가 호출되었다는 것을 알 수 있어요. 이 트랜잭션으로 인해 바이비트 콜드월렛에서는 0x4766으로 시작하는 공격자 지갑 주소로 무려 40만 ETH 가 송금되었어요. 이더스캔에서는 공격과 관련된 지갑 주소를 모두 Bybit Exploiter라는 태그를 붙여두었습니다.

출처: https://etherscan.io/address/0x1db92e2eebc8e0c075a02bea49a2935bcd2dfcf4#internaltx

트윗을 올린지 얼마 지나지 않아 코인 사고 추적 전문으로 하는 ZachXBT에서 바이비트 해킹과 페멕스 거래소 해킹과의 연관성을 언급했어요. 그러면서 0x33d0 으로 시작하는 주소가 두 사고에서 공통적으로 나타난다고 하며 북한 라자루스 그룹과 연관성을 제기했습니다.

출처: https://x.com/zachxbt/status/1893211577836302365

트윗에서 볼 수 있듯 그래프를 그려가며 겹치는 주소를 찾은 것을 볼 수 있는데요. 이러한 거래 흐름 추적을 막기 위해 믹싱 서비스 또는 믹서라고 하는 거래 익명성 강화 도구를 이용하곤 해요.

믹싱은 한 트랜잭션에 여러 입력과 여러 출력을 섞는 등 누가 누구에게 보냈는지 관계를 알아보기 힘들게 하는 기법인데요. 프라이버시 보호를 원하는 일반 사용자들도 활용하지만 사이버 범죄자들이 불법 자금 세탁에도 악용하는 경우도 많습니다. 믹서, 자금세탁과 관련된 내용도 기회가 되면 한 번 다뤄보도록 할게요. 😉