[인터뷰] 남기훈 람다256 CTO "바이낸스 탈취 자금, 지금도 세탁 중"

(서울=연합뉴스) 유동현 기자 = "지금도 블록체인 네트워크인 트론(TRON)을 통해 바이낸스 해킹 자금이 계속 세탁되고 있는 것으로 보입니다"

두나무 계열 블록체인 전문기업인 람다256의 남기훈 최고기술책임자(CTO)는 5일 연합뉴스와의 인터뷰에서 자체 블록체인 분석 도구인 '클레어 인베스티게이션'을 통해 분석한 바이낸스 탈취 자금의 움직임에 관해 이같이 밝혔다.

자체 분석 결과 탈취된 자산 약 63억6천만달러 중 비트코인, 이더리움, 트론 등 3개 네트워크를 통한 규모가 전체의 92.9%(약 59억1천만달러)를 차지했다.

이더리움이 59.7%(약 38억달러)로 가장 컸고, 비트코인(23.3%·약 14억8천만달러), 트론(9.9%·약 6억3천만달러) 순이었다.

이더리움·비트코인 네트워크에서는 이더리움 52만2천409개, 비트코인 1만8천270개, 스테이블코인(USDT·USDC) 22억달러어치가 동결되거나 이동이 없는 상태다.

반면, 트론 네트워크에서는 탈취 자금을 다른 코인으로 바꾸는 '스와프'(Swap)와 다른 네트워크로 옮기는 '브릿지'(Bridge)를 거쳐 이동과 세탁이 이뤄졌다.

남 CTO는 "트론에서 네이티브 토큰인 'TRX'나 USDT를 다른 자산으로 바꾸고, 여러 갈래로 나눠 다른 블록체인으로 옮기는 흐름이 해킹 직후 사흘 동안 집중됐고, 지금도 소규모 이동이 이어지고 있다"고 설명했다.

실제 해킹 발생 당일(10월 30일)부터 이날 오후 2시까지 클레어가 추적한 해킹 자금 경로에서 4만3천여건의 전송이 확인됐다.

특히 해킹 직후 사흘 간(10월30일∼11월1일) 99%의 전송이 집중적으로 이뤄졌다. 이후로도 하루 수십∼수백 건의 이동이 이뤄지고 있다.

세부적으로 스와프 관련 전송이 1만6천여건, 브릿지 입금은 약 3천500 건이었다. 남 CTO는 해킹 자금이 다양한 방식으로 세탁되고 있다는 의미라고 설명했다.

탈중앙화 거래소(DEX)의 유동성 풀도 자금 세탁에 활용됐다.

유동성 풀은 여러 이용자가 맡긴 가상자산을 모아 교환하는 구조로, 탈취 자금이 다른 이용자의 자금과 섞이면 자산의 출처를 구분하기 어려워진다.

남 CTO는 "유동성 풀에는 범죄 자금뿐 아니라 여러 자금이 함께 있고, 그 안에서 자산이 교환되기 때문에 자금 추적이 쉽지는 않다"고 말했다.

향후 탈취 자금이 믹서(mixer)를 거치면서 추적이 한층 어려워질 수 있다. 믹서는 여러 이용자의 가상자산을 섞은 뒤 다른 주소로 보내 자금의 출처를 감추는 기술로 '토네이도 캐시'(Tornado Cash)가 대표적이다.

남 CTO는 "기존 사례를 보면 시끄러울 때 움직이기보다는 갑자기 조용해졌다가 자금을 움직일 가능성이 크다"며 "토네이도 캐시 같은 믹서로 들어가면 그 자금이 어디서 왔는지 증명하기가 어려워진다"고 했다.

남 CTO는 탈취 자금이 결국에는 대부분 현금화될 것으로 예상했다. 범죄 조직 간 거래 때 이 자금이 가상자산 형태로 오갈 수도 있다고 부연했다.