라자루스 그룹, Bybit 자금 세탁을 위해 'QinShihuang' 밈 코인 출시

북한의 라자루스 그룹은 일요일 아침 Pump Fun 플랫폼에서 'QinShihuang'이라는 밈 코인을 출시하여 암호화폐 거래소 Bybit에서 훔친 거의 15억 달러 중 2,600만 달러를 세탁하려 했습니다.

온체인 조사관 ZachXBT의 첫 번째 발견 노출되었습니다 ZachXBT는 평소처럼 이 사실을 먼저 확인했으며, 관련 지갑(5STkQy…95T7Cq)이 다른 지갑(9Gu8v6…aAdqWS)으로 정확히 60개의 SOL 토큰을 전송한 후 50만 개의 QinShihuang 토큰을 출시했다고 확인했습니다.

약 3시간 이내에 이러한 토큰들은 활발히 거래되었으며, 거래량은 빠르게 2,600만 달러를 돌파했습니다.

Zach는 자금의 흐름을 명확히 추적했습니다. 그는 공격자들이 2월 22일 Bybit에서 훔친 108만 달러의 USDC를 지갑 주소 0x363908df2b0890e7e5c1e403935133094287d7d1로 이동시켰다고 밝혔습니다.

Bybit 공격자들은 이 자금들을 이더리움에서 솔라나 블록체인으로 브리징했으며, 이때 지갑 EFmqz8PTTShNsEsErMUFt9ZZx8CTZHz4orUhdz8Bdq2P가 사용되었습니다.

라자루스가 이를 수행하는 방법

그 후 라자루스는 USDC를 바이낸스 스마트 체인(BSC)으로 이동시켰습니다. Zach의 추적 결과에 따르면 두 개의 별도 지갑이 훔친 USDC를 30개 이상의 다른 주소로 자동 분할하여 자금을 더 작고 추적하기 어려운 전송으로 분해했습니다.

분할된 후 라자루스는 이 작은 자금 뭉치들을 하나의 지갑(0x0be9ab85f399a15ed5e8cbe5859f7a882c7b55a3)으로 다시 모았습니다. Zach는 지갑 0x0be9가 자금을 추가로 분할하여 106,000 USDC를 10개의 새로운 지갑에 균등하게 보냈음을 확인했습니다.

이 10개의 지갑은 모든 자금을 다시 솔라나로 브리징하여 블록체인 추적자를 혼란스럽게 하기 위해 특별히 설계된 완전한 블록체인 주기를 완료했습니다. 조금 놀랍지 않습니까?

Zach는 또 다른 이상한 점을 발견했습니다. 이러한 솔라나 주소 중 많은 수가 무작위 사기꾼들로부터 작은 밈 코인 '먼지' 거래를 받았습니다.

라자루스는 이러한 먼지를 무시하는 대신, 이러한 밈 코인들을 SOL로 적극적으로 스왑하기 시작했습니다. 그들은 더러운 SOL을 정리하고 혼합한 후 Pump Fun 거래를 통해 자금을 이동시켰는데, 이는 QinShihuang과 정확히 같은 방식이었습니다.

Zach는 관련 주소들(약 920개 지갑)을 공개적으로 게시했지만, 라자루스가 다시 빠르게 흔적을 숨기는 것을 방지하기 위해 특정 지갑들을 추적 소프트웨어 인터페이스에서 제거했습니다. 여기서 찾을 수 있습니다 여기.

훔친 Bybit 자금은 결국 다양한 암호화폐 거래소 및 스왑 플랫폼으로 이동하여 합법적인 거래 뒤에 조용히 사라졌습니다.

Helius Labs의 CEO Mert는 직접적으로 위험성에 대해 논평하며, 필터나 보호 장치가 없는 탈중앙화 애플리케이션을 구축하는 팀들이 큰 실수를 저지르고 있다고 말했습니다. 그는 암호화폐 애플리케이션을 이메일에 비유했습니다. 기본 기술은 중립적이지만 Gmail과 같은 사용자-facing 소프트웨어는 알려진 악성 행위자를 차단한다는 점이죠.

According Mert에게 암호화폐 애플리케이션은 라자루스 같은 범죄 그룹에 속하는 특정 지갑 주소들을 알고 있다면 동일한 기본 필터링을 구현해야 합니다. Mert는 라자루스가 직접 코인을 발행했는지 개인적으로 확인하지는 않았지만, 이러한 위험에 대해 개발자들을 경고하기 위해 이러한 발언을 했다고 명확히 덧붙였습니다.

Mert는 특히 Pump Fun이 라자루스와 관련된 지갑들을 블랙리스트에 올리지 않은 이유를 의문시했습니다. Pump Fun의 거래량이 매우 높기 때문에 라자루스는 깨끗한 지갑으로 쉽게 코인을 구매하고 훔친 SOL을 사용하여 가격을 급등시킨 후, 모든 것을 다시 깨끗한 지갑으로 매도했습니다. 단순한 펌프 앤 덤프 거래를 통해 라자루스는 명확히 추적 가능한 훔친 암호화폐를 깨끗하고 추적 불가능한 수익으로 전환했습니다.

