암호화폐 역사상 최대 규모의 해킹 두 건, 동일 조직이 저질렀다: FBI, 바이낸스 탈취 사건을 TraderTraitor와 연계

암호화폐 업계가 중대한 보안 이슈에 직면했다. 암호화폐 역사상 최대 규모의 탈취 사건 두 건이 모두 북한과 연계된 동일 해킹 조직의 소행으로 지목된 것이다.

미 연방수사국(FBI)은 바이낸스에서 63억 달러가 넘는 디지털 자산을 탈취한 배후로 TraderTraitor를 지목했다. 이번 발표로 바이낸스 사건은 FBI가 앞서 같은 조직의 소행으로 연계한 2025년 2월 약 15억 달러 규모의 바이비트 해킹 사건과 연결됐다.

최종 포렌식 및 법적 조사를 통해 사실관계가 확정된다면, 이번 사건들은 단순히 서로 무관한 두 건의 거래소 침해 사고를 넘어선다. 두 사건은 국가와 연계된 사이버 범죄 조직이 사회공학, 악성 소프트웨어, 지갑 인프라 공격, 정교한 온체인 자금 세탁 기법을 전례 없는 규모로 결합하고 있음을 보여준다.

암호화폐 탈취 사상 최고 기록

이번 바이낸스 사건은 지금까지 기록된 암호화폐 탈취 사건 가운데 최대 규모로, 바이비트 공격을 넘어선 것으로 전해졌다. 조사관들이 추가 지갑을 추적하고 피해 자산을 식별하는 과정에서 추정치는 달라질 수 있지만, 현재 알려진 피해 규모는 수십억 달러에 이른다.

FBI의 지목이 특히 중요한 이유는 블록체인 분석 기업들의 기존 분석과도 일치하기 때문이다. TRM Labs와 Chainalysis 같은 기관의 연구진은 바이낸스와 바이비트 공격에서 다음과 같은 유사점을 발견한 것으로 알려졌다.

• 유사한 작전 패턴
• 중개 지갑의 반복적인 사용
• 여러 블록체인에 걸친 탈취 자금의 신속한 이동
• 탈중앙화 서비스 및 크로스체인 전환 활용
• 서로 겹치는 자금 세탁 인프라
• 이후 거래를 준비하기 위해 사용된 소액 사전 이체

블록체인 거래는 원래 공개되도록 설계되어 있지만, 공개적으로 확인할 수 있다고 해서 자금을 쉽게 회수할 수 있는 것은 아니다. 공격자들은 자산을 수천 건의 거래로 분산하고, 여러 네트워크를 거쳐 이동시키며, 토큰을 교환하고, 프라이버시 강화 서비스를 활용해 자금의 출처와 이동 경로를 추적하기 어렵게 만들 수 있다.

TraderTraitor는 누구인가?

TraderTraitor는 일반적으로 라자루스 그룹과 연관된 북한 사이버 범죄 생태계의 핵심 작전 조직으로 여겨진다.

이 조직의 명칭은 반복적으로 사용되는 공격 수법에서 비롯됐다. 암호화폐 거래, 블록체인 개발, 디지털 자산 수탁, 금융 인프라에 관여하는 개인과 조직을 집중적으로 노리는 것이다. 이들은 가짜 채용 캠페인, 악성 애플리케이션, 사칭, 그리고 서명 시스템이나 지갑 관련 소프트웨어에 접근할 수 있는 직원을 겨냥한 공격 등을 벌여 왔다.

미국 정부는 북한과 연계된 사이버 행위자들이 정권의 수익을 창출하기 위해 암호화폐를 탈취한다고 여러 차례 경고해 왔다. FBI 공식 사이버 범죄 자료와 CISA의 권고문은 국가 지원 사이버 작전과 디지털 자산 위협을 이해하는 데 유용한 배경 정보를 제공한다.

TraderTraitor가 중요한 이유는 단순히 탈취한 자산의 규모 때문만이 아니다. 블록체인 시스템을 둘러싼 인간과 조직의 계층을 공격할 수 있는 역량 또한 이 조직의 핵심 특징이다.

주요 암호화폐 탈취 사건에서 반복되는 패턴

바이낸스와 바이비트 사건은 TraderTraitor 또는 동일한 북한 연계 네트워크와 관련된 것으로 알려진 광범위한 공격 사례의 일부다.

DMM 비트코인: 약 3억 800만 달러

2024년 5월, 일본 기반 거래소 DMM 비트코인은 약 3억 800만 달러의 피해를 입었다. 이는 당시 기준 약 4,502.9 BTC에 해당하는 규모다.

