바이낸스 해킹으로 탈취된 가상자산 일부가 공격자가 직접 발행한 밈코인을 거쳐 다른 지갑으로 이동했다는 분석이 나왔다.

블록체인 분석업체 엘립틱(Elliptic)의 분석에 따르면 북한과 연계된 것으로 추정되는 공격자들은 트론(TRON)과 니어(NEAR)에서 새 토큰을 발행하고 탈중앙화 거래소(DEX)를 자금 이동에 이용했다.

엘립틱이 지목한 경로에는 외부 거래 수요가 없는 신규 토큰과 탈중앙화 거래소의 유동성 풀이 등장한다.

유동성 풀은 이용자가 블록체인에서 토큰을 교환할 수 있도록 여러 자산을 모아 둔 스마트계약이다.

공격자들은 자신들이 발행한 토큰과 연결된 풀에 탈취 자금을 투입한 뒤, 다른 지갑으로 자금을 회수한 것으로 파악됐다.

이 과정에서는 탈취 자금이 출발 지갑에서 최종 지갑으로 곧장 이동한 기록 대신 여러 건의 토큰 교환과 풀 입출금 기록이 남는다.

자금의 흐름을 파악하려면 송금 주소뿐 아니라 교환에 쓰인 토큰과 유동성 풀의 거래 내역까지 함께 대조해야 한다.

엘립틱은 블록체인에 기록이 남아 추적은 가능하지만, 중간 단계가 늘어나는 만큼 분석이 지연될 수 있다고 설명했다.

니어 네트워크에서는 최소 6개 밈코인을 거쳐 약 11만7000 NEAR가 이동했다. 약 43만달러는 니어에서 이 수법으로 이동한 물량의 평가액이다.

공개된 내용만으로는 트론에서도 같은 방식으로 얼마나 옮겼는지, 니어에서 이동한 자금이 이후 현금화됐는지 확인하기 어렵다.

엘립틱은 신규 토큰을 만드는 비용이 낮아 같은 수법이 더 큰 규모의 자금 이동에 쓰일 가능성도 있다고 봤다.

엘립틱의 앞선 공개 분석에 따르면 바이낸스에서는 지난달 29일 약 64억3000만달러 상당의 가상자산이 탈취됐다.

엘립틱은 공격자가 이후 여러 블록체인과 지갑으로 자금을 분산하고 체인 간 자산을 옮기는 브리지와 탈중앙화 거래소 등 여러 경로를 이용한 것으로 분석했다. 이번에 보도된 밈코인 활용은 그중 일부 자금에서 포착된 경로다.