미국 법무부, 바이낸스 해킹 자금 12억 달러 압류·동결 명령 확보…몰수·반환 시점은 미정

미국 법무부(DOJ)가 바이낸스 해킹으로 탈취된 자금 가운데 12억 달러(약 1조 6,000억 원, 1달러 1,334원 기준) 이상을 압류하거나 동결할 수 있는 법원 명령을 확보했다. 법무부는 11월 12일(현지시각) 이 사실을 발표하면서 북한 연계 사회공학 캠페인 ‘페이스스틸러(FaceStealer)’의 클라우드 인프라를 무력화했다는 사실도 함께 공개했다. 다만 법원 명령은 자금 회수가 끝났다는 뜻이 아니다. 몰수 절차와 피해 반환 시점은 아직 정해지지 않았다.

12억 달러 법원 명령, ‘회수 완료’와는 다르다

법무부가 확보한 것은 12억 달러 이상을 ‘압류 또는 동결(seize or restrain)’할 수 있는 권한이다. 크립토슬레이트(CryptoSlate)에 따르면 법무부는 완료된 몰수나 반환 일정을 발표하지 않았다. 압류와 동결 중 어느 쪽이 얼마인지도 나누지 않았다. 이 매체는 법원 명령이 일부 자산에 대한 법적 조치 범위를 정한 것일 뿐 전액이 이미 압류됐다는 뜻은 아니라고 짚었다.

금액의 층위도 구분해야 한다. 법무부는 미국 정부와 민간 부문의 공동 노력으로 27억 달러 이상이 동결됐고, 12억 달러 이상은 그 안에서 법원 권한이 확보된 부분이라고 설명했다. 두 숫자는 합산하는 것이 아니라 포함 관계다. 프로토스(Protos)는 동결 자금이 테더, 리플, 서클, 월드리버티파이낸셜, 아비트럼 등 암호화폐 기업을 통해 묶였다고 전했다.

피해 보전까지는 단계가 더 남아 있다. 크립토슬레이트는 법무부의 일반 지침을 근거로 자산을 식별하고 압류한 뒤 몰수해야 비로소 피해자 보상(remission)이 가능하다고 설명했다. 이번 발표에서는 최종 몰수액과 수령 주체, 반환 시점이 모두 밝혀지지 않았다. 법무부는 탈취 자산을 추적·동결·압류·몰수하는 작업이 계속 진행 중이라고 밝혔다.

바이낸스의 보전 약속은 별개의 문제

바이낸스는 법원 명령과 별도로 자체 손실 보전을 약속한 상태다. 크립토슬레이트에 따르면 바이낸스는 11월 3일 사고 보고서에서 탈취 손실의 재정 부담을 직접 감당하겠다고 밝혔다. 필요한 금액의 100% 이상을 확보해 뒀다는 설명도 덧붙였다.

코인트리뷴은 바이낸스가 피해 자산을 보전하기 위해 63억 4,000만 달러 이상의 자원을 동원했다고 전했다. 바이낸스는 11월 12일 발표에서 준비금 현황을 담은 새 스냅샷도 공개했다. 코인트리뷴은 회사의 재무적 보전 발표를 사법적 자금 회수와 혼동해서는 안 된다고 강조했다.

크립토슬레이트도 같은 취지로 이 약속이 회사 측 발표이며 독립적으로 감사된 준비금이 아니라고 선을 그었다. 법원이 허용한 12억 달러의 처분 방향과 바이낸스가 자체 자금으로 메우는 손실은 서로 다른 트랙이다. 법무부는 해킹이 10월 29일경 발생했고 탈취 규모가 60억 달러 이상이라고 밝혔다.

세탁 경로 추적과 연방 기관 공조

법무부는 FBI가 공격을 북한군 소속 조직인 트레이더트레이터의 소행으로 보고 있다고 밝혔다. 코인트리뷴과 더코인리퍼블릭에 따르면 이들은 지금도 브리지(블록체인 간 자산 이동 통로)와 믹서(거래 내역을 섞는 서비스), 거래소를 거치며 자금을 세탁하고 있다. 코인트리뷴은 NEAR 프로토콜에서 만든 밈코인으로 43만 달러가 세탁된 사례도 언급했다.