조사관들은 이 사건을 사회공학 캠페인에 따른 공격으로 판단했다. 공격자는 링크드인에서 가짜 채용 제안을 내세워 지갑 소프트웨어 관련 기업인 Ginco의 직원을 겨냥했다. 해당 직원은 악성 코드를 실행하도록 유도된 것으로 알려졌으며, 이를 통해 공격자는 회사의 운영 환경에 개입할 기회를 얻었다.

이 사건은 중요한 보안 현실을 보여줬다. 공격자가 반드시 블록체인 자체를 침해해야 하는 것은 아니다. 개발자, 관리자, 거래 승인 절차에 접근할 수 있다면 치명적인 자금 이체를 승인하도록 만드는 것만으로도 충분할 수 있다.

바이비트: 약 15억 달러

2025년 2월 발생한 바이비트 공격은 당시까지 알려진 암호화폐 탈취 사건 중 최대 규모였으며, 피해액은 약 15억 달러로 추정됐다.

FBI는 이 사건을 공개적으로 TraderTraitor의 소행으로 지목했다. 이번 공격은 거래 승인 시스템, 다중서명 구조, 복잡한 디지털 자산 이체를 검토하는 데 사용되는 인터페이스와 관련된 위험에도 관심을 불러일으켰다.

다중서명 지갑은 단일 키가 탈취되는 위험을 줄일 수 있지만, 완전한 해결책은 아니다. 여러 서명자가 속거나, 서명 인터페이스가 잘못된 정보를 표시하거나, 공격자가 주변 인프라를 침해한다면 다중서명 절차 역시 악용될 수 있다.

KelpDAO: 약 2억 9,200만 달러

2026년 4월, KelpDAO는 약 2억 9,200만 달러의 피해를 입은 것으로 알려졌다.

보안 연구진은 Tornado Cash와 관련된 소액 초기 이체, 서명 관련 거래의 사전 준비, 본격적인 익스플로잇에 앞선 단계적 자금 이동 등 여러 특징이 과거 TraderTraitor의 활동과 일치하는 것으로 보인다고 지적했다.

이와 같은 사건에서 공격 주체를 특정하는 과정은 즉각적인 단정이라기보다 확률에 기반한 판단인 경우가 많다. 분석가들은 결론을 내리기 전에 거래 행태, 인프라 재사용 여부, 지갑 간 연관성, 악성코드 패턴, 이체 시점 등을 비교한다.

비트겟: 3억 5,000만~3억 8,700만 달러로 추정

2026년 9월 비트겟과 관련해 발생한 사건의 피해액은 출처에 따라 3억 5,000만~3억 8,700만 달러로 추정됐다.

분석가들은 탈취된 자금과 과거 TraderTraitor 연계 활동과 관련된 지갑 사이의 연결고리를 발견한 것으로 알려졌다. 의심되는 공통점으로는 동일한 자금 세탁 경로, 유사한 자금 분할 패턴, 이후 다른 대형 탈취 사건의 자금과 섞인 자산 등이 거론됐다.

여러 탈취 사건이 동일한 전환 서비스, 브리지 또는 중개 주소를 이용하면 블록체인 조사관들이 더 광범위한 작전 네트워크를 파악할 가능성이 있다. 다만 자금이 공통 인프라를 거쳤다는 사실만으로 모든 사건이 동일한 인물들에 의해 수행됐다고 단정할 수는 없다. 최종적인 판단을 내리려면 온체인 증거와 오프체인 정보 분석을 종합해야 한다.

바이낸스: 60억 달러 이상

바이낸스 탈취 사건은 2026년 10월 발생한 것으로 알려졌으며, 피해 규모는 60억 달러를 초과했다. FBI가 TraderTraitor를 배후로 지목하면서, 이 조직은 암호화폐 역사상 최대 규모의 해킹 사건 중심에 서게 됐다.

이번 사건의 규모가 주목받는 이유는 두 가지다. 첫째, 단 한 번의 침해로 발생한 재정적 피해가 이제 주요 전통 금융 범죄에 필적할 수 있음을 보여준다. 둘째, 이 조직의 수법이 단순히 기회를 노린 피싱에서 벗어나 복잡한 디지털 자산 생태계를 겨냥한 장기 캠페인으로 진화했음을 시사한다.

