가상자산이 해킹으로 탈취되면 돈은 어디로 사라질까.

은행 계좌의 돈이라면 금융기관이 지급을 중단하거나 의심 거래를 조사할 수 있다.

그러나 가상자산은 다르다.

공격자가 확보한 자산을 자신의 디지털 지갑으로 옮기면 거래기록은 블록체인에 남지만, 해당 자산을 마음대로 회수할 수 있는 것은 아니다.

공격자는 여러 주소로 자산을 분산하고, 다른 가상자산으로 교환하며, 서로 다른 블록체인과 서비스를 거쳐 이동시킬 수 있다.

추적할 수 있다는 것과 되찾을 수 있다는 것은 다른 문제다.

2026년 10월 31일 미국 연방수사국(FBI)이 발표한 사이버 경보는 바로 이 차이에 주목한다.

FBI는 글로벌 가상자산 거래소 바이낸스(Binance)에서 발생한 60억 달러 이상의 가상자산 탈취 사건을 북한 연계 사이버공격 활동인 'TraderTraitor'의 소행으로 지목했다.

사건이 발생한 시점은 10월 29일 전후다.

FBI는 미국 비밀경호국(USSS), 국세청 범죄수사국(IRS-CI)과 함께 탈취 자산의 이동을 추적한 결과, 공격자들이 자산을 주로 이더리움(ETH)으로 전환하는 움직임을 관찰했다고 밝혔다.

또한 공격자들이 탈중앙화금융(DeFi)과 즉시 교환 서비스 등을 이용해 추가적인 자금세탁을 시도할 것으로 예상했다.

FBI는 경보와 함께 탈취 자산을 보유했거나 보유한 이력이 있는 가상자산 주소를 대규모로 공개했다.

거래소와 블록체인 운영자, 분석업체 등 민간 사업자가 해당 주소와 연결된 거래를 차단하도록 요청한 것이다.

이번 발표는 단순히 해킹 조직의 정체를 공개한 사건이 아니다.

국가 연계 해킹으로 탈취된 가상자산이 국제적인 금융 범죄 수익으로 전환되는 과정을 차단하기 위해, 수사기관이 블록체인 생태계 전체에 협조를 요구한 사례다.

FBI가 지목한 TraderTraitor는 누구인가

TraderTraitor는 FBI가 북한 연계 악성 사이버활동을 추적하기 위해 사용하는 명칭이다.

이번 경보는 해당 활동이 바이낸스의 가상자산 탈취 사건에 책임이 있다고 명시했다.

가상자산 공격에서 공격 주체를 확인하는 것은 쉽지 않다.

공격자는 여러 국가의 서버와 가상사설망, 탈취한 계정, 위장된 신원을 이용할 수 있다.

따라서 공격에 사용된 서버의 위치만으로 실제 공격 주체를 판단할 수는 없다.

수사기관은 공격에 사용된 도구와 침입 방식, 자금 이동, 과거 공격과의 연관성 등 여러 증거를 종합해 공격 주체를 평가한다.

FBI가 TraderTraitor라는 명칭을 사용한 것은 이번 사건을 별개의 일회성 해킹이 아니라 기존에 추적해 온 북한 연계 사이버활동과 연결해 보고 있다는 의미다.

다만 이번 경보에는 공격자를 식별한 구체적인 기술 증거가 모두 공개되지는 않았다.

침입 과정에서 발견된 악성코드나 공격자의 인프라, 신원 확인 과정에 관한 자세한 설명도 포함되지 않았다.

따라서 FBI의 공격 주체 판단과 그 판단을 뒷받침하는 공개 증거의 범위는 구분해야 한다.

현재 확인되는 사실은 미국 연방수사국이 북한의 책임을 공식적으로 지목했다는 것이다.

세계 최대 거래소에서 발생한 60억 달러 이상의 탈취

바이낸스는 앞서 10월 30일 보안사고를 공개했다.

회사가 밝힌 피해 추정액은 약 63억 달러였다.

바이낸스는 초기 조사에서 데브옵스(DevOps) 엔지니어의 노트북 침해 가능성을 제기했다.