라자루스의 첫 번째 사건이 아님

Zach의 발견들은 라자루스가 이전에 이런 식으로 행동했음을 보여주었습니다. 현재 세탁_scheme의 일부 주소들은 이전에 Pump Fun에서 다른 밈 토큰들을 출시한 적이 있습니다. 이는 라자루스가 자금 세탁을 위해 Pump Fun의 거래 활동을 반복적으로 악용해 왔음을 의미합니다.

보안 연구 기업 SlowMist는 라자루스가 암호화폐 믹싱 플랫폼 eXch를 적극적으로 사용했다고 지적했습니다. eXch는 Bybit의 협력 요청을 직접 거부했습니다.

대신 eXch는 Bybit의 차단 요청을 공개적으로 게시하고 분노에 찬 거부를 표명했습니다. SlowMist는 eXch가 보안 요원을 공개적으로 표적 삼아 온라인에서 개인 정보를 노출한다고 명확히 설명했습니다.

그들은 라자루스가 훔친 ETH를 비트코인이나 모네로와 같이 추적하기 어려운 암호화폐로 전환하는 데 정기적으로 사용하는 eXch로부터 유입되는 자금에 대해 암호화폐 플랫폼들이 보안 조치를 강화할 것을 강력히 촉구했습니다.

암호화폐 거래소 BitMEX의 공동 창립자 Arthur Hayes는 X에서 비탈릭 부테린에게 이더리움이 롤백 을 고려할 수 있는지 질문하며, 이는 Bybit에서 약 400,000 ETH가 훔쳐진 대규모 해킹을 역전시키기 위한 것이었습니다.

Arthur의 게시물은 암호화폐 사용자들 사이에서 즉각적인 논쟁을 촉발했습니다. 그는 2016년 DAO 해킹 당시 이더리움 개발자들이 논란의 여지가 있는 하드 포크를 사용하여 6,000만 달러의 절도를 역전시킨 후 이더리움이 불변성을 포기했다고 명확히 주장하며 자신의 입장을 고수했습니다.

Arthur는 이 시점부터 이더리움이 '돈이 아니게 되었다'고 말했습니다. 그는 이전에 이더리움이 롤백을 수행했다면 Bybit의 자금을 회수하기 위해 지금 다시 롤백하는 것에 대해 저항이 없어야 한다고 공개적으로 주장했습니다.

Vitalik은 아직 Arthur의 요청에 대해 공개적으로 응답하지 않았습니다. 그러나 커뮤니티의 많은 사람들이 Arthur의 제안을 비판하며, 일부는 그가 Vitalik을 장난치고 있다고 생각하기도 합니다.

Arthur의 트윗은 또한 블록체인의 불변성, 탈중앙화 및 주요 블록체인에서 롤백이 다시 발생해야 하는지에 대한 논쟁을 다시 불러일으켰습니다.

블록체인 분석가들은 이더리움이 현재 롤백을 고려하지 않을 가능성이 높은 이유를 명확히 설명했습니다. 이더리움 네트워크는 현재 일반 은행과 마찬가지로 자금을 저장하기 위해 '계정 기반' 모델을 사용하고 있습니다.

이더리움 개발자들이 DAO 해킹을 역전시켰을 때, 노드들은 소프트웨어 버전을 업그레이드하고 ETH 자금을 새 주소로 이동했습니다. 오늘날 유사한 해킹을 역전시키려면 이더리움 사용자, 노드 및 개발자들 간의 막대한 합의가 필요하며, 이는 현재 거의 불가능한 합의입니다.

2019년에 비트코인 일어난 것과 비슷한 일이 있었습니다. 바이낸스의 CEO Changpeng Zhao는 해커들이 4,000만 달러를 훔친 후 비트코인 롤백을 공개적으로 고려했습니다. 그는 반발로 인해 '롤백'이라는 표현을 '재구성(re-org)'으로 빠르게 변경했습니다.

비트코인의 채굴자들과 매티(maxis)들은 이 아이디어를 강력히 거부하며, 거래를 역전시키려는 시도를 탈중앙화 원칙의 근본적인 위반으로 비판했습니다.

이더리움 커뮤니티도 이번에는 롤백 아이디어를 거부했습니다. 그러나 소규모 블록체인들은 과거 공격 이후 롤백을 성공적으로 수행한 사례가 있습니다. 드문 일이지만 완전히 unheard of한 것은 아닙니다.

Zach는 대규모 Bybit 절도 사건을 지난 금요일 처음 발표했습니다. 그는 14억 7,000만 달러 이상이 빠르게 Bybit에서 유출되는 의심스러운 온체인 활동을 발견했습니다. Zach는 공격자들이 mETH 및 stETH와 같은 래핑된 토큰들을 탈중앙화 거래소를 통해 일반 이더리움 토큰으로 빠르게 스왑하며 훔친 자금을 은폐하려는 시도를 관찰했습니다.