105 읽음
북한 해커, 올해 암호화폐 10억 달러 이상 탈취
위키트리
0
북한 연계 해커들이 올해 훔친 암호화폐가 10억 달러(약 1조 3,340억 원, 1달러 1,334원 기준)를 넘어섰다. 블록체인 분석업체 체이널리시스(Chainalysis)가 거래소 비트겟(Bitget)에서 벌어진 3억 8,750만 달러 규모 해킹을 북한 연계 세력의 소행으로 지목하면서다. 이 사건이 더해지며 상반기에 이미 확인된 6억 4,300만 달러와 합쳐 올해 북한의 확인된 탈취액이 10억 달러를 돌파했다고 스타트업포춘(Startup Fortune)은 전했다. 이하 날짜는 모두 현지시각 기준이다.
스타트업포춘에 따르면 체이널리시스는 AI를 활용해 비트겟 해킹 자금의 크로스체인(서로 다른 블록체인 사이의 이동) 흐름을 10분 안에 추적했다. 예전에는 분석가가 20시간 넘게 매달려야 했던 작업이다. 이 업체는 10월 1일(현지시각) 분석 결과를 공개했다. 훔친 XRP를 비트코인으로 바꾸는 세탁 단계가 확인됐고, 업체는 이것이 북한의 알려진 현금화 수법과 맞아떨어진다고 밝혔다.
사건은 9월 24일 UTC 기준 18시 31분 비트겟의 보안 시스템이 핫월렛(인터넷에 연결된 지갑)에서 빠져나가는 무단 이체를 감지하면서 드러났다. 공격자는 3시간 안에 23건의 이체로 자산을 이더리움, XRP, 징크캐시(Zcash), 트론 등으로 흩뿌렸다. 비트겟은 처음 피해액을 3억 5,160만 달러로 잡았다. 처음에 놓친 징크캐시와 트론 이체까지 합산하자 피해액이 3억 8,750만 달러로 늘었다고 디크립트(Decrypt)를 인용해 전했다. 올해 발생한 거래소 해킹 가운데 최대 규모다.
비트겟의 그레이시 천(Gracy Chen) 최고경영자는 침입 기법이 북한 패턴과 거의 즉각 일치했다고 밝혔다. 그는 IP 행태와 온체인(블록체인 기록상) 서명을 근거로 공격이 “북한 연계 해커 조직이 쓰는 기법과 일치한다”고 말했다. 체이널리시스가 독자 포렌식 분석으로 이 판단을 뒷받침한 셈이 됐다.
상반기 6억 4,300만 달러 가운데 대부분은 4월 두 건의 공격에서 나왔다. 4월 1일 드리프트 프로토콜은 12분 동안 이어진 소셜 엔지니어링(사람을 속여 접근 권한을 얻는 수법) 공격으로 2억 8,500만 달러를 잃었다. 4월 18일에는 켈프DAO가 레이어제로 브리지 취약점 공격으로 2억 9,200만 달러를 도난당했다. 연구자들은 후자를 라자루스의 하위 조직인 트레이더트레이터의 소행으로 지목했다. 이 조직은 크로스체인 인프라 공격에 특화된 것으로 알려졌다.
엔케이뉴스가 다룬 보고서는 상반기 업계 전체 암호화폐 탈취액 가운데 북한 해커의 몫을 약 55%로 추산했다. 여기에 비트겟 사건이 더해지면서 북한의 확인된 올해 탈취액은 10억 달러 선을 넘었다.
스타트업포춘은 2024년 유엔 보고서가 2017년 이후 북한이 훔친 암호화폐를 30억 달러 넘게 추정했다고 짚었다. 현재 속도라면 올해 한 해만으로 그 총액의 3분의 1이 더해질 수 있다는 계산이다.
스타트업포춘이 소개한 이번 공격의 특징은 비트겟의 콜드월렛(오프라인 보관 지갑) 키를 건드리지 않았다는 점이다. 이용자 출금 요청을 위조하지도 않았다. 공격자는 비트겟 지갑 인프라 내부의 백엔드 시스템을 장악해 거래 데이터를 위조했고, 거래소 자체 승인 절차가 평범해 보이는 출금을 승인하도록 속였다. 비트겟은 침입이 자사가 의존하던 서드파티 보안 도구의 제로데이(아직 패치되지 않은 미공개 취약점)를 악용했다고 밝혔다. 비트겟 엔지니어가 만든 결함이 아니라는 설명이다.