공격자가 해당 장비를 통해 내부 서비스 컨테이너에 접근하고 승인되지 않은 출금 거래를 제출했을 수 있다는 설명이었다.

동시에 지갑 개인키가 유출됐다는 증거는 발견하지 못했다고 밝혔다.

하지만 이 내용은 바이낸스의 초기 조사 결과다.

이번 FBI 경보 자체는 공격자가 바이낸스의 시스템에 어떤 방법으로 침투했는지 설명하지 않는다.

FBI가 확인한 범위는 공격 주체와 탈취 자산의 이동, 자금세탁 차단에 필요한 주소 정보에 초점이 맞춰져 있다.

따라서 해킹 경로에 대한 기술적 의혹과 FBI의 공식 판단을 혼동해서는 안 된다.

바이낸스가 밝힌 약 63억 달러와 FBI가 제시한 60억 달러 이상이라는 숫자 역시 같은 의미로 완전히 일치하는 집계는 아니다.

FBI는 피해 규모를 60억 달러가 넘는다고 표현했고, 바이낸스는 보다 구체적인 추정액을 발표했다.

실제 최종 피해액은 자산의 평가 시점과 집계 범위, 후속 회수 여부에 따라 달라질 수 있다.

공격자는 왜 탈취 자산을 이더리움으로 바꿨나

FBI가 이번 경보에서 특히 강조한 것은 자산 전환이다.

FBI와 USSS, IRS-CI는 공격자들이 탈취 자산을 주로 이더리움으로 바꾸는 움직임을 관찰했다고 밝혔다.

여기에는 가상자산의 기술적 특성이 관련된다.

모든 가상자산이 동일한 방식으로 운영되는 것은 아니다.

일부 중앙화 스테이블코인은 발행사가 특정 주소의 토큰 이전을 제한할 수 있는 기능을 갖고 있다.

사고가 발생하면 발행사가 의심 주소의 자산을 동결해 추가 이동을 막을 수 있다는 의미다.

반면 이더리움의 기본 자산인 ETH는 특정 발행사가 개별 주소의 보유분을 임의로 동결하는 구조가 아니다.

따라서 동결 가능한 자산을 ETH로 전환하면 발행사의 직접적인 동결 통제에서 벗어날 수 있다.

물론 이것이 공격자들이 ETH를 선택한 이유라고 FBI가 명시한 것은 아니다.

이러한 설명은 가상자산의 기술적 구조를 바탕으로 한 분석이다.

FBI가 실제로 관찰했다고 밝힌 사실은 탈취 자산이 주로 ETH로 전환되고 있다는 점이다.

중요한 것은 자산을 ETH로 바꾸더라도 거래기록이 사라지지는 않는다는 사실이다.

이더리움 블록체인에는 자산 이동이 기록된다.

수사기관과 분석업체는 이러한 기록을 이용해 탈취 자산이 어떤 주소로 이동했는지 추적할 수 있다.

그러나 주소를 추적할 수 있다는 것만으로 자산을 회수할 수 있는 것은 아니다.

이 때문에 FBI는 자산의 이동 경로를 확인하는 동시에 민간 사업자에게 거래 차단을 요청했다.

DeFi와 즉시 교환 서비스는 왜 주목받나

FBI는 공격자들이 앞으로 탈취 자산을 추가로 세탁하기 위해 DeFi와 즉시 교환 서비스를 이용할 것으로 예상했다.

DeFi는 탈중앙화금융을 의미한다.

블록체인의 스마트컨트랙트를 이용해 중앙화된 금융기관을 거치지 않고 토큰 교환이나 대출 등 금융 거래를 수행할 수 있는 서비스다.

즉시 교환 서비스는 이용자가 보유한 가상자산을 다른 종류의 가상자산으로 빠르게 전환하도록 지원한다.

두 서비스 모두 정상적인 이용 목적이 존재한다.

그러나 범죄자가 탈취 자산을 여러 종류의 토큰으로 바꾸거나 여러 경로로 분산하는 데 악용할 가능성도 있다.

공격자는 자산을 한곳에 보관하기보다 여러 주소와 네트워크로 나누어 이동시킬 수 있다.

