오늘, 미국 법무부(DOJ)는 ‘라자루스 그룹(Lazarus Group)’으로 알려진 북한 연계 해커들이 한 거래소에서 탈취한 약 2,870만 달러 상당의 이더리움( 가상자산 )을 세탁하는 데 연루된 280개의 가상자산 주소 소유자들을 상대로 한 민사 몰수 소송장을 공개했습니다. 이 소송장에는 또한 해당 그룹이 자행한 두 번째 거래소 해킹 사건과 관련된 자금 이동 내역도 분석되어 있습니다.
이 사건은 라자루스 그룹이 가상자산 거래소에서 탈취한 자금을 세탁하기 위해 점점 더 정교해지는 자금 세탁 기법을 사용하고 있음을 여실히 보여준다. 그러나 이러한 노력에도 불구하고, FBI, HSI, IRS-CI 및 기타 기관의 수사관들은 여전히 해당 자금의 최종 목적지를 추적해 낼 수 있었다. 또한 일부 사례에서는 거래소 측이 해커들이 탈취한 자금을 자사 플랫폼에 입금하거나 거래하는 것을 차단하기도 했다.
국가 안보에 중대한 영향을 미치는 사건을, 국가 차원의 행위자들이 보여준 전례 없는 수준의 정교함에도 불구하고 해결해 낸 정부 파트너들에게 축하의 말씀을 전합니다. 또한, 이러한 파트너들이 첨단 은폐 기법에 대응하고 사이버 범죄자들이 세탁하려는 자금을 추적할 수 있도록 돕는 수사 도구를 제공하게 되어 자랑스럽게 생각합니다. 아울러, 해당 자금이 플랫폼에서 거래되는 것을 방지하는 데 필요한 거래 모니터링 도구를 거래소에 제공하게 된 점도 자랑스럽게 생각합니다.
자세한 내용을 확인하려면 여기에서 법무부(DOJ)의 고소장 전문을 읽어보실 수 있습니다. 아래에서는 라자루스 그룹이 자금 세탁 기법을 어떻게 더욱 정교하게 발전시키고 있는지, 그리고 정부 기관과 거래소들이 블록체인 분석을 통해 어떻게 대응하고 있는지를 보여주는 이 사건의 몇 가지 구체적인 요소를 살펴보겠습니다.
라자루스 그룹의 ‘ 가상자산 ’을 통한 자금 세탁 수법의 정교화
오늘 제기된 고소와 관련된 두 건의 거래소 해킹 사건에서 탈취된 자금은 당초 비트코인, 이더리움, 알고랜드 등 세 가지 유형의 암호화폐( 가상자산)로 구성되어 있었습니다. 그러나 해커들은 자금을 현금화할 수 있는 서비스로 이동시키는 과정을 은폐하기 위해 ‘체인 호핑(chain hopping)’이라는 기법을 사용하려 했습니다. 이 기법은 자금을 다른 유형의 암호화폐( 가상자산 )로 교환하여 블록체인 간 추적을 어렵게 만드는 방식입니다. 이후 해커들은 자금을 비트코인으로 전환한 뒤 다른 서비스를 통해 현금화하려 시도했습니다.
이러한 활동의 사례는 체이널리시스 Reactor 아래 그래프에서 확인할 수 있는데, 이 그래프는 해커들이 해킹을 통해 탈취한 비트코인의 일부를 어떻게 이동시켰는지를 보여줍니다.
그래프의 오른쪽 하단 부분에서 볼 수 있듯이, 해커들은 ‘거래소 4’와 ‘거래소 9’로 표시된 두 거래소에서 비트코인을 인출했는데, 이는 체인 호핑을 통해 초기 해킹으로 탈취한 다른 종류의 이더리움( 가상자산 )을 그래프에 표시된 비트코인으로 교환한 결과입니다. 그러나 수사관들은 블록체인 분석 도구를 활용하여, 자금이 비트코인으로 전환되어 도표상의 “거래소 6”으로 이동하기 전까지, 심지어 잘 알려지지 않은 암호화폐에 흩어져 있는 경우에도 자금의 흐름을 추적할 수 있었습니다.
