바이낸스 해커의 자금세탁 경로 추적, 아직 움직이지 않은 30억 달러는 어떻게 빠져나갈까

Azuma

Odaily资深作者

@azuma_eth

2026-11-02 15:27 (UTC+8)

이 기사는 약 3539자로, 전체를 읽는 데 약 6분이 소요됩니다

트론 한 네트워크만으로도 해커는 이틀 만에 이미 2억 4,200만 달러를 세탁했으며, THORChain이 최대 단일 통로가 되었다.

AI 요약

펼치기

핵심 관점: 바이낸스 63억 달러 탈취 사건 발생 사흘 만에 공격자는 트론 네트워크를 통해 약 2억 4,200만 달러를 세탁했으며, 주로 크로스체인 브리지를 이용해 자금을 이더리움과 비트코인 네트워크로 이전했다. 그러나 여전히 30억 달러가 넘는 장물은 거의 이전되지 않은 상태다.
핵심 요소:
1. 공격자는 트론에서 총 6억 2,800만 달러를 탈취했으며, Tether가 3억 7,870만 USDT를 동결한 후 나머지 약 2억 4,900만 달러는 다양한 경로를 통해 이전되었다.
2. 크로스체인 브리지가 주요 자금세탁 통로로, 약 1억 9,400만 달러가 관련되었으며, 그중 Relay(4,800만), THORChain(4,400만), Chainflip(3,210만)이 상위 3대 경로다.
3. THORChain은 최대 단일 통로로, 1억 8,510만 TRX와 383만 USDT를 투입해 약 4,830만 달러를 순환전했으며, 약 12%는 수수료와 슬리피지로 손실되었다.
4. Bitget Wallet 경로는 약 4,170만 달러가 관련되어 자금 행방이 아직 밝혀지지 않은 주요 경로이며, 관련 목적지는 해당 서비스가 파악하고 있다.
5. 크로스체인 이후 대부분의 자금은 이더리움 메인넷(약 53,300 ETH)으로 유입되었고, 별도로 68.8 BTC가 비트코인 네트워크로, 소량이 Arbitrum과 Base로 유입되었다.
6. 공격자는 여전히 다른 체인에서 30억 달러가 넘는 자산(18,270 BTC, 약 51.9만 ETH, 2억 3,300만 XRP, 97만 SOL)을 보유하고 있으며, 현재 거의 이전되지 않은 상태다.

이 글은 다음에서 발췌했습니다:온체인 분석가 SomaXBT

편집 | Odaily@OdailyChina; 번역 | Azuma@azuma_eth

바이낸스에서 63억 달러가 도난당한 지 이미 사흘이 지났습니다. 11월 1일 밤 21:27 기준, 공격자(자금세탁 팀)는 트론(Tron)이라는 단 하나의 자금 이동 경로만으로도 약 2억 4200만 달러를 세탁했습니다. 또한 이전 동결 조치 이후에도 공격자는 여전히 약 35억 달러의 장물을 통제하고 있습니다.

다음은 제가 온체인 추적을 통해 이번 공격자의 자금세탁 활동을 분석한 전체 내용입니다.

트론 온체인 동향

공격자는 트론 네트워크에서 총 6억 2800만 달러(6억 1270만 USDT 및 4640만 TRX 포함)를 탈취했습니다.

사건 발생 첫날, Tether는 3억 7870만 USDT를 동결했으며, 나머지 약 2억 4900만 달러 상당의 TRX는 공격자가 통제하며 계속 이동시켰습니다. 이후 이 자금은 주로 세 가지 방향으로 나뉘었습니다.

첫 번째 방향은 크로스체인 브릿지를 통한 이동으로, 약 1억 9400만 달러가 관련되었습니다. 그중 다음 경로들이 주요 자금 이동을 담당했습니다:

Relay: 4800만 달러;
THORChain: 4400만 달러;
Chainflip: 3210만 달러;
Symbiosis: 1600만 달러;
USDT0: 550만 달러;
Across: 470만 달러.

두 번째 방향은 Bitget Wallet 등의 서비스를 통한 이동으로, 약 4300만 달러가 관련되었습니다. 그중 Bitget Wallet이 4170만 달러를 차지했으며, 그 외 Bridgers와 NEAR Intents도 있었습니다. 관련 자금의 최종 행방은 아직 확인되지 않았습니다.