이 과정이 반복되면 자금 흐름을 분석하는 작업이 복잡해진다.

하지만 DeFi를 이용했다고 해서 자금세탁이 성공하거나 추적이 불가능해지는 것은 아니다.

블록체인에 남는 거래기록은 수사기관의 추적 자료가 될 수 있다.

핵심은 자산 이동이 복잡해지는 속도와 이를 분석하고 차단하는 속도 사이의 경쟁이다.

이번 FBI 경보는 아직 발생하지 않은 모든 자금세탁 경로를 확인했다는 발표가 아니다.

현재 관찰된 ETH 전환과 앞으로 예상되는 DeFi·즉시 교환 서비스 이용을 구분하고 있다.

이 차이는 사건의 진행 상황을 정확하게 이해하는 데 중요하다.

FBI는 왜 수백 개의 지갑 주소를 공개했나

이번 경보에서 가장 큰 분량을 차지하는 내용은 가상자산 주소 목록이다.

FBI는 이더리움과 비트코인, 솔라나 주소를 공개했다.

해당 주소들이 탈취 자산을 보유하고 있거나 과거에 보유한 이력이 있으며, TraderTraitor 공격자들이 운영하거나 밀접하게 연결된 주소라고 설명했다.

주소는 블록체인에서 가상자산을 송수신하는 데 사용하는 식별자다.

일반적인 은행의 계좌번호와 비슷한 역할을 하지만 운영 방식은 다르다.

주소가 공개되면 블록체인 분석업체는 해당 주소와 관련된 거래를 조사할 수 있다.

가상자산 거래소는 이용자가 해당 주소로 자산을 전송하거나 해당 주소에서 유래한 자산을 입금하려는 경우 위험 여부를 검토할 수 있다.

FBI가 주소 목록을 공개한 목적은 이러한 민간 사업자의 대응을 지원하는 데 있다.

특히 이번 경보는 단순히 공개 목록에 포함된 주소와 직접 거래하는 경우뿐 아니라, 해당 주소에서 유래한 거래까지 차단하도록 요청했다.

여기에는 중요한 차이가 있다.

공격자가 자산을 새로운 주소로 이동시키면 최초 공개 주소에 더 이상 자산이 남아 있지 않을 수 있다.

따라서 공개된 주소와 직접 거래했는지뿐 아니라 이후 자산이 어떻게 이동했는지도 분석해야 한다.

다만 특정 주소와 간접적으로 연결된 모든 자산을 자동으로 범죄 수익으로 확정할 수 있는 것은 아니다.

거래 경로와 자금의 출처, 정상적인 거래의 개입 여부 등을 추가로 검토할 필요가 있다.

이 때문에 블록체인 분석과 금융기관의 위험 심사, 수사기관의 정보 공유가 중요하다.

FBI는 왜 블록체인 운영자에게까지 협조를 요청했나

이번 경보의 특징은 협조 요청 대상이 매우 넓다는 점이다.

FBI와 USSS, IRS-CI는 가상자산 거래소뿐 아니라 THORNode 운영자와 RPC 노드 운영자, 즉시 교환 서비스, DeFi 서비스, 블록체인 분석기업 등 다양한 민간 주체에게 협조를 요청했다.

THORNode는 THORChain 네트워크를 구성하는 노드다.

이 네트워크는 여러 블록체인의 자산을 교환하는 기능과 관련된다.

RPC 노드는 애플리케이션이 블록체인 네트워크에 정보를 요청하거나 거래를 제출할 때 사용하는 연결 지점이다.

즉, FBI는 가상자산이 거래되는 최종 시장뿐 아니라 블록체인과 연결되는 기술 인프라의 운영자들에게도 주의를 촉구한 것이다.

이는 탈취 자산의 이동이 특정 거래소 한 곳에서만 이뤄지지 않기 때문이다.

공격자는 여러 서비스와 네트워크를 이용해 자산을 이동시킬 수 있다.

따라서 하나의 거래소가 의심 주소를 차단하더라도 다른 서비스가 동일한 거래를 처리하면 자산은 계속 이동할 수 있다.