바이낸스와 바이비트 사건이 중요한 이유

암호화폐 탈취 규모 1위와 2위 사건이 연결되면서, 업계는 거래소 보안을 평가하는 방식을 새롭게 바라봐야 하게 됐다.

1. 블록체인 자체가 핵심 취약점이 아닐 수 있다

대규모 사건의 상당수에서 기반 블록체인 프로토콜은 설계된 대로 계속 작동한다. 문제는 사람들이 애플리케이션을 통해 블록체인과 상호작용하는 지점에서 발생한다.

• 거래소 수탁 시스템
• 개발자 환경
• 서명 장치
• 거래 승인 대시보드
• 클라우드 인프라
• 직원 간 커뮤니케이션 채널
• 외부 지갑 소프트웨어
• API 키 및 접근 자격 증명

따라서 블록체인 보안은 스마트 컨트랙트 코드만의 문제가 아니라, 처음부터 끝까지 이어지는 통합 보안 영역으로 다뤄야 한다.

2. 사회공학은 여전히 매우 효과적이다

가짜 채용 제안, 투자 기회, 파트너십 제안, 기술 문서 등은 여전히 강력한 공격 수단으로 사용된다.

블록체인 기업에서 근무하는 직원들은 출처를 알 수 없는 메시지를 대량으로 받는 경우가 많다. 악성 파일이나 애플리케이션도 현실적인 채용 또는 사업 개발 대화 속에 포함되면 진짜처럼 보일 수 있다.

따라서 조직은 기술적으로 숙련된 직원조차 공격 대상이 될 수 있다고 전제해야 한다. 보안 교육은 비밀번호와 피싱 링크에만 국한해서는 안 된다. 코드 저장소, 원격 접속 도구, 지갑 소프트웨어, 브라우저 확장 프로그램, 거래 서명 절차까지 포함해야 한다.

3. 거래 검토는 사람이 이해할 수 있는 방식이어야 한다

거래는 개괄적으로는 정상적으로 보이더라도 위험한 세부 내용을 포함할 수 있다. 공격자는 토큰 승인, 컨트랙트 상호작용, 수신 주소 또는 거래 매개변수를 조작할 수 있다.

보안팀은 독립적인 검증 채널을 사용하고, 서명자가 다음 항목을 확인하도록 해야 한다.

• 정확한 수신 주소
• 전송되는 자산과 수량
• 부여되는 컨트랙트 권한
• 네트워크 및 체인 식별자
• 거래의 목적
• 해당 거래가 내부적으로 승인된 요청과 일치하는지 여부

익숙한 인터페이스에 표시된다는 이유만으로 거래를 무심코 승인하는 것은 디지털 자산 운영에서 가장 위험한 습관 중 하나다.

4. 온체인 추적은 강력하지만 즉각적인 해결책은 아니다

공개 원장은 조사관들이 도난 자산을 추적할 수 있도록 해준다. 이는 전통적인 현금 범죄에서는 불가능한 경우가 많다. 그러나 추적이 곧 회수를 보장하는 것은 아니다.

공격자는 다음과 같은 수단을 사용할 수 있다.

• 크로스체인 브리지
• 탈중앙화 거래소
• 토큰 스왑
• 다수의 중개 지갑
• 프라이버시 강화 서비스
• 장외거래 브로커
• 오랜 시간이 지난 뒤에야 활성화되는 휴면 지갑

결국 조사관과 범죄자 사이에는 끊임없는 추적 경쟁이 벌어진다. 거래소, 수탁기관, 분석 기업, 법 집행기관은 신속하게 정보를 공유해야 한다. 사건 발생 후 처음 몇 시간이 결정적인 경우가 많기 때문이다.

사용자와 조직이 지금 할 수 있는 일

TraderTraitor 관련 사건은 개인 사용자와 전문 암호화폐 조직 모두에게 실질적인 교훈을 제공한다.

장기 보유 자산과 활발한 거래 자금 분리

매일 거래할 필요가 없는 자산을 거래소 계정이나 인터넷에 연결된 애플리케이션에 계속 두어서는 안 된다. 자산 보관을 분리하는 구조를 마련하면 거래 계정, API 키 또는 사용 중인 컴퓨터가 침해됐을 때 노출되는 자산 규모를 제한할 수 있다.

하드웨어 기반 거래 승인 사용

하드웨어 지갑은 개인 키를 범용 컴퓨터와 분리해 보관함으로써 악성코드에 노출될 위험을 줄일 수 있다. 하지만 하드웨어 지갑이 신중한 거래 검증을 대신해 주는 것은 아니다. 사용자는 거래를 승인하기 전에 주소, 네트워크, 금액, 컨트랙트 상호작용을 직접 확인해야 한다.

