北 탈취코인, 쪼개고 바꾸고… 지갑주소 알아도 회수 어렵다

해킹조직 10년간 가상자산 17조 탈취
거래소·발행사별 '강제동결' 여부 달라
수사기관 국제공조·법적절차도 한계
"블록체인 투명성 넘어 회수체계 필요"

북한의 가상자산 탈취 수법이 갈수록 정교해지면서 피해 자금을 추적하는 것만큼이나 동결과 회수의 중요성이 커지고 있다. 블록체인 거래 내역은 공개돼 있어 자금 이동 경로를 파악할 수 있지만, 자산 종류와 보관 방식에 따라 동결 가능성이 달라지는 데다 해외 법적 절차까지 거쳐야 해 실제 피해 회수로 이어지기는 쉽지 않다.

3일 가상자산 분석업체 TRM랩스에 따르면 북한 연계 해킹 조직은 2017년 이후 약 128억 달러(약 17조원)의 가상자산을 탈취했다. 올해 탈취 규모만 약 74억 달러(약 10조원)로 세계 가상자산 해킹 피해액의 약 85%를 차지한 것으로 분석됐다.

최근 발생한 바이낸스 해킹 사건은 고도화된 북한의 가상자산 탈취 역량과 피해 자금 회수의 어려움을 동시에 보여준다. TRM랩스는 지난달 29일(현지시간) 발생한 바이낸스 해킹으로 약 63억6000만 달러 규모의 자산이 탈취됐으며, 공격 과정에서 10개 블록체인에 걸쳐 자금이 이동했다고 분석했다. 미국 연방수사국(FBI)도 지난달 31일 해당 공격의 배후로 북한을 지목했다.

해킹 이후 일부 자산은 동결됐다. TRM랩스와 엘립틱, 바이낸스 등 기관별 집계에는 차이가 있지만, 약 27억~30억 달러 규모의 자산이 동결된 것으로 추산된다. 테더는 15억 달러 이상 규모의 USDT를, 서클은 11억 달러 이상의 USDC를 동결하는 등 발행사 차원의 대응도 이뤄졌다.

다만 가상자산마다 발행 및 관리 구조가 달라 자산별 동결 가능성에는 차이가 있다. USDT와 USDC 등 중앙 발행사가 있는 스테이블코인은 스마트컨트랙트에 특정 지갑의 전송을 차단하는 기능을 갖추고 있어 발행사 차원의 동결이 가능하다. 반면 비트코인과 이더리움은 중앙 발행 주체가 없는 탈중앙 네트워크의 기본 자산이다. 특정 주소의 거래를 강제로 차단할 관리 권한이 없어 블록체인상 자금 흐름을 추적하더라도 네트워크 차원의 동결은 어렵다. 황석진 동국대 국제정보보호대학원 교수는 "거래소에 속해 있는 지갑은 거래소에서 동결할 수 있고, USDT나 USDC는 발행사에 의한 동결이 가능하다"며 "다만 이들을 제외한 비트코인이나 알트코인이 개인 지갑 등에 보관돼 있다면 추적은 가능하지만 동결은 어렵다"고 말했다.

해커들이 자금을 여러 지갑으로 분산하거나 서로 다른 블록체인으로 옮기는 '체인 호핑', 탈중앙화 거래소(DEX)와 브리지 등을 활용해 자산을 교환하는 방식으로 세탁에 나서는 것도 추적 이후 동결을 어렵게 하는 요인이다. 특히 트론(TRON)은 상대적으로 낮은 거래 수수료와 빠른 처리 속도로 대규모 USDT 이동에 활용되며, 이더리움은 탈중앙화 거래소와 디파이(DeFi) 서비스 등 다양한 유동성을 바탕으로 자산 교환과 추가 이동에 이용된다.

황 교수는 "자금이 해외 비수탁형 지갑으로 이동하면 국내 수사기관의 동결 권한이 미치기 어렵다"며 "사고 발생 직후 자금 이동을 탐지하고 국제 공조를 통해 신속하게 동결할 수 있는 체계가 중요하다"고 강조했다.

그러나 자산을 동결했다고 해서 피해금 회수까지 완료되는 것은 아니다. 블록체인상 자금 흐름을 추적하고 이동을 차단하는 것과 이를 법적 절차를 거쳐 피해자에게 반환하는 것은 별개의 과정이다. 자금이 해외 비수탁형 지갑으로 이동하면 국내 수사기관의 동결 권한이 미치기 어렵고, 여러 국가와 서비스에 걸쳐 이동한 자산을 회수하려면 국제 공조와 법적 절차도 필요하다. 황 교수는 "블록체인의 투명성이 자금 회수를 보장하지는 않는다"고 말했다.

결국 가상자산 탈취 대응은 블록체인 분석을 통한 추적만으로 완결되지 않는다. 자금 이동을 조기에 탐지하고, 발행사와 거래소의 동결 조치로 확산을 막은 뒤, 수사기관과 국제 공조를 통해 법적 반환 절차까지 이어져야 한다. 북한의 자금 세탁 수법이 다변화하는 가운데 추적 역량뿐 아니라 신속한 동결과 실질적인 회수 체계를 갖추는 것이 과제로 떠오르고 있다.