이러한 문제를 해결하려면 여러 사업자의 정보 공유와 협력이 필요하다.

다만 모든 노드 운영자가 특정 거래를 임의로 차단할 수 있는 것은 아니다.

블록체인마다 기술적 구조가 다르고, 개별 사업자가 행사할 수 있는 통제 권한도 다르다.

FBI의 요청은 광범위한 민간 협력을 촉구한 것이지만, 각 사업자가 실제로 어떤 차단 조치를 시행할 수 있는지는 해당 서비스의 구조와 법적 권한에 따라 달라진다.

해킹 자금을 추적할 수 있어도 회수가 어려운 이유

블록체인은 거래기록이 공개된다는 특징을 갖는다.

누가 어떤 주소로 자산을 보냈는지 확인할 수 있는 경우가 많다.

이는 수사기관에 중요한 단서가 된다.

하지만 블록체인 주소에는 일반적으로 소유자의 실명이 직접 기록돼 있지 않다.

따라서 특정 주소가 범죄자와 연결됐다는 사실을 입증하려면 거래기록뿐 아니라 외부 정보와의 연결이 필요하다.

또한 주소를 식별했다고 해서 그 주소의 자산을 강제로 이동시킬 수 있는 것은 아니다.

자산을 실제로 회수하려면 거래소의 계정 동결이나 발행사의 토큰 동결, 수사기관의 압수 절차 등 법적·기술적 조치가 필요할 수 있다.

공격자가 자산을 개인 지갑에 보관하고 통제권을 유지한다면 회수는 더욱 어려워질 수 있다.

이번 사건에서도 바이낸스는 블록체인 파트너들과 협력해 약 30억 달러의 자산을 동결했다고 발표했다.

그러나 동결은 회수와 다르다.

동결된 자산은 이동이 제한된 상태를 의미한다.

해당 자산이 바이낸스로 반환되거나 고객에게 지급됐다는 뜻은 아니다.

FBI의 이번 경보에도 전체 탈취 자산 가운데 얼마를 최종 회수했는지에 대한 수치는 포함돼 있지 않다.

따라서 탈취액과 동결액, 실제 회수액을 구분해서 살펴봐야 한다.

이번 사건이 가상자산 산업의 신뢰에 미치는 영향

바이낸스 사건은 가상자산 거래소가 갖는 구조적 위험을 보여준다.

중앙화 거래소는 고객의 자산을 보관하고 입출금을 처리한다.

이용자는 거래소를 통해 편리하게 가상자산을 구매하고 판매할 수 있다.

그러나 이용자가 보유한 자산의 이동은 상당 부분 거래소의 보안 시스템과 운영 절차에 의존한다.

거래소의 내부 시스템이 침해되면 개인 이용자가 직접 개인키를 유출하지 않았더라도 자산에 위험이 발생할 수 있다.

이번 사고에서 바이낸스는 고객 손실을 자체 자금으로 보전하겠다고 밝혔다.

하지만 고객 손실을 보전하는 능력과 사고를 예방하는 능력은 다르다.

거래소가 충분한 자금을 보유하고 있더라도 출금 시스템에 문제가 발생하면 이용자는 일정 기간 자산을 이동하지 못할 수 있다.

또한 사고 대응 과정에서 특정 주소를 차단하거나 자산을 동결하는 조치가 확대되면 정상적인 거래와 범죄 관련 거래를 구분하는 문제도 중요해진다.

이는 가상자산 시장이 단순한 기술 서비스가 아니라 금융 인프라로서 운영되고 있다는 사실을 보여준다.

보안과 자산 보관, 거래 감시, 사고 복구, 수사기관과의 협력이 모두 중요해진 것이다.

북한의 가상자산 탈취는 왜 국제적인 보안 문제가 되나

북한 연계 해킹 조직의 가상자산 탈취 문제는 한 거래소의 피해에 그치지 않는다.

범죄 수익이 여러 국가의 거래소와 블록체인, 금융 서비스를 거쳐 이동할 수 있기 때문이다.

가상자산 거래는 국경을 넘어 빠르게 진행될 수 있다.