더코인리퍼블릭에 따르면 FBI와 비밀경호국, 국세청 범죄수사국은 최근 이 사건에 관한 사이버 경보를 냈다. 경보는 서비스 업체들에 바이낸스 자산 세탁에 쓰인 주소와의 거래를 차단하라고 촉구했다. 프로토스는 앞선 경보가 쏘체인 관련 노드 운영자에게 트레이더트레이터 연계 거래를 막으라고 요청한 사실도 있다고 짚었다. 같은 매체는 법무부가 언급하지 않은 세탁 수법으로 일론 머스크를 소재로 한 일부 밈코인 활용을 꼽았다.

수사 체계도 여러 기관으로 나뉘어 있다. 더코인리퍼블릭에 따르면 법무부 국가안보사이버과와 형사국이 워싱턴DC 연방검사실과 조율하고 있다. FBI 로스앤젤레스 지부와 사이버국, 가상자산 전담 부서도 자금 추적과 회수를 돕는다. 법무부는 미국이 동결로 자금이 법 집행기관의 손이 닿지 않는 곳으로 넘어가기 전에 막았고, 북한이 이런 자금을 불법 무기 프로그램에 쓴다고 주장했다.

페이스스틸러: 가짜 화상회의로 4억 달러 탈취

법무부가 같은 날 공개한 페이스스틸러는 지난 18개월간 4억 달러(약 5,300억 원) 이상의 암호화폐를 탈취한 것으로 지목된 북한 캠페인이다. 수법은 이렇다. 먼저 앞선 피해자에게서 빼앗은 계정으로 화상회의 초대장을 보낸다. 회의에서는 피해자의 웹캠을 몰래 녹화하고, 피해자가 아는 사람의 녹화 영상이나 딥페이크(AI로 합성한 가짜 영상)를 틀어 신뢰를 쌓는다.

신뢰가 형성되면 일부러 기술적 문제를 일으킨다. 그 뒤 회의 기능을 복구해 준다며 링크나 명령어를 실행하게 하는데 실제로는 악성코드 설치 경로다. 더코인리퍼블릭에 따르면 공격자들은 암호화폐·웹3 업계의 영향력 있는 인물을 딥페이크로 흉내 내기도 했다. 감염 뒤에는 연락처와 소셜미디어, 메신저 앱에 접근해 지인에게까지 접근한다. 코인트리뷴은 일부 침해가 최초 감염 몇 달 뒤에 나타났다고 전했다.

표적에는 오픈소스 소프트웨어 개발자와 유지관리자도 늘고 있다. FBI는 이들의 기기와 코드 저장소 계정에 접근하면 소프트웨어 공급망 공격으로 이어질 수 있다고 봤다. 연방 영장에 따라 FBI는 피해자의 웹캠 영상 900여 개를 압수했고, 수법과 침해 뒤 조치를 설명한 보고서도 공개했다. 인프라 차단은 캘리포니아 중부지구 연방검사실과 FBI 로스앤젤레스 지부가 주도했다.

별개 사건이지만 닮은 점, 그리고 북한의 부인

법무부는 페이스스틸러와 바이낸스 사건이 별개라고 밝혔다. 하나는 화상회의와 악성코드 중심이고, 다른 하나는 10월에 탈취된 자산 문제다. 프로토스는 바이낸스 직원을 상대로 한 가짜 채용 면접 기반 악성코드 유포에도 비슷한 기법이 쓰였을 수 있다고 지적했다. 다만 이는 이 매체의 추정이고 법무부가 두 사건의 연관성을 밝힌 것은 아니다.

북한은 관련성을 부인했다. 프로토스에 따르면 북한은 해킹 개입을 부인하며 미국의 주장을 이미지 훼손을 노린 ‘불순한 시도’라고 반박했다. 김정은 국무위원장의 여동생 김여정은 미국이 세계 곳곳의 사이버 범죄가 모두 북한 소행인 것처럼 국제 여론을 호도하는 것은 “공화국에 대한 엄중한 정치적 도발”이라고 말했다.

법적 회수의 다음 단계는 몰수 절차다. 코인트리뷴은 이번 사건이 지갑 보호만으로는 부족하고 소통 도구와 개발 환경의 보안이 중요하다는 점을 보여 준다고 지적했다. 12억 달러 가운데 최종 몰수액이 얼마가 될지는 법무부가 아직 밝히지 않았다.