과거 사례와 비교하면 진입 경로가 제각각이다. 2022년 6억 2,500만 달러가 털린 로닌 브리지 해킹은 가짜 링크드인 채용 제안에서 출발했다. 선임 엔지니어가 악성 PDF를 내려받자 라자루스가 로닌 검증자 9곳 중 4곳을 장악했다. 2025년 2월 바이비트에서 발생한 15억 달러 해킹은 지금도 사상 최대 암호화폐 도난 사건이다. 서명 화면에는 올바른 지갑 주소가 표시됐지만 그 뒤의 스마트컨트랙트 로직은 이미 바뀌어 있었다.
비트겟은 대응에 속도를 냈다. 9월 28일 이용자 보호 기금을 일주일 안에 최소 3억 달러로 복원하겠다고 약속했고, 9월 30일 기한보다 이틀 앞서 완료했다고 밝혔다. 파이낸스 마그네이츠에 따르면 해킹 전 기금은 4억 6,400만 달러를 웃돌았다. 피해액은 그 약 84%에 해당한다. 취약점을 패치한 뒤 비트코인 출금을 재개했고 중단 기간에 추가 손실은 없었다고 한다. 제보자에게 회수 자금의 5%를 주는 포상 프로그램도 가동 중이며 일부 자산은 이미 동결됐다.
다만 스타트업포춘은 근본적인 의문이 남는다고 지적했다. 거래소 코드에서 한 단계 떨어진 보안 제품 하나가 3억 8,700만 달러 손실의 문을 열 수 있다면 연기금이나 기업 재무 담당자에게 ‘안전한 거래소’는 무엇을 뜻하느냐는 것이다. 보상 기금은 이번 도난액이 기금 한도를 밑돌았기에 감당할 수 있었다는 평가도 덧붙였다.
한편 미국은 북한의 자금 세탁망을 겨냥한 제재도 이어가고 있다. 파이낸스 마그네이츠에 따르면 재무부 해외자산통제실은 화요일 사이버 범죄와 IT 인력 사기로 얻은 자금을 세탁한 혐의로 개인 8명과 단체 2곳을 제재 대상에 올렸다. 이 가운데 은행원 2명은 제재 대상인 제일신용은행을 통해 최소 530만 달러 상당의 암호화폐를 관리한 혐의를 받는다. 이 자금은 미국 피해자를 노린 랜섬웨어 조직과, 해외에서 일하는 북한 IT 인력의 수익과 연결된 것으로 지목됐다.
제재 명단에는 류경신용은행과 조선 만경대컴퓨터기술회사도 포함됐다. 재무부는 이들이 위장회사와 제3국 중개인을 동원해 암호화폐 거래를 숨겼고 중국·러시아 대리인을 이용했다고 밝혔다. 평양에 본사를 둔 KMCTC는 중국 선양과 단둥에서 IT 파견단을 운영한다. 재무부에 따르면 이 회사 대표와 팀은 중국인을 은행 대리인으로 내세워 해외 IT 인력이 번 돈의 출처를 감췄다.
존 K. 헐리 재무부 테러·금융정보 차관은 “북한 정부가 후원하는 해커들은 정권의 핵무기 프로그램을 위해 돈을 훔치고 세탁한다”고 말했다. 그는 재무부가 북한의 불법 수입원을 끊기 위해 조력자들을 계속 추적하겠다고 밝혔다. 제재로 미국과 연결된 이들의 자산은 동결되고 미국인은 이들과 거래할 수 없다.
앞서 미 법무부는 북한 IT 인력과 연계된 암호화폐 770만 달러를 압수했다. 이들은 미국인 신분을 도용해 원격 근무 자리를 얻었고, 중국·러시아·라오스 등지에서 VPN과 미국 내 노트북 팜으로 위치를 숨긴 것으로 지목됐다. 보안업체 사일런트푸시는 북한 해커들이 미국에 등록한 가짜 회사를 만들어 가짜 채용 면접으로 암호화폐 개발자를 노렸다고 밝혔다. 이들은 구직 파일로 위장한 악성코드를 내려받게 했다.