경찰과 정보기관, 거래소에 암호화폐 범죄자를 잡는 도구를 거액에 파는 회사가 정작 자기 집 마당은 지키지 못했습니다. Chainalysis는 외부 공격자가 자사 시스템과 내부 도구에 무단으로 접근한 뒤 플랫폼 사용자 데이터를 빼냈다고 공식 인정했습니다. 이 인정이 나온 날은 10월 30일로, 바로 그 Chainalysis가 모든 것을 꿰뚫어 보는 예언자 같은 얼굴로 암호화폐 역사상 최대 규모의 강탈 사건의 범인을 지목한 날과 정확히 같은 날이었습니다. 이 회사의 설명에 따르면 바이낸스 지갑에서 약 64억 달러를 빼돌린 것은 북한 조직 TraderTraitor입니다.
그런데 회사가 직접 밝힌 세부 내용을 읽기 시작하면 탐정 같은 명료함은 어디론가 증발해 버립니다. 알려진 것은 침입이 “이번 달”에 발견됐다는 것뿐입니다. 공격자는 사용자 ID, 전체 이름, 업무용 이메일 주소, 조직 내 직책을 가져갔습니다. 여기에는 Chainalysis가 지금 그다지 반갑지 않은 편지를 보내고 있는 고객들도 포함됩니다. 회사에 따르면 일부 피해자에게는 그보다 앞서 비공개로 알렸다고 합니다. 모두 몇 건의 기록이 유출됐고 정확히 누구의 계정이 털렸는지, 세계 최고의 분석가들은 아직도 세지 못했습니다. 고객마다 “분석이 완료되는 대로” 개별 내역을 보내겠다고 약속할 뿐입니다. 침입자가 들어온 구멍을 지금 이 순간에도 부랴부랴 땜질하고 있습니다.
게다가 공개 보고서에는 핵심 질문이 있어야 할 자리마다 텅 빈 공백만 있습니다. 침입은 정확히 며칠에 발견됐는지, 공격자는 몇 주 동안 네트워크 안을 휘젓고 다녔는지, 어떤 취약점으로 들어왔는지, 어떤 “내부 도구”를 쓸 수 있었는지. 숫자 하나, 날짜 하나, 기술적 사실 하나 없습니다.
Chainalysis는 도난당한 정보를 안심시키듯 “민감하지 않은” 정보라고 부릅니다. 누가 이 회사의 소프트웨어를 사는지 잊는다면 듣기 좋은 말입니다. 이 회사의 주요 고객은 법 집행기관, 세무 당국과 정보기관, 암호화폐 거래소, 그리고 은행입니다. 현직 암호화폐 범죄 수사관들의 전체 이름, 업무용 이메일, 역할은 “민감하지 않은 사소한 정보”가 아니라 표적형 피싱과 협박에 바로 쓸 수 있는 황금 주소록입니다. Chainalysis 자신도 이를 잘 알고 있습니다. 같은 글에서 고객들에게 갑작스러운 비밀번호 재설정 이메일, 로그인 확인을 요구하는 푸시 알림, 회사 직원을 사칭해 전화하는 사기꾼을 믿지 말라고 간곡히 당부하고 있으니까요.
AI 탓이고, 바이낸스와는 무관하다
실패 원인에 대한 공식 설명은 그 자체로 별미입니다. 시작은 “다들 당했다”는 고전적인 수법입니다. Chainalysis는 “최근 몇 주 동안 다른 많은 기술 플랫폼과 마찬가지로” 피해를 입었다고 합니다. 요즘은 누구나 해킹당하니 너무 엄하게 판단하지 말아 달라는 뜻입니다. 이어서 마케팅의 중포가 등장합니다. 모든 것은 “업계 전반의 AI 기반 사이버 공격 증가”와 정체 모를 “공격적 에이전트 기법” 탓이라는 것입니다. 어떤 에이전트인지, 누가 실행했는지, 인공지능이 보안을 업으로 삼는 회사의 경계 방어를 어떻게 뚫었는지에 대해서는 한마디도 없습니다. 대신 구멍은 같은 유행 가루약으로 치료하겠다고 약속합니다. 점검에는 외부 컨설턴트와 “정교한 대규모 언어 모델”이 투입됐습니다. AI가 털었으니, 이제 AI가 보초를 서겠다는 겁니다.
짧은 글에서 회사는 두 번이나, 이번 침해가 바이낸스에서 수십억 달러를 훔친 사건과는 전혀 관련이 없다고 초조하게 강조합니다. 기꺼이 믿겠습니다. 아이러니는 다른 데 있습니다. 남의 거래소가 털렸을 때 Chainalysis 전문가들은 특정 국가를 지목한 정확한 진단을 내리는 데 8시간이면 충분했습니다. 자금 유출은 뉴욕 시간 10월 29일 16시 20분에 시작됐고, 0시 30분에는 이미 세계 앞에 북한이 제시됐습니다. 수십억 달러짜리 구멍을 무엇이든 평양의 음모 탓으로 돌리는 것이 얼마나 편리한지 저희는 어제 자세히 다뤘습니다. 그런데 누군가 Chainalysis 자체 서버에 들어오자마자 탐정들의 전설적인 눈은 곧바로 꺼져 버렸습니다. 침입자에게는 국기도, 조직도, 흔적도 없고, 남은 것은 “에이전트형”이라는 모호한 단어뿐입니다.
더 우스운 것은 비밀번호를 둘러싼 표현의 곡예입니다. 보도자료 첫머리에서 회사는 “인증 정보”에 대한 접근 흔적은 아예 발견하지 못했다고 씩씩하게 보고합니다. 그런데 몇 단락 뒤 고객에게 보낸 편지에서는 표현이 슬그머니 홀쭉해집니다. 거기에는 공격자가 “평문” 비밀번호에 접근하지 않았다는 말만 있습니다. 즉 비밀번호 해시는 어디론가 흘러갔을 수도 있다고 봐야 합니다. 사이버 보안 회사가 2026년에 “평문 비밀번호”를 별도의 범주로 언급한다는 것 자체가 의문이라는 점은 말할 것도 없습니다. 그리고 고객에게 건넨 마지막 조언, “아직 조직에서 2단계 인증을 활성화하지 않았다면 활성화하시기 바랍니다”는 뜻하지 않게 공공연한 비밀을 드러냅니다. 법 집행기관과 금융 수사관을 위한 폐쇄형 플랫폼에서 오늘까지 두 번째 인증 요소 없이도 태연하게 일할 수 있었다는 것입니다.
진짜 보안이 인증서와 그럴듯한 구호로 꾸민 진열장으로 바뀌는 과정은 이미 Vanta 분석 기사에서 다뤘습니다. Chainalysis의 진열장은 이 장르의 모든 규칙에 맞게 꾸며져 있습니다. “세계적 수준의 전문가”, “전사적 접근”, “보안 태세 강화”. 빠진 것은 단순한 질문에 대한 답뿐입니다. 몇 건의 기록을 가져갔는지, 침입자가 며칠 동안 안에 있었는지, 어느 문으로 들어왔는지. 결국 남는 그림은 이렇습니다. 블록체인을 따라 남의 주머니 속 북한의 흔적을 8시간 만에 찾아내는 회사가 정작 자기 부엌에 든 도둑에 대해서는, 얼굴 없는 AI가 범인이고 바이낸스와는 절대 무관하며 유출된 것은 해커를 잡는 것이 직업인 사람들의 이름, 이메일, 직책뿐이라고밖에 말하지 못합니다.