Bybit 1조 9천억 털린 대형 사건: Lazarus Group의 평양 송금 예상 시나리오 분석

Bybit 1조 9천억 털린 대형 사건: Lazarus Group의 평양 송금 예상 시나리오 분석

배경
북한의 Lazarus Group은 세계적으로 악명 높은 해킹 조직으로, Reconnaissance General Bureau(정찰총국) 소속으로 활동하고 있습니다. 2007년부터 사이버 공격을 시작하여 Sony Pictures(2014년), WannaCry(2017년) 같은 대규모 사건을 일으켰습니다. 암호화폐 시장이 본격화된 2017년 이후로는 Youbit(7천만 달러, 2017년), Coincheck(5.3억 달러, 2018년) 등 거래소를 집중 공격하며 총 30억 달러 이상을 탈취했습니다. 이는 북한의 연간 수출액 1.42억 달러를 훨씬 초과하는 금액으로, 핵무기 개발과 미사일 프로그램 자금으로 사용되며 국제 사회의 심각한 우려를 낳고 있습니다.

사건 개요
2025년 2월 21일, Bybit이 암호화폐 역사상 가장 큰 해킹 피해를 입었습니다. 피해액은 1조 9천억 원(14억 6천만 달러)으로, 401,346 ETH(11.2억 달러), 90,376 stETH(2.53억 달러), 15,000 cmETH(4,400만 달러), 8,000 mETH(2,300만 달러)가 도난당했습니다. 온체인 분석가 ZachXBT와 Arkham Intelligence는 이를 Lazarus Group의 소행으로 확인했습니다.
공격은 Bybit의 ETH 멀티시그 콜드 월렛에서 웜 월렛으로 자금을 이동하던 중 발생했습니다. 해커는 서명 인터페이스를 조작하여 스마트 계약 논리를 변경했고, 정상 주소로 위장한 뒤 모든 자금을 0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2로 전송했습니다. Bybit CEO Ben Zhou는 핫 월렛과 기타 콜드 월렛은 안전하다고 밝혔으나, ETH 가격이 3% 하락하여 2,640달러를 기록하며 시장에 충격을 주었습니다. Bybit은 20억 달러 자산을 보유하고 있으며, 1:1 자금 보장을 약속하고 브릿지 론으로 손실의 80%를 충당할 계획입니다.

Lazarus Group의 현금화 전략
Lazarus Group은 이미 1조 9천억 원을 현금화하여 평양으로 송금하기 위한 계획을 실행 중입니다. 그들의 자금 세탁 과정은 치밀하고 조직적이며, 아래 단계별로 분석해 보겠습니다.

🔴 자금 분산
해킹 발생 후 24시간 이내에 자금은 49개 이상의 주소(예: 0xcEA1A76f2d8e0881b9b185F229e49E3928d37A04)로 분산되었습니다. Arkham Intelligence에 따르면, 2억 달러 이상의 stETH가 ETH로 전환되었고, 500~1,000 ETH 단위로 세분화되어 추적을 회피하고 있습니다. 이는 Ronin 해킹(6.25억 달러, 2022년) 당시 48시간 만에 100개 이상의 주소로 자금을 나눈 패턴과 유사합니다.

🟠 믹싱 작업
분산된 자금은 Uniswap 또는 PancakeSwap과 같은 DEX에서 USDT나 Tron으로 전환될 가능성이 높습니다. 또한, 크로스체인 브릿지를 통해 Ethereum에서 Tron 또는 Bitcoin으로 이동할 수 있습니다. 과거에는 Tornado Cash를 활용했으나, 2022년 미국 제재 이후 Sinbad.io 같은 새로운 믹서를 사용하고 있습니다. Elliptic은 2024년 말 다른 해킹 자금 2,420만 달러가 Sinbad로 이동한 사례를 확인했고, Chainalysis는 Atomic Wallet 해킹(1억 달러, 2023년) 당시 자금의 60% 이상이 Tron 네트워크로 이동했다고 보고했습니다. 추적을 차단하기 위해 복잡한 블록체인을 선택하는 전략입니다.

🟡 OTC 현금화
혼합된 자금은 규제가 약한 지역의 OTC 데스크로 이동할 것입니다. Huione Pay(캄보디아)나 동남아시아 소규모 거래소가 주요 경로로 예상되며, 유령 회사나 개인 계좌를 통해 은행 송금, 현금 인출, 혹은 러시아·중국 암시장 딜러들과 거래를 진행할 가능성도 있습니다. Elliptic은 Horizon Bridge 해킹(1억 달러, 2022년)에서 3,500만 달러가 태국에서 현금으로 인출된 사례를 추적했으며, 이번 경우 최소 5억 달러 이상이 OTC를 통해 현금화될 것으로 보입니다.

🟢 평양으로 송금
현금화된 자금은 평양으로 송금되어 핵무기 개발과 정권 유지에 사용될 것입니다. TRM Labs에 따르면, Lazarus Group은 2018년 이후 20억 달러 이상을 훔쳤으며, 2022년에만 10억 달러를 탈취했습니다. 이는 북한의 연간 수출액 1.42억 달러와 비교할 때 압도적인 금액입니다. 2023년 UN 보고서에 따르면, 이러한 자금은 미사일 시험(연간 6억 달러 소요)과 사이버군 운영에 투입되고 있으며, 이번 1조 9천억 원은 북한 경제를 몇 년간 지탱할 수 있는 수준입니다.

반복되는 패턴
이번 사건은 Atomic Wallet(1억 달러, 2023년), Ronin(6.25억 달러, 2022년), KuCoin(2.8억 달러, 2020년) 해킹과 동일한 양상을 보입니다. 소셜 엔지니어링으로 개인 키를 탈취하고, 다층 혼합으로 추적을 차단한 뒤 OTC를 통해 빠져나가는 방식입니다. Bybit 사태는 거래소 보안의 취약성을 여실히 드러냈으며, 멀티시그 프로세스 강화, 실시간 온체인 모니터링, 직원 대상 피싱 방어 교육이 없다면 Lazarus Group의 공격을 막을 수 없습니다.

더 알아보기
Sinbad.io로 자금 이동: 2024년 말 2,420만 달러 확인 (Elliptic: North Korean Hackers and Sinbad - www.elliptic.conorth-korean-h…
Horizon Bridge OTC 사례: 3,500만 달러 현금화, 태국 드롭 (Elliptic: Horizon Bridge Exploit Analysis - www.elliptic.cohorizon-bridge…
Ronin 분산 패턴: 6.25억 달러, 100개 이상 주소 (Chainalysis: Ronin Bridge Hack - www.chainalysis.com)
TRM Labs 통계: 2018년 이후 20억 달러 (TRM Labs: North Korea Crypto Heists - www.trmlabs.comnorth-korea-cr…
UN 보고서: 핵무기 자금 연계 (UN Panel of Experts Report - www.un.orgreports)

출처 : Funkyonchain