지난달 기록적인 64억 달러 규모의 바이낸스 해킹 사건 배후에 있는 북한 해커들이 새로 발행된 다양한 밈코인을 통해 탈취한 암호화폐 자산을 세탁하고 있다.
암호화폐 분석 업체 엘립틱은 새로운 분석에서 해커들이 NEAR 블록체인을 이용해 6개의 새로운 밈코인을 발행했으며, 각 코인은 자체 유동성 풀에서 NEAR 토큰과 페어를 이룬다고 지적했다.
이 밈코인들은 'FUK', 'SINU'처럼 익숙하게 들리는 이름을 갖고 있으며, 침팬지, 여우, 그리고 '엘론 2028 대통령' 배너 아래의 일론 머스크를 로고로 내세운다.
해커들은 탈취한 NEAR를 한 지갑 집합으로 옮긴 뒤, 그 자금을 서로 다른 유동성 풀에 납입하고 그 대가로 새로 발행된 밈코인을 받았다. 또 다른 지갑 집합은 그 밈코인을 유동성 풀에 되팔고 실제 암호화폐 자산을 인출했다.
엘립틱의 최고 과학자 겸 공동 창립자인 톰 로빈슨은 해커들의 움직임이 여전히 블록체인에서 추적 가능하다고 지적한다.
자금을 숨긴다기보다 자금을 추적하는 사람들의 속도를 늦추는 것이다. 경유지가 하나 늘어날 때마다 추적에 시간이 걸리며, 자금 세탁은 자금이 표시되기 전에 옮기는 속도 경쟁이다. 또한 이 토큰은 NEAR에서 개당 약 90달러로 저렴하기 때문에 세탁자들은 여러 개를 만들어 사용한 뒤 각각 폐기할 수 있다.
북한의 자금세탁 조직은 좀처럼 단일 수법에 의존하지 않는다. 대신 값싼 수법을 여러 겹으로 쌓아 올리며, 각 단계마다 지연을 조금씩 더한다. 직접 만든 밈 토큰은 그저 또 하나의 층일 뿐이다.”
해커들은 트론(TRX) 블록체인에서도 동일한 수법을 사용했으며, 솔라나(SOL)에서는 기존에 존재했으나 거래량이 적었던 토큰을 이용해 유사한 수법을 썼다.
분석 기업 체이널리시스는 이 기록적인 해킹을 북한의 사이버 범죄 조직인 트레이더트레이터의 소행으로 지목했으며, 이 조직은 국가 후원 해킹 조직인 라자루스 그룹의 산하에서 활동하는 것으로 알려져 있다.
