美 법원, ‘2조 원’ 북한 해킹자금 소송에 신속 증거개시·자산동결 명령

미국 연방법원은 북한 연계 해커가 탈취한 약 15억 달러(약 2조 1000억 원) 규모의 가상자산을 되찾기 위한 글로벌 가상자산 거래소 바이비트(Bybit)의 법적 추적에 힘을 실었다고 가상자산 전문 매체 코인텔레그래프(Cointelegraph)가 지난 8일(현지시각) 보도했다.

지난해 발생한 사상 최대급 가상자산 해킹을 둘러싸고 미국 법원이 암호화폐 거래기록과 자산 흐름을 직접 추적하는 법적 수단을 동원한 것이다.


지난 6일 공개된 미국 연방법원 기록에 따르면, 바이비트는 지난 6월 18일 북한 정찰총국과 산하의 라자루스 그룹, 그리고 20명의 신원 미상 피고를 상대로 소송을 제기했다.

법원은 바로 같은 달 19일 바이비트의 신속 증거개시(expedited discovery) 요청을 받아들였으며, 피고들이 특정 추적 가능 자산을 이전하지 못하도록 묶어두는 임시명령을 발령했다.
바이비트 측은 소송 과정에서 탈취된 자산 중 상당액이 미국 관할권이 미치는 플랫폼들에 흘러 들어갔다고 주장했다.

해당 플랫폼들은 법원의 공식 명령을 수용해 계정 소유자의 신원 정보와 상세 거래 내역을 제공하며 수사에 적극 협조하겠다는 뜻을 내비쳤다.

이에 따라 법원은 지난달 16일 임시명령을 갱신한 데 이어, 같은 달 30일 예비금지명령 요청을 일부 인용해 사건과 연결된 것으로 식별된 도난 자산의 이전·처분을 막는 자산 동결 조치에 들어갔다.


북한 해커들의 교묘하고 고도화된 자금세탁 수법 탓에 실질 자산 회수는 여전히 험난하다.
바이비트가 소송 제기 당시 밝힌 바에 따르면, 도난당한 전체 자산의 약 90%는 믹서, 크로스체인 브리지, 장외거래(OTC) 브로커를 거치며 블록체인상 직접 추적이 어려운 상태로 흩어졌다.

바이비트는 최근까지 약 4840만 달러(약 681억 원)가 회수됐고 약 3050만 달러(약 429억 원)가 28개 이상의 거래소와 수탁 업체를 통해 동결됐다고 밝혔다.

이는 믹싱(Mixing)과 브리지(Bridge) 기술이 진화하면서 자산 회수의 구조적 걸림돌로 작용하고 있음을 보여주는 대목이다. 믹싱은 여러 사람이 보낸 가상자산을 하나의 풀(Pool)에 모아 섞은 뒤, 수수료를 떼고 쪼개어 새로운 주소로 분산 전송하는 것이다. 브리지는 서로 다른 블록체인 네트워크 간에 자산을 자유롭게 이동할 수 있도록 연결해 주는 기술로 사법 당국과 블록체인 분석 기업들이 범죄 자금을 추적하고 회수하는 데 있어 가장 치명적인 구조적 걸림돌로 작용하고 있다.


이번 대규모 소송의 도화선이 된 사건은 2025년 2월 가상자산 보관 서비스인 세이프 월렛(Safe Wallet)의 인프라가 외부 침해를 받으면서 시작됐다.

사이버보안 업체 사이니아(Sygnia)의 조사 결과에 따르면, 북한 연계 공격자들이 세이프 월렛 개발자의 노트북 장비를 사회공학(Social Engineering) 기법으로 침해해 초기 접근에 성공했다.

이를 통해 탈취한 세션 토큰으로 AWS 리소스에 접근해 프론트엔드에 악성 자바스크립트를 삽입하고 바이비트가 정상적인 지갑 이체로 오인하도록 거래 데이터를 조작해 약 15억 달러(약 2조 1000억 원)상당의 이더리움(ETH)를 탈취한 것이다.

미 연방수사국(FBI)은 당시 이번 사이버 공격의 배후로 북한을 공식 지목했다.

바이비트는 이번 소송을 통해 탈취당한 자산의 반환과 함께 손해배상과 징벌적 손해배상, 그리고 미국 리코법(RICO : 조직범죄방지법)에 따른 3배 배상을 요구하고 있다.

업계는 이번 소송이 가상자산 탈취 사건의 대응 방식이 단순한 '해킹 방어'를 넘어 민사소송과 사법적 자산 동결을 결합한 '탈취 후 자산 회수' 단계로 확장되고 있다는 점에서 주목하고 있다.

한국 사이버보안 업계도 이번 사태가 고도화된 북한 해커들의 타깃이 글로벌 대형 거래소뿐 아니라 언제든 한국내 가상자산 생태계와 이용자 자산을 정조준할 수 있음을 보여주는 엄중한 경고라고 입을 모은다.


심완섭 글로벌이코노믹 기자 ciberwld@g-enews.com


[알림] 본 기사는 투자판단의 참고용이며, 이를 근거로 한 투자손실에 대한 책임은 없습니다.