그러나 라자루스 그룹 해커들은 몇 가지 새로운 자금 세탁 수법을 사용하기는 했지만, 동시에 ‘장외(OTC) 중개인을 통한 자금 현금화’라는 핵심적인 기존 수법에도 의존했습니다. 배경 설명을 덧붙이자면, 장외 중개인은 공개 거래소에서 거래할 수 없거나 거래하기를 원하지 않는 개인 매수자와 매도자 간의 거래를 중개합니다. 장외 중개인은 일반적으로 특정 거래소와 연계되어 있지만 독립적으로 운영됩니다. 거래자들은 대량의 ‘ 가상자산 ’를 미리 협의된 고정 가격에 현금화하고자 할 때 종종 장외 중개인을 이용합니다.
그래프의 우측 상단 부분에서 볼 수 있듯이, 해커들은 탈취한 자금의 상당 부분을 “Exchange 6”으로 표기된 거래소에 소속된 장외(OTC) 중개업체로 이동시켜 현금으로 전환했습니다. 저희는 이전에 사이버 범죄자들이 자금 세탁 목적으로 장외 중개업체를 이용하는 방식에 대해 다룬 바 있습니다. 실제로, 위 그래프에 표시된 ‘거래소 6’에 소속된 특정 장외 중개업체 중 일부는, 지난 수년간 조사 에서 불법 자금을 빈번하게 취급하는 것으로 확인된 100개 장외 중개업체 목록인 ‘Rogue 100’에 포함된 업체들과 대규모 거래를 진행해 왔습니다. 이는 해당 장외 중개업체들이 이번 사건 이전에도 다른 불법 거래에 연루되었을 가능성을 시사합니다.
거래소들의 움직임이 활발해지고 있다
미 법무부의 고소장에는 또한 일부 사례에서 거래소들이 라자루스 그룹이 자사 플랫폼에서 자금을 세탁하는 것을 막을 수 있었다는 점도 분명히 밝혀져 있다.
예를 들어, 고소장에 따르면 2019년 12월, 해커들은 한 해킹 사건에서 탈취한 이더리움을 거래소 9에서 비트코인으로 전환하여 체인 호핑을 시도했으며, 이는 그래프의 우측 하단 부분에서 확인할 수 있습니다(단, 위 그래프에는 이더리움 거래가 포함되어 있지 않다는 점에 유의하시기 바랍니다). 그러나 해당 거래소의 거래 모니터링 도구는 유입된 자금이 거래소 해킹을 통해 유입된 것임을 감지하여 경보를 발령했고, 이로 인해 거래가 처리되는 것을 막을 수 있었습니다. 해당 자금은 현재까지도 거래소 9에 동결된 상태입니다.
이 사례는 법 집행 기관이 체인 호핑 거래를 통해 자금을 추적할 수는 있지만, 거래소 측에서는 적절한 거래 모니터링 도구를 활용하면 그러한 거래가 발생하지 않도록 사전에 차단할 수 있음을 보여줍니다. 이러한 도구를 자금 세탁 방지( 컴플라이언스 ) 프로그램에 도입하는 거래소가 늘어날수록, 라자루스(Lazarus)와 같은 해킹 집단이 훔친 자금을 세탁하고 현금화할 수 있는 선택지는 점점 줄어들게 됩니다.
우리는 올바른 방향으로 나아가고 있습니다
이번 사례는 악의적인 행위자들이 끊임없이 진화하는 수법을 동원하더라도, 가상자산 업계와 정부가 협력하여 이들이 암호화폐를 사리사욕을 위해 악용하는 것을 막을 수 있음을 다시 한번 보여줍니다. 저희는 정부와 업계 사이의 가교 역할을 수행하며, 양측에 가상자산 을 더 안전하고 투명하게 만들어 암호화폐의 보급이 지속적으로 확대될 수 있도록 필요한 도구를 제공하는 데 기여하고 있음을 자랑스럽게 생각합니다.
다음과 같은 방법에 대해 더 자세히 알고 싶으신가요? 체이널리시스 라자루스 그룹 및 기타 사이버 범죄자들이 훔친 자금을 수사관들이 추적하는 데 어떻게 도움이 되는지 더 자세히 알고 싶으신가요? 여기에서 데모에 등록하세요!