반면 수사기관의 강제수사와 자산 동결, 법적 반환 절차는 국가별 법률과 관할권의 영향을 받는다.

기술적으로는 몇 분 안에 자산이 이동할 수 있지만, 이를 법적으로 회수하기 위한 절차에는 훨씬 많은 시간이 필요할 수 있다.

FBI가 미국 비밀경호국과 국세청 범죄수사국, 민간 사업자에게 협조를 요청한 이유도 이러한 문제와 연결된다.

사이버공격 수사는 침입에 사용된 기술을 조사하는 데서 끝나지 않는다.

범죄 수익이 어떤 자산으로 전환됐고 어느 서비스에서 거래되는지 확인해야 한다.

의심 자산이 실제 금융시스템으로 유입되는 과정도 차단할 필요가 있다.

다만 이번 FBI 경보에는 탈취 자산이 실제로 어떤 목적으로 사용될 예정이었는지에 대한 구체적인 증거는 제시되지 않았다.

따라서 이번 사건의 범죄 수익이 특정 무기 개발이나 국가사업으로 사용됐다고 단정해서는 안 된다.

공개된 경보가 확인하는 것은 북한 연계 공격 주체와 자산 전환, 예상되는 추가 자금세탁 경로다.

블록체인 보안은 거래소 내부에서 끝나지 않는다

이번 사건은 가상자산 보안의 범위를 다시 생각하게 한다.

거래소가 해킹을 막기 위해 내부 시스템을 보호하는 것은 필수적이다.

하지만 사고가 발생한 이후에는 탈취 자산이 여러 사업자의 서비스를 통해 이동할 수 있다.

따라서 보안의 대상도 확장된다.

거래소의 지갑과 출금 시스템뿐 아니라 자산 발행사, 교환 서비스, 블록체인 분석업체, 네트워크 인프라 운영자 등이 사고 대응에 관여할 수 있다.

이러한 구조는 가상자산 시장에서 보안의 책임이 한 기업에만 존재하지 않는다는 사실을 보여준다.

물론 최초 자산을 보관했던 거래소의 책임이 사라지는 것은 아니다.

하지만 탈취 자산을 추적하고 이동을 차단하는 과정에서는 산업 전체의 협력이 필요할 수 있다.

이번 FBI 경보는 이러한 협력 구조를 구체적인 주소 목록과 차단 요청으로 제시했다.

개별 기업이 자체적으로 확보한 보안 정보에만 의존하는 것이 아니라 수사기관이 확인한 위험 정보를 업계 전체에 공유하도록 한 것이다.

이는 가상자산 범죄 대응에서 공개된 블록체인 데이터와 민간 분석, 수사기관의 조사 능력이 결합되는 방식을 보여준다.

거래를 막는 기술과 거래를 허용하는 기술의 경계

이번 FBI의 조치는 가상자산 산업이 가진 또 다른 특징을 드러낸다.

블록체인은 중개기관 없이 자산을 이동할 수 있다는 가능성으로 발전했다.

그러나 범죄 자금을 추적하고 차단하기 위해서는 특정 거래에 대한 제한이 필요할 수 있다.

여기에는 서로 다른 가치가 충돌한다.

한쪽에는 이용자가 자신의 자산을 자유롭게 이동할 수 있어야 한다는 원칙이 있다.

다른 한쪽에는 탈취 자산이 범죄 수익으로 사용되는 것을 막아야 한다는 요구가 있다.

중앙화 거래소와 자산 발행사는 일정한 조건에서 거래를 제한할 수 있다.

반면 탈중앙화 네트워크에서는 거래 차단을 누가 어떤 기준으로 시행할 수 있는지 복잡한 문제가 발생한다.

특히 최초 범죄 주소에서 여러 단계를 거쳐 이동한 자산을 어디까지 제한할 것인지는 신중한 판단이 필요하다.

차단 범위를 지나치게 좁게 설정하면 공격자가 쉽게 새로운 주소로 이동할 수 있다.

반대로 범위를 지나치게 넓히면 범죄와 직접적인 관련이 없는 이용자의 거래가 영향을 받을 수 있다.