세 번째 방향은 여전히 트론 네트워크에 남아 있는 자금으로, 총액 약 2600만 달러입니다. 주요 목적지는 다음과 같습니다:

JustLend: 1200만 달러;
USDT → USDD 교환: 520만 달러;
HitBTC 서비스 계정: 420만 달러;
Gate 서비스 계정: 140만 달러;
ChangeHero 및 기타 소규모 서비스.

나머지 약 2200만 달러는 전체 이동 과정에서 수수료, 슬리피지 및 가격 변동으로 소실되었습니다. 크로스체인 이후 자금 행방을 보면, 대부분의 자금은 최종적으로 이더리움 메인넷으로 유입되었으며 약 53300 ETH가 포함됩니다; 또한 약 68.8 BTC는 비트코인 네트워크로 이동했고; 약 1590만 USDT와 120만 USDC는 이더리움에 남아 있으며; 441만 USDC는 Lighter로 이동했고; 소량의 자금은 Arbitrum과 Base로 유입되었습니다.

아래 그림은 트론 네트워크상의 장물이 동결 이후 거쳐 간 전체 흐름을 보여주며, 자금이 통과한 각 크로스체인 브릿지와 최종 도착 목적 체인을 포함합니다.

탈출 경로 1: THORChain

THORChain은 이번 공격자가 트론 네트워크에서 자금을 이동시킨 최대 단일 통로였습니다. 공격자는 2697건의 입금을 통해 1억 8510만 TRX와 383만 USDT를 THORChain에 주입했습니다.

최종적으로 전출된 자금은 다음과 같습니다:

17,019 ETH, 170개의 이더리움 주소로 분산;
53.25 BTC, 20개의 비트코인 주소로 분산;
268,928 USDT 및 90,025 USDC, 이더리움으로 이동;
2.41 ETH, Base로 이동;
8.01 ZEC.

또한 4687만 TRX와 33.9만 USDT가 공격자의 트론 지갑으로 반환되었으며, 이후 다른 경로를 통해 다시 전출되었습니다.

순액 기준으로 보면, 공격자는 THORChain을 통해 약 4830만 달러를 교환했고 최종적으로 약 4270만 달러를 수령했으며, 약 570만 달러(12%)가 수수료와 슬리피지로 손실되었습니다. 이러한 교환에 참여한 프런트엔드 인터페이스는 관련 거래를 통해 약 14.58만 RUNE(약 9.5만 달러 상당)의 수익 배분을 얻었습니다.

아래 그림은 THORChain을 통해 전출된 자금이 최종적으로 어떤 블록체인으로 흘러갔는지, 그리고 해당 수신 지갑을 보여줍니다.

탈출 경로 2: Relay Protocol

Relay Protocol은 이번 자금세탁 활동에서 과거보다 훨씬 큰 역할을 했습니다.

과거 TraderTraitor 해킹 사건에서 Relay는 장물 세탁에 거의 참여하지 않았지만, 이번 사건에서는 공격자가 트론 네트워크에서 자금을 이동시킨 두 번째로 큰 통로가 되었습니다. 공격자는 735건의 입금을 통해 3764만 USDT와 3928만 TRX를 Relay로 이체했습니다.

최종적으로 도착한 자금은 다음과 같습니다:

14,656 ETH, 52개 주소로 분산;
966만 USDT, 12개의 이더리움 주소로 분산;
441만 USDC, 영구 선물 DEX Lighter의 43개 계정으로 이동(이 자금은 이후 전액 전출됨);
0.656 BTC, 비트코인 네트워크로 이동.

자금 이동 속도는 상당히 놀라웠습니다. 최대 자금 수신 주소(0xc8D516a53e28909d9eAB92642938762eA36F9093)는 97건의 거래를 통해 누적 2804 ETH와 102만 USDT를 수령했으며, 특정 트론 지갑은 거의 매분 약 10만 USDT를 해당 주소로 보냈습니다.

또한 353만 TRX와 119만 USDT가 공격자의 트론 지갑으로 반환되었으며, 이후 다시 전출되었습니다.

아래 그림은 Relay를 통해 이동한 자금이 최종적으로 어떤 블록체인으로 흘러갔는지, 그리고 해당 수신 지갑을 보여줍니다.

탈출 경로 3: Chainflip

Chainflip은 공격자가 사용한 세 번째로 큰 통로이자, 전체 과정에서 가장 혼란스러웠던 경로입니다.

공격자는 571건의 입금을 통해 4971만 USDT를 Chainflip으로 이체했지만, 그중 상당 부분의 교환 거래가 실패했습니다. 거래가 실패할 때마다 자금은 새로 생성된 트론 지갑으로 반환되었고, 이후 공격자는 즉시 해당 자금을 다시 Chainflip으로 재이체하여 재차 교환을 시도했습니다.