시드 문구를 별도로 백업

지갑 복구 문구는 오프라인에서 생성하고 보관해야 한다. 웹사이트, 메신저 애플리케이션, 클라우드 문서 또는 출처를 알 수 없는 소프트웨어에 입력해서는 안 된다.

복구 문구를 촬영하거나 디지털 방식으로 복사하는 것도 피해야 한다. 실물 백업은 무단 접근, 화재, 침수, 실수로 인한 분실로부터 보호해야 한다.

출처를 알 수 없는 채용 메시지를 보안 사건으로 취급

Web3 업계에서 일하는 사람에게 채용 제안이나 파트너십 요청은 공격 시도일 수 있다. 파일, 저장소, 화상회의 애플리케이션, 브라우저 확장 프로그램, 지갑 관련 도구는 설치하거나 실행하기 전에 별도의 커뮤니케이션 채널을 통해 확인해야 한다.

재무 관리팀을 위한 운영 통제 강화

상당한 규모의 디지털 자산을 관리하는 조직은 다음과 같은 조치를 고려해야 한다.

• 여러 단계에 걸친 독립적인 승인 절차
• 주소 허용 목록 및 출금 지연
• 서명 전 거래 시뮬레이션
• 서명용 기기와 커뮤니케이션용 기기의 분리
• 엄격한 역할 기반 접근 제어
• 긴급 중지 절차
• 지갑 활동에 대한 상시 모니터링
• 외부 연동 서비스에 대한 정기적인 점검
• 사고 대응 훈련

자금력 있는 공격자를 상대로는 단 하나의 보안 통제만으로 충분하지 않다. 가장 강력한 방어는 기술적 격리, 절차 준수, 신속한 탐지를 결합하는 것이다.

암호화폐 보안의 미래에 미치는 의미

최근 사건들은 위협 환경이 더 광범위하게 변화하고 있음을 다시 한번 보여준다. 암호화폐 탈취는 더 이상 보안이 취약한 개인 지갑을 공격하거나 명백한 스마트 컨트랙트 취약점을 악용하는 데 그치지 않는다. 대규모 범죄 조직은 사람, 애플리케이션, 거래소, 블록체인을 연결하는 인프라를 점점 더 정교하게 노리고 있다.

앞으로 가장 큰 보안 개선 효과를 가져올 것으로 예상되는 분야는 다음과 같다.

• 개선된 거래 서명 인터페이스
• 더욱 명확한 거래 시뮬레이션
• 강화된 기기 격리
• 향상된 직원 보안 교육
• 거래소와 조사기관 간 신속한 공조
• 더욱 효과적인 제재 및 자산 동결 절차
• 의심스러운 자금 흐름의 자동 탐지
• 수탁 구조에 대한 투명성 강화

업계가 얻어야 할 핵심 교훈은 분명하다. 개인 키 보안은 반드시 필요하지만, 문제의 일부에 불과하다. 디지털 자산을 보호하려면 모든 거래를 둘러싼 기기, 신원, 애플리케이션, 승인 절차, 커뮤니케이션 채널까지 함께 보호해야 한다.

개인 사용자를 위한 실질적인 보호 계층

상당한 규모의 암호화폐를 보유한 개인에게 하드웨어 지갑은 중요한 보호 수단이 될 수 있다. 인터넷에 연결된 컴퓨터와 개인 키 관련 작업을 분리해 관리할 수 있기 때문이다.

OneKey 하드웨어 지갑은 오프라인 키 격리와 기기 자체에서의 거래 승인을 중심으로 설계됐다. 이를 통해 컴퓨터에 설치된 악성코드가 개인 키를 몰래 탈취할 위험을 줄이는 데 도움을 받을 수 있다. 그러나 사용자는 여전히 모든 거래를 꼼꼼히 확인하고 안전한 백업 절차를 따라야 한다. 복구 문구가 노출되거나 악성 거래가 승인되면 하드웨어 기반 보관만으로는 자산을 보호할 수 없기 때문이다.

바이낸스와 바이비트 사건은 자기 수탁을 단순히 기기를 구매하는 일로 봐서는 안 된다는 점을 보여준다. 점점 더 정교해지는 암호화폐 탈취 캠페인에 대응하려면 안전한 키 생성, 오프라인 백업, 수신 주소 검증, 신중한 서명 습관을 모두 갖춰야 한다.