북한 해커, 국가 은행 해킹 후 체포: 6억 달러 암호화폐 세탁

수년간 북한은 전 세계 암호화폐 생태계에서 가장 두려운 공격자였다. 북한 해커들은 수십억 달러 규모의 거래소와 프로토콜을 무력화하며 정권 자금을 조달해 왔다. 그런데 이제 그 공격자가 내부로부터 털리는 전례 없는 사태가 벌어졌다. 바로 자국의 사이버 군인들에 의해서다.

Daily NK의 평양 소식통 보도에 따르면, 북한 정권은 자국 국가은행을 해킹하고 탈취 자금을 암호화폐로 세탁한 혐의로 전직 엘리트 해커 집단을 체포했다. 정보 검증이 불가능한 특성상 내용을 그대로 받아들이기엔 신중함이 필요하지만, 이 사건은 국가 주도 암호화폐 세탁의 실제 작동 방식을 들여다볼 수 있는 드문 창구를 제공한다.

소식통이 전한 사건 경위

이번 사건의 재구성은 북한 전문 매체 Daily NK가 평양 익명 소식통을 인용하며 보도한 내용에 기반한다. 독립적인 검증이 불가능한 만큼 조건부로 받아들여야 한다. 그럼에도 보도 내용은 상당히 구체적이다. 7월 12일, 북한 국가정보기관이 평양 소재 은신처에서 전직 사이버 작전 요원 집단을 체포했다는 것이다.

이들의 혐의는 북한 중앙은행과 대외무역은행 두 핵심 기관의 내부 전산망을 침투해 국가 자금과 외화를 해외 암호화폐 지갑으로 빼돌린 것이다. 집단의 핵심 인물들은 군 사이버전 부대에서 제대한 베테랑들로, 평양 대학교에서 정보 기술 분야 영재들을 직접 포섭한 것으로 알려졌다. 국가가 지시한 해킹과 달리, 이번 범행의 목적은 개인적 치부였다.

뉴스보다 더 무거운 아이러니

결과적으로, 이 사건의 역설은 거의 문학적이다. 정권을 위해 훔치도록 훈련시킨 바로 그 기관이, 이번에는 그 역량이 정권 자신을 향하는 것을 목격했다. 날카로운 무기에는 항상 이런 위험이 내재한다. 시스템 침투 방법을 아는 자는 자국 시스템의 침투 방법도 안다.

여기에 지정학적 의미가 있다. 이 수준의 정교함을 갖춘 요원들은 동시에 자산이자 위협이다. 이들은 국가의 방법론, 기반 시설, 취약점을 속속들이 알고 있다. 일부가 자국 정부를 상대로 절도를 감행할 의지가 있다면. 또 다른 이들은 탈영, 정보 매각, 혹은 최고 입찰자에게 능력 제공 등의 유혹에 빠질 수도 있다. 사이버전으로 국가 재정의 일부를 충당해 온 정권에게 이는 단순한 범죄 뉴스가 아니라 내부 안보의 문제다.

북한 암호화폐 절도의 규모

이 사건의 파장을 이해하려면 숫자가 필요하다. 그리고 이 숫자들은 사건 경위와 달리 블록체인 분석 기업들이 문서화한 검증된 데이터다. 북한은 지구상 최대 규모의 국가 주도 암호화폐 절도 세력이다.

국가 주도 암호화폐 세탁의 작동 방식

이 사건에서 가장 교훈적인 부분은 방법론이다. 보안 기업들이 수년간 문서화해 온 정권 지시 공격과 동일한 수법이, 이번에는 내부 이탈자들에 의해 그대로 복제됐기 때문이다. 탈취 자금은 암호화폐로 전환된 뒤, 신원 확인 없이 자산 교환이 가능한 프로토콜을 통해 세탁된다. 추적성을 끊기 위해 이더리움을 비트코인으로 바꾸는 방식이 자주 활용된다.

마지막 단계이자 결정적 단계는 기술이 아닌 인간의 영역이다. 바로 현금 전환이다 또한 TRM Labs와 Chainalysis의 보고서에 따르면. 북한 자금 세탁의 대부분은 국경 도시에서 실시간으로 암호화폐를 달러와 위안으로 교환해 주는 중국인 중개인을 통해 이루어진다. 체포된 집단도 정확히 이 채널을 활용하면서, 경보 시스템 작동을 피하기 위해 소액으로 나눠 송금한 것으로 알려졌다. 이는 시스템의 진짜 취약점이 모든 것을 기록하는 블록체인이 아니라, 디지털 자금이 실물 자금으로 전환되는 지점임을 다시 한번 증명한다.

규제 당국과 이용자가 얻어야 할 교훈

이 사건에서 구체적인 교훈 두 가지를 도출할 수 있으며, 이는 암호화폐 시장 참여자 모두에게 해당하는 이야기다.

첫 번째는 규제 당국을 향한 교훈이다. 신원 확인 없이 가치를 전환하는 프로토콜과 중개인이 존재하는 한, 블록체인의 추적 가능성은 절반짜리 약속에 불과하다. 금융감독원(FSS)과 금융위원회(FSC)의 규제 틀, 그리고 유럽의 MiCA 규정은 관할권 내 거래소와 플랫폼을 규율할 수 있다. 그러나 자금 세탁은 그 경계가 끝나는 곳으로 정확히 이동한다.

두 번째는 인식의 문제다. 암호화폐가 국가 범죄와 연결되는 사건이 보도될 때마다. 규제를 준수하고 투명하게 운영되는 프로젝트들까지 불법 도구와 동일선상에 놓이며 업계 전체가 평판 피해를 입는다. 국내 투자자들도 Upbit, Bithumb 등 DAXA 자율규제 체계 내에서 운영되는 플랫폼과 그렇지 않은 플랫폼을 명확히 구분할 필요가 있다. 블록체인은 바로 수사관들이 평양 은신처까지 자금을 추적하는 것을 가능하게 한 기술이기도 하다는 점을 기억해야 한다.

더 큰 그림: 국가가 만든 무기의 역습

결과적으로, 소식통에 대한 신중한 태도를 유지하더라도, 이 사건이 전달하는 불편한 진실은 강력하다. 다른 나라를 공격하기 위해 국가가 구축한 도구가 결국 국가 자신을 위협하게 된다는 것이다. 북한은 사이버전과 암호화폐 절도를 경제적 생존의 핵심 축으로 삼아 왔는데, 이제 그 축에 내부 균열이 생겼음을 발견했다.

나머지 세계에게 이 사건의 교훈은 명확하다. 암호화폐 보안 전선은 더 이상 스마트 컨트랙트의 코드나 브리지 공격에만 국한되지 않는다. 지정학과 실물 통화 전환 지점이 그 전선의 핵심이 됐다. 그 전환 지점들이 불투명하게 남아 있는 한, 고양이와 쥐의 싸움은 계속될 것이다. 다만 이번에는 쥐가 바로 집 안에 있었다. 관련 데이터는 TRM Labs와 Chainalysis의 분석 보고서에서 확인할 수 있다.