누적 1791만 USDT가 거래 실패로 반환되어 재전송되었으며, 일부 자금은 여러 차례 반복 시도되기까지 했습니다.

최종적으로 성공적으로 전출된 자금은 다음과 같습니다:

13,174 ETH, 196개의 이더리움 주소로 분산;
415,604 USDT, 이더리움으로 이동;
14.94 BTC, 2개의 비트코인 주소로 이동.

아래 그림은 Chainflip을 통해 이동한 자금이 최종적으로 어떤 블록체인으로 흘러갔는지, 그리고 해당 수신 지갑을 보여줍니다.

탈출 경로 4: Symbiosis

Symbiosis는 네 번째로 큰 자금 이동 통로입니다. 앞선 경로들과 달리, 공격자는 이곳에서 대규모 집중 이체 대신 광범위하게 분산하는 방식을 택했습니다 — 그들은 1367건의 소액 입금을 통해 4971만 TRX를 Symbiosis로 이체했습니다.

최종적으로 도착한 자금은 다음과 같습니다:

6846 ETH, 402개의 이더리움 주소로 분산;
130,129 USDC, 이더리움으로 이동;
14.45 ETH, Arbitrum으로 이동.

또한 28건의 입금(총 104만 TRX)이 교환에 실패하여, 이후 33.6만 USDT 형태로 공격자의 트론 지갑으로 반환되었습니다.

아래 그림은 Symbiosis를 통해 이동한 자금이 최종적으로 어떤 블록체인으로 흘러갔는지, 그리고 해당 수신 지갑을 보여줍니다.

기타 경로

위의 주요 경로 외에도 공격자는 다른 경로를 통해 자금을 이동시켰습니다.

트론 네트워크에서 전출된 기타 자금 흐름은 다음과 같습니다:

Bitget Wallet: 약 4170만 달러. 그중 3690만 달러는 '교환 + 크로스체인' 기능을 통해, 481만 달러는 크로스체인 브릿지를 통해 이동했습니다. 이는 현재까지도 상당한 자금의 행방이 파악되지 않은 경로로, 관련 목적지는 해당 서비스가 보유하고 있어 추가 확인이 필요합니다.
USDT0: 569만 USDT가 550만 USDT0로 교환되어 이더리움으로 이동했으며, 별도로 3.35만 USDT0가 Arbitrum으로 이동했습니다. 나머지 15.85만 달러는 성공적으로 전달되지 못하고 여전히 크로스체인 브릿지에 남아 있으며, 동결되었을 가능성이 있습니다.
Across Protocol: 463만 USDT가 1615 ETH와 99.1만 USDC로 교환되어 이더리움으로 이동했습니다.
Bridgers: 151만 달러.
NEAR Intents: 17.1만 달러.

Bridgers와 NEAR Intents 두 경로의 최종 자금 행방은 아직 확인되지 않았습니다.

여전히 트론 네트워크에 남아 있는 자금은 다음과 같습니다:

JustLend: 1200만 달러, 그리고 USDT → USDD 교환을 통해 이동된 520만 달러;
HitBTC 및 Gate 서비스 계정: 각각 417만 달러와 140만 달러;
ChangeHero: 43.2만 달러;
Fixed Float 및 기타 소규모 서비스.

아래 그림은 이러한 규모가 작은 자금 이동 경로와 여전히 트론 네트워크에 남아 있는 자금을 중점적으로 보여줍니다.

현재 자금 상황

작성 시점 기준, 공격자는 트론 네트워크에 여전히 약 750만 달러를 보유하고 있으며, 이미 크로스체인으로 전출된 자금은 이더리움과 비트코인 네트워크에서 계속 이동하고 있습니다.

아직 공격자가 통제하며 다른 블록체인에 보관 중인 30억 달러 이상의 자산(18,270 BTC, 약 51.9만 ETH, 2억 3300만 XRP 및 97만 SOL 포함)은 현재 거의 이동되지 않은 상태입니다.

이상이 공격자의 트론 네트워크상 전체 자금 흐름 추적 내용이며, 약 2억 4200만 달러가 이틀 남짓한 시간 동안 이미 세탁되었습니다. 저는 이 자금들이 이더리움과 비트코인 네트워크에서 움직이는 상황을 계속 추적하고 있으며, 동시에 아직 이동되지 않은 30억 달러 이상의 장물도 예의주시하고 있습니다.