북한 해킹 조직이 올해 전 세계 가상화폐 탈취 피해의 대부분을 가져간 것으로 분석됐다. 가상화폐 추적·분석 기업 티알엠랩스에 따르면 2026년 현재까지 해커들이 탈취한 가상화폐 피해액 가운데 76%가 북한으로 흘러간 것으로 집계됐다.
북한이 전체 공격의 76%를 수행했다는 의미는 아니다. 공격 빈도는 상대적으로 낮았지만, 한 번의 공격으로 수억 달러를 빼내는 방식이 반복됐다는 점이 핵심이다.
가상화폐 탈취가 계속되는 배경에는 구조적 취약성이 있었다. 가상화폐 시장은 전통 금융권과 달리 거래 차단, 송금 취소, 피해 복구 장치가 제한적이다. 이용자 개인이 자산을 직접 보호해야 하는 구조도 공격자에게 유리하게 작용했다. 실제로 FBI는 2025년 미국 내에서 확인·신고된 가상화폐 관련 사기 피해만 110억 달러를 넘었다고 집계했다.
가장 큰 수혜자는 북한이었다. 티알엠랩스 분석에 따르면, 북한 해커들은 최근 9년 가운데 6년 동안 전체 가상화폐 탈취 피해액의 약 3분의 1 이상을 차지했다. 특히 2025년에는 탈취 가상화폐의 3분의 2가 북한으로 흘러갔고, 2026년에는 이 비중이 76%까지 높아졌다.
올해 북한 해킹 조직의 수익 대부분은 두 건의 대형 사고에서 나왔다. 드리프트 프로토콜 공격에서는 2억8천500만 달러가 탈취됐고, 켈프DAO 공격에서는 2억9천200만 달러가 빠져나갔다. 두 사건만 합쳐도 약 5억7천700만 달러에 달했다. 티알엠랩스는 북한이 인공지능을 활용해 사전 정찰과 사회공학 공격을 고도화했을 가능성에 주목했다.
북한은 이미 오래전부터 가상화폐를 제재 회피와 외화 확보 수단으로 활용해 왔다. 국제 금융망 접근이 제한된 상황에서, 상대적으로 규제가 느슨하고 보안 수준이 고르지 않은 가상화폐 생태계는 북한에 매력적인 표적이 됐다. 은행 송금은 차단하거나 회수할 수 있지만, 가상화폐 거래는 구조상 되돌리기 어렵다. 일부 프로젝트는 기술적으로 거래 중단이 가능하더라도, 탈중앙화 원칙과 투자자 이해관계 때문에 빠르게 대응하지 못하는 경우가 많았다.
북한의 대형 가상화폐 해킹은 2025년부터 더 뚜렷해졌다. 2025년 2월 북한 연계 APT 조직으로 알려진 트레이더트레이터는 가상화폐 거래소 바이비트에서 15억 달러 상당의 이더리움을 탈취한 것으로 지목됐다. 이 조직은 제이드슬리트, UNC4899로도 알려져 있다.
올해 4월 1일에는 시트린슬리트가 드리프트를 상대로 수개월간 이어진 사회공학 공격을 통해 약 3억 달러를 탈취한 것으로 분석됐다. 시트린슬리트는 애플제우스(AppleJeus), 라비린스 촐리마(Labyrinth Chollima), UNC4736으로도 불린다. 이어 4월 18일에는 트레이더트레이터가 다시 등장해 탈중앙화 금융 플랫폼 켈프의 기반 인프라를 공격했고, 이 공격에서도 약 3억 달러가 빠져나간 것으로 파악됐다.
각 공격 방식은 달랐지만 공통점은 분명했다. 공격자들은 탈중앙화 금융 플랫폼의 구조와 약점을 깊이 이해하고 있었다. 단순히 계정을 탈취하는 수준이 아니라, 플랫폼 간 자산 이동 구조, 신뢰 검증 절차, 거버넌스 대응 속도까지 계산한 공격이었다.
비욘드트러스트 CISO는 북한이 18일 동안 5억7천500만 달러를 훔칠 수 있었던 이유로 디파이 인프라의 구조적 허점을 지적했다. 그는 공격 대상 인프라에 단일 신뢰 지점이 있었고, 시스템 간 이동하는 자산의 출처 검증이 부족했으며, 거버넌스 구조가 공격 속도를 따라가지 못했다고 분석했다.
디파이 생태계의 문제는 다루는 자금 규모에 비해 보안 체계가 충분히 성숙하지 못하다는 데 있었다. 국가 지원을 받는 공격자는 수억 달러 규모의 자금을 노리지만, 일부 디파이 프로젝트는 여전히 스타트업 수준의 보안 구조로 운영된다. 전통 금융 인프라 수준의 신뢰 검증과 실시간 위험 통제가 적용되지 않는 한, 북한과 같은 국가 연계 조직은 디파이를 저비용 외화 확보 수단으로 계속 활용할 가능성이 크다.
AI는 이 위협을 더 키우는 요인으로 꼽혔다. 북한 해킹 조직은 오래전부터 사회공학 공격에 능했다. 그러나 과거에는 언어 장벽, 설득력 있는 인물 설정, 표적 맞춤형 공격 준비에 시간이 많이 들었다. AI는 이러한 제한을 줄이고 있다. LLM은 자료를 빠르게 정리하고, 생성형 도구는 이메일·메신저 문구·가짜 프로필·코드 작성까지 지원할 수 있다.
티알엠랩스 관계자는 글로벌 정책·정부 업무 책임자는 AI가 사회공학 공격의 정밀도를 크게 높이고 있다고 설명했다. 그는 최근 1년 동안 AI 지원 사기가 500% 증가했다고 밝혔다. 설득력 있는 공격을 만드는 장벽이 낮아졌고, 북한처럼 조직력과 자원을 가진 국가 행위자는 이를 가상화폐 탈취 작전에 체계적으로 결합하고 있다는 분석이었다.
앞으로 위험은 더 커질 가능성이 있다. AI 도구는 취약점을 더 빠르게 찾고, 공격 코드를 더 빠르게 만드는 방향으로 발전하고 있다. 스마트계약과 거버넌스 구조는 이미 사람의 속도로 움직이는 공격자에게도 충분히 견고하지 못한 경우가 많다. 여기에 AI가 결합하면 취약점 발견부터 실제 악용까지 걸리는 시간이 몇 시간, 경우에 따라 몇 분 단위로 줄어들 수 있다.
문제는 블록체인 거래의 특성상 공격이 실행되면 즉시 온체인에서 정산된다는 점이다. 전문가들은 가상화폐 생태계가 거래 단계에서 실시간 신뢰 검증 체계를 구축해야 한다고 지적했다.
댓글
0