FBI가 15억달러 탈취를 북한에 귀속했다

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

콜드월렛 서명자가 확인한 화면과 실제 실행된 스마트계약 호출이 달라질 때 다중승인이 무력화되는 과정을 네 단계로 본다.

1. 01

   1. 진입

   Bybit는 대규모 이더리움 계열 자산을 콜드월렛에서 웜월렛으로 옮기기 위해 다중서명 승인 절차를 시작했다.

2. 02

   2. 통제 이탈

   Bybit는 제3자 포렌식 결과를 인용해 Safe Wallet 환경의 악성 코드가 서명자를 속여 악성 거래 승인을 유도했다고 발표했으며, 이는 회사 귀속 설명으로 제한한다.

3. 03

   3. 손실 전파

   2025년 2월 21일 약 15억달러 상당 자산이 공격자 주소로 이동하고 여러 체인·교환서비스를 거쳐 세탁되기 시작했다.

4. 04

   4. 집행·정리

   FBI는 2월 26일 북한 TraderTraitor 행위로 귀속하고 주소를 공개했으며 거래소·분석업체·당국의 추적과 동결은 계속된다.

사건 연표

1. 2025년 2월 21일

   콜드월렛 이전 서명화면이 악성 변경된다

2. 2025년 2월 21일

   이더리움 계열 자산이 공격자 주소로 이동한다

3. 2025년 2월 22일

   거래소가 지급능력과 대응상태를 공지한다

4. 2025년 2월 26일

   FBI가 북한 조직의 행위로 귀속한다

5. 2025년 말

   FSOC가 디지털자산 절도위험을 평가한다

6. 2026년 9월 4일

   세탁·회수 상태는 계속 갱신 대상이다

왜 가능했나

콜드월렛이라는 보관형태만으로 안전이 완성되지 않는다. 서명자가 본 화면, 하드웨어가 해석한 데이터, 최종 실행될 스마트계약이 같은지를 독립 검증확인할 필요가 있다. 공급망·사용자 인터페이스가 조작되면 여러 명의 서명이 오히려 동일한 잘못된 거래를 승인할 수 있다. 이 판단은 North Korea Responsible for $1.5 Billion Bybit Hack이 기록한 탈취 평가액의 범위와 당시 통제문서를 함께 대조한 결과다.

15억달러는 FBI가 당시 가격으로 설명한 탈취 평가액이며 최종 회수불능액이 아니다. 이후 토큰 가격·교환·동결로 값이 변한다. 북한 귀속은 FBI의 공식 판단이고 개별 피고의 법원 유죄와 같지 않다. 주소별 회수율은 다음 검토일까지 잠정 상태다. 2025 Annual Report의 절차 범위를 기준으로 수치와 법적 효과를 제한했다.