라자루스 그룹, 다시 등장 – 310만 달러 트론 해킹의 새로운 피해자 의심

인기 있는 암호화폐 수사관인 ZachXBT는 트론에서 한 피해자가 해킹을 당해 약 319만 달러의 USDT를 잃었다고 보고했습니다. 훔친 USDT는 이더리움으로 이체된 후 ETH가 10개의 주소로 분할되어 토렌도 캐시에 입금되었습니다. ZachXBT는 이 해킹을 악명 높은 북한 라자루스 그룹의 소행으로 지목합니다.

Onchain Lens 공개 ZachXBT가 또 다른 해커의 악의적인 공격을 발견하여 알려지지 않은 피해자가 약 319만 달러의 USDT를 잃었다고 밝혔습니다. 트론스캔(TronScan)에 따르면, USDT는 이더리움 블록체인으로 이체되어 ETH로 스왑된 후 10개의 주소로 분할되어 토렌도 캐시(96 x 10 ETH, 4 x 100 ETH, 78 x 1 ETH, 5 x 0.1 ETH)에 입금되었습니다. 

ZachXBT는 해커가 2023년 10월 마이클 콩(Fantom/Sonic CEO) 해킹에서 사용된 도난 주소를 재사용했다고 지적했습니다. 이 주소는 유엔이 2024년 3월 발표한 보고서에서 ‘스피어피싱 캠페인’의 일환으로 라자루스 그룹에 의해 수행된 것으로 이전에 지목되었습니다.

2월 22일, ZachXBT는 라자루스 그룹이 피멕스(Phemex) 해킹과 바이비트(Bybit) 해킹을 초기 도난 주소에서 자금을 ‘혼합’함으로써 온체인 상에서 직접 연결했다고 밝혔습니다. 

라자루스 그룹, 암호화폐 도난 목록에 알려지지 않은 피해자 추가

Zach(@zachxbt)은 한 사용자가 트론(Tron)에서 라자루스 그룹(Lazarus Group)에게 약 320만 달러의 USDT를 사기당했다고 보고했습니다.

훔친 자금은 트론(Tron)에서 이더리움(Ethereum)로 이체되었습니다. 이후 ETH는 10개의 주소로 분할되어 다음과 같이 토렌도 캐시(Tornado Cash)에 입금되었습니다: 96 x 10 ETH, 4 x 100 ETH,… pic.twitter.com/JRQ03rtflA

— Onchain Lens (@OnchainLens) 3 월 1, 2025

ZachXBT에 따르면, 라자루스 그룹은 트론에 있는 알려지지 않은 피해자를 표적으로 삼아 319만 달러 이상의 USDT를 훔친 것으로 의심됩니다. 훔친 자금은 빠르게 이더리움 체인으로 이체되어 ETH로 스왑된 후 10개의 주소로 분할되어 토렌도 캐시에 입금되었습니다. 트론스캔 데이터에 따르면 해커들은 두 개의 주소(TYQ3455gFNeqyw 및 0xcced1276382f4d)를 사용하여 주소 TDNaLds1A1g6vYRU의 피해자로부터 3,199,779 USDT를 유출했습니다.

북한의 해킹 그룹인 것으로 의심되는 라자루스 그룹의 악의적인 공격은 최근 바이비트 거래소에서 10억 달러 이상을 훔친 사건 이후 발생했습니다. 바이비트는 기록적인 약 15억 달러의 이더리움 해킹의 피해자가 되었습니다. 북한의 라자루스 그룹은 해커들이 바이비트의 콜드 월렛에 침투하여 40만 개 이상의 ETH를 훔친 정교한 공격의 주요 용의자로 지목되었습니다. 

엘립틱(Elliptic)의 연구는 바이비트 도난 사건이 역사상 최대 규모의 암호화폐 도난 사건이라고 주장합니다. 라자루스 그룹은 2017년 이후 60억 달러 이상의 암호화폐 자산을 훔친 것으로 의심됩니다. 이 수익은 북한의 탄도 미사일 프로그램에 사용된 것으로 보고됩니다.

엘립틱, 라자루스 그룹의 패턴 추적 

엘립틱의 연구에 따르면, 라자루스 그룹은 훔친 암호화폐 토큰을 세탁하는 특징적인 패턴을 따랐습니다. 첫 번째 단계는 훔친 토큰을 이더와 같은 ‘네이티브’ 블록체인 자산으로 교환하는 것이었습니다. 이 그룹은 토큰에는 훔친 자산을 포함하는 지갑을 ‘동결’할 수 있는 발행자가 있는 반면, 이더나 비트코인은 중앙 당사자가 동결할 수 없다는 이유로 이 방법을 선택한 것으로 보고됩니다. 

바이비트 도난 사건 직후와 알려지지 않은 피해자를 대상으로 한 최신 트론 해킹 직후 수분 내에 정확히 이러한 일이 발생했습니다. 수억 달러의 훔친 토큰이 ETH로 교환되었습니다. 그들은 중앙거래소(CEX)를 사용하여 훔친 자금을 세탁할 경우 발생할 수 있는 자산 동결을 피하기 위해 탈중앙화 거래소(DEX)를 사용했습니다. 

엘립틱의 보고서에 따르면, 세탁 과정의 두 번째 단계는 훔친 자금을 ‘레이어링’하여 거래 추적을 은폐하는 것이었습니다. 이러한 레이링 전술은 추적 과정을 복잡하게 만들어 세탁자들에게 자금을 현금화할 귀중한 시간을 벌어줍니다. 레이링 과정에는 대량의 암호화폐 지갑을 통해 자금을 보내거나 크로스체인 브리지 또는 거래소를 사용하여 다른 블록체인으로 자금을 이동하는 것이 포함됩니다. 여기에는 DEX, 코인 스왑 서비스 또는 거래소를 사용하여 다양한 암호화폐 간에 전환하거나 토렌도 캐시나 크립토믹서와 같은 ‘믹서’를 사용하는 등의 전술도 포함됩니다. eXch 또한 이러한 세탁을 적극적이고 용이하게 하는 주요 주체로 부상했습니다.