따라서 실효성 있는 자금세탁 방지 체계에는 정확한 분석과 투명한 기준이 필요하다.

FBI가 이번 경보에서 직접 연결된 주소뿐 아니라 해당 주소에서 유래한 거래까지 언급한 것은 자산 이동 경로 전체를 추적해야 한다는 문제의식을 보여준다.

FBI가 공개한 것은 수사의 끝이 아니라 차단 작전의 시작이다

이번 경보는 해킹 수사가 모두 마무리됐다는 발표가 아니다.

FBI는 북한 연계 공격 활동을 지목하고 탈취 자산의 이동에 관한 관찰 결과를 공개했다.

또한 추가 자금세탁이 예상된다는 판단을 제시했다.

그러나 공격자가 바이낸스 내부에 정확히 어떻게 침투했는지, 모든 자산이 현재 어디에 있는지, 최종적으로 얼마를 회수할 수 있는지는 공개하지 않았다.

이번 발표의 목적은 사건의 완전한 기술적 원인을 설명하는 데 있지 않다.

현재 확인된 자금 이동 위험을 공유하고 민간 사업자의 협력을 이끌어내는 데 있다.

이 때문에 경보에는 긴 설명보다 방대한 주소 목록이 포함돼 있다.

해당 주소를 실제 거래 모니터링과 위험 심사에 활용하도록 하기 위한 것이다.

가상자산 해킹에서 사고가 발생한 순간은 범죄의 끝이 아닐 수 있다.

탈취 자산을 이동시키고 세탁해 실제로 사용할 수 있는 형태로 만드는 과정이 뒤따를 수 있기 때문이다.

따라서 사고 이후에도 추적과 차단, 회수의 경쟁이 계속된다.

FBI의 이번 경보는 바로 그 단계에 해당한다.

60억 달러 해킹이 남긴 질문

이번 사건에서 확인된 사실은 분명하다.

FBI는 북한 연계 사이버공격 활동인 TraderTraitor가 바이낸스에서 60억 달러 이상의 가상자산을 탈취한 사건에 책임이 있다고 밝혔다.

또한 공격자들이 자산을 주로 ETH로 전환하는 움직임을 확인했다.

향후 DeFi와 즉시 교환 서비스를 통한 추가적인 자금세탁을 예상하고 있다.

이를 차단하기 위해 여러 블록체인의 주소 정보를 공개하고 민간 사업자의 협력을 요청했다.

그러나 해킹의 완전한 침투 경로와 자산의 최종 회수 규모 등은 별도로 확인해야 한다.

이번 사건은 가상자산 산업이 안고 있는 두 가지 현실을 보여준다.

블록체인은 자산의 이동 경로를 추적할 수 있는 기록을 제공한다.

하지만 기록이 공개돼 있다는 사실만으로 범죄 수익을 자동으로 회수할 수 있는 것은 아니다.

해커가 자산을 이동시키는 속도와 이를 추적하고 차단하는 속도 사이에는 차이가 존재한다.

그리고 그 차이를 줄이기 위해서는 거래소와 자산 발행사, 분석업체, 수사기관의 협력이 필요하다.

이는 가상자산 보안이 기술적 방어와 금융 범죄 대응을 동시에 요구하는 영역으로 확대되고 있음을 보여준다.

바이낸스 사건에서 중요한 질문은 해커가 어떻게 60억 달러를 훔쳤느냐에만 있지 않다. 훔친 자산을 실제로 사용할 수 없도록 누가, 어디에서, 얼마나 빠르게 차단할 수 있느냐는 것이다.

FBI는 그 질문에 대한 대응으로 공격 주체를 공개하고 의심 주소 목록을 배포했다.

이제 관건은 해당 정보가 실제 거래 차단과 범죄 수익 회수로 얼마나 이어질 수 있는가다.

가상자산 시장에서 보안의 경쟁은 거래소의 서버 안에서만 벌어지지 않는다.

블록체인 네트워크와 탈중앙화금융, 자산 교환 서비스, 국제 수사기관 사이에서도 계속되고 있다.