대만 가상자산거래소 비토프로, 북한 라자루스 그룹에 115억원 해킹

대만 가상자산거래소 비토프로는 2025년 5월 9일 새벽 1시경 이더리움·트론·솔라나·폴리곤 등 여러 블록체인에 걸친 핫월렛에서 약 1150만 달러 상당의 암호화폐가 무단 인출됐다. 훗날 밝혀진 조사 결과에 따르면 공격자는 클라우드 운영 업무를 담당하던 직원 한 명을 표적으로 사회공학적 기법을 동원해 트로이목마 프로그램을 심었다. 공격자는 이를 통해 다중인증(MFA)을 우회할 수 있는 AWS 세션 토큰을 탈취해 정상적인 시스템 업그레이드 작업으로 위장한 채 자산을 빼돌렸다. 내부자 연루 정황은 없는 것으로 결론 났으며, 탈취는 시스템 점검 시간대를 노려 매우 은밀하게 이뤄졌다. 이 공격 수법은 이후 북한 해킹조직의 전형적 패턴과 일치하는 것으로 지목됐다.

비토프로는 해킹 발생 다음 날인 2025년 5월 10일부터 텔레그램 공지에서 보안 사고 사실을 밝히지 않은 채 '시스템 점검'이라는 모호한 메시지만 올렸다. 거래 기능은 정상적으로 유지됐지만 테더(USDT)를 비롯한 일부 자산의 출금 기능은 슬그머니 제한됐다. 일부 이용자들은 출금이 막혔다는 불만을 제기했음에도 거래소 측은 '출금에는 문제가 없다'는 입장을 반복했다. 이런 모호한 커뮤니케이션 전략은 이후 3주 넘게 이어지며 이용자들의 불신을 키웠다. 커뮤니티에서는 거래소가 의도적으로 사고를 은폐하고 있다는 의혹이 확산됐다.

블록체인 온체인 조사관 ZachXBT는 2025년 6월 2일 비토프로 지갑에서 발생한 수상한 자금 흐름을 공개적으로 지적하며 해킹 의혹을 처음으로 수면 위에 올렸다. 이는 비토프로가 3주 넘게 자체적으로 사고 사실을 인정하지 않고 있던 상황에서 나온 외부 폭로였다. 이후 거래소는 더 이상 사고를 부인할 수 없게 됐고, 결국 공식적으로 보안 사고 발생 사실을 인정하는 수순을 밟았다. 업계에서는 다른 대형 디파이 해킹 사건들과 시기가 겹쳐 비토프로가 발표 시점을 전략적으로 늦춘 것 아니냐는 의혹도 제기됐다. 이 폭로를 계기로 거래소의 늑장 공시에 대한 비판 여론이 커졌다.

비토프로는 2025년 6월 19일 블록체인 추적 서비스 아캄(Arkham)과 협력해 탈취된 자금이 흘러간 지갑 주소 정보를 갱신했다고 밝혔다. 거래소는 핫월렛을 즉시 폐쇄하고 관련 키를 전면 교체했으며, 시스템을 격리해 재구축하는 한편 이상거래 모니터링 체계를 확대했다고 설명했다. 도난 자산의 흐름을 추적해 국제 수사기관과 공유하기 위한 협조 체계도 함께 구축했다. 이 조치는 뒤늦게나마 투명성을 회복하려는 시도로 평가됐으나, 이미 3주 가까이 이어진 은폐로 인해 신뢰 회복에는 시간이 걸릴 것이라는 전망이 나왔다. 사건은 이후 형사전담 수사팀으로 이관됐다.

비토프로는 2025년 6월 21일 자체 보안팀과 외부 사이버보안 업체의 정밀 분석 결과를 토대로 이번 해킹이 북한 라자루스 그룹의 소행이라고 공식 발표했다. 거래소 측은 공격에 사용된 기법과 자금 세탁 경로가 과거 라자루스가 저지른 다른 가상자산 해킹 사건들과 동일한 패턴을 보인다고 설명했다. 이 발표로 비토프로 사건은 2025년 한 해 동안 30건 넘게 발생한 북한발 가상자산 해킹 중 하나로 공식 기록됐다. 미국 재무부 등은 이런 탈취 자금이 북한의 핵·미사일 개발 자금으로 흘러들어간다고 지속적으로 경고해 왔다. 비토프로는 사건을 형사전담 수사기관에 넘기고 향후 보안 체계와 업계 공조를 강화하겠다고 밝혔다.