북한 국가 해커, 자국 은행 털다 체포: 6억 달러 비밀

북한은 수년간 세계 암호화폐 시장에서 가장 두려운 사이버 공격 세력이었다. 북한 해커들은 수십억 달러를 탈취하며 김정은 정권의 자금줄 역할을 해왔다. 그런데 이번에는 그 칼날이 정권 내부를 향했다. TRM Labs와 Chainalysis의 분석 보고서에 따르면. 북한 당국이 자국 국가은행을 해킹하고 암호화폐로 자금을 세탁한 혐의를 받는 전직 엘리트 해커 집단을 체포했다.

정보 출처의 특수성상 이 사건은 신중하게 다뤄야 한다. 그러나 이 사건이 열어 보이는 창문은 매우 중요하다. 국가 주도 암호화폐 세탁이 실제로 어떻게 작동하는지, 그 내부 구조가 처음으로 구체적으로 드러나고 있기 때문이다.

무슨 일이 일어났나: 사건의 재구성

이 사건의 재구성은 Daily NK가 처음 보도했다. Daily NK는 북한 내부 소식을 전문으로 하는 매체로, 평양 익명 소식통을 인용했다. 독립적인 검증이 불가능하다는 점에서 조건부로 받아들여야 한다. 그럼에도 보도 내용은 상당히 구체적이다. 7월 12일, 북한 정보기관이 평양의 한 은신처에서 전직 사이버 작전 요원 집단을 체포했다.

이들의 혐의는 조선중앙은행과 조선무역은행 등 핵심 두 금융기관의 내부 네트워크를 침투해 국가 자금과 외화를 해외 암호화폐 지갑으로 빼돌린 것이다. Daily NK 보도에 따르면 집단의 주모자들은 군사 사이버전 부대 출신 베테랑으로. 평양 주요 대학에서 젊은 IT 인재들을 포섭해 팀을 구성했다. 국가가 지시한 해킹과 달리, 이번 목적은 개인적 치부였다.

역설의 무게: 창을 만든 자가 창에 찔리다

결과적으로, 이 사건의 아이러니는 거의 문학적이다. 정권을 위해 전 세계를 해킹하도록 훈련된 그 기술이, 정권 자신을 향한 무기가 됐다. 날카롭게 벼린 칼의 본질적인 위험이 여기서 드러난다. 시스템 침투 방법을 아는 자는 자국 시스템의 약점도 안다.

지정학적 함의가 여기서 시작된다. 이 수준의 사이버 역량을 가진 요원들은 자산인 동시에 잠재적 위협이다. 이들은 국가의 공격 방법론, 인프라 구조, 취약점을 모두 알고 있다. 일부가 자국 정부를 상대로 도둑질을 감행했다면. 다른 이들은 탈북, 정보 판매, 또는 최고가 입찰자에게 능력을 파는 선택을 고려할 수 있다. 사이버전으로 국가 재정의 상당 부분을 충당해온 정권에게, 이는 단순한 범죄 사건이 아니라 체제 내부 보안 위기다.

북한 암호화폐 도둑질의 규모

이 사건의 맥락을 이해하려면 숫자가 필요하다. 그리고 이 숫자들은 Daily NK 보도와 달리, TRM Labs와 Chainalysis의 블록체인 분석 보고서로 문서화된 사실이다. 북한은 국가 단위 암호화폐 절도에서 전 세계 1위다.

국가 주도 자금 세탁은 어떻게 작동하는가

이번 사건에서 가장 시사적인 부분은 방법론이다. 보안 분석 기업들이 수년간 국가 지시 공격에서 문서화해온 바로 그 수법이, 이번에 내부 탈주자들에 의해 그대로 복제됐기 때문이다. 탈취한 자금은 먼저 암호화폐로 변환된다. 그다음 신원 확인 없이 자산 교환이 가능한 탈중앙화 프로토콜을 통해 세탁된다. 이더리움을 비트코인으로 전환해 추적 경로를 끊는 방식이 대표적이다.

마지막 단계가 결정적이다 또한 기술적 단계가 아니라 인적 단계다. TRM Labs 보고서에 따르면 북한 자금 세탁의 압도적 다수가 중국인 중개인을 통과한다. 이들은 국경 도시에서 실시간으로 암호화폐를 달러와 위안화로 교환한다. Daily NK가 보도한 체포 집단도 정확히 이 채널을 이용했으며, 경보를 피하기 위해 이체를 소액으로 분산했다. 이는 시스템의 진짜 취약점이 모든 것을 기록하는 블록체인이 아니라, 디지털 자금이 현물로 전환되는 지점임을 증명한다.

규제 당국과 투자자에게 주는 교훈

이 사건은 두 가지 구체적인 교훈을 남긴다. 한국 투자자와 금융감독원(FSS), DAXA 같은 규제 기관 모두에게 직접적으로 닿는 이야기다.

첫 번째 교훈은 규제 관련이다. 신원 확인 없이 가치를 전환하는 프로토콜과 중개인이 존재하는 한, 블록체인의 추적 가능성은 절반짜리 약속에 머문다. 2024년 발효된 가상자산이용자보호법은 국내 거래소에 대한 규율을 강화했지만, 자금 세탁은 그 경계가 끝나는 지점으로 정확히 이동한다. 국내법의 적용 범위를 벗어난 탈중앙화 프로토콜과 해외 P2P 채널이 여전히 맹점으로 남아 있다.

두 번째 교훈은 인식의 문제다. 암호화폐가 국가 범죄와 연결될 때마다 업계 전체가 평판 피해를 입는다. 규정을 준수하는 투명한 프로젝트들이 범죄 도구와 같은 취급을 받게 된다. Upbit, Bithumb 등 DAXA 소속 거래소들이 강화된 AML 절차를 유지하는 이유가 바로 여기에 있다. 블록체인은 수사관들이 평양 은신처까지 자금을 추적하는 것을 가능하게 한 바로 그 기술이기도 하다.

더 큰 그림: 자신이 만든 무기에 찔리는 국가

결과적으로, 출처에 대한 신중함을 유지하더라도 이 사건은 불편한 진실을 드러낸다. 다른 나라를 공격하기 위해 구축한 도구가 결국 국가 자신을 위협하게 된다는 것이다. 북한은 사이버전과 암호화폐 절도를 경제 생존의 핵심 기둥으로 삼아왔는데, 이제 그 기둥 내부에 균열이 생겼다.

세계 나머지 국가들에게 이 사건이 전하는 메시지는 명확하다. 암호화폐 보안의 최전선은 이제 스마트 컨트랙트 코드만이 아니다. 브리지 공격에서 봤듯이 지정학과 실물 화폐 전환 지점이 핵심 전선이 됐다. 그 전환 지점이 불투명하게 남아 있는 한, 고양이와 쥐의 게임은 계속된다. 이번에는 쥐가 집 안에 있었을 뿐이다. 관련 데이터는 TRM Labs와 Chainalysis의 분석 보고서에서 확인할 수 있다.