북한 해커, 이제 ‘정예 공격’···가상자산 3조 빼돌려 ‘대어 사냥’

[사진=셔터스톡]

[이뉴스투데이 김진영 기자] 북한이 올해 탈취한 가상자산 규모가 약 3조원에 달한다는 분석이 나왔다. 단순 해킹 빈도를 늘리기보다, 성공 가능성이 높은 ‘대형 표적’에 화력을 집중하는 방식으로 사이버 공격 전략을 고도화한 결과다. 공격 횟수는 줄었지만, 건당 피해 규모는 오히려 커지며 가상자산 시장 전반의 보안 리스크가 구조적으로 확대되고 있다는 지적이 나온다.

21일 보안업계에 따르면 미국 블록체인 데이터 분석 기업 체이널리시스는 최근 공개한 보고서에서 북한 연계 해킹 조직이 2025년 한 해 동안 약 20억2000만달러(약 3조원)의 가상자산을 탈취한 것으로 분석했다. 전년(약 13억달러) 대비 51% 급증한 수치로, 역대 최대 규모다.

보고서가 지목한 핵심 변화는 ‘공격의 정예화’다. 북한의 전체 사이버 공격 횟수는 전년 대비 약 74% 감소했지만, 공격 1건당 피해액은 비약적으로 늘었다. 실제로 올해 전 세계 가상자산 서비스 침해액(개인 지갑 제외) 가운데 북한이 차지하는 비중은 76%에 달했다.

과거 보안이 취약한 탈중앙화금융(DeFi) 브리지를 주로 노렸던 북한은 최근 들어 업비트, 바이비트 등 중앙화 거래소(CEX)와 핵심 인프라를 다시 정조준하고 있다. 장기간에 걸친 정찰과 내부 분석을 거친 뒤, 단 몇 차례 공격으로 수억 달러를 탈취하는 방식이다. 지난 2월 발생한 바이비트의 15억달러 해킹 사건이 대표 사례로 꼽힌다.

탈취 자금을 세탁하는 방식에서도 북한 특유의 패턴이 확인됐다. 일반 해커들이 수백만 달러 단위로 자금을 이동시키는 것과 달리, 북한 연계 조직은 자금을 50만달러(약 7억4000만원) 이하로 잘게 쪼개 수천 개의 주소로 분산 송금하는 수법을 사용한 것으로 나타났다. 이른바 ‘필 체인(Peel Chain)’ 기법으로, 대액 거래를 집중 감시하는 거래소와 수사당국의 AI 모니터링 시스템을 회피하기 위한 전략이다.

체이널리시스는 북한이 이런 분할 송금과 환전 과정을 거쳐 통상 45일 이내에 1차 자금 세탁 사이클을 마무리한다고 해석했다. 해킹 직후 집중 감시 기간을 ‘대기 단계’로 넘긴 뒤, 감시가 느슨해지는 시점에 자금을 이동시키는 방식이다.

특히 캄보디아 기반 결제 그룹인 후이원은 북한 자금 세탁의 핵심 노드로 지목됐다. 미국 재무부 산하 금융범죄단속망은 올해 후이원 그룹을 ‘주요 자금세탁 우려 기관’으로 지정했다. 조사 결과, 이 그룹은 2021년부터 2025년 초까지 최소 40억달러의 불법 자금을 세탁, 이 가운데 상당 부분이 북한의 사이버 공격에서 유입된 것으로 파악됐다.

전문가들은 북한의 사이버 공격이 단순 기술 침투를 넘어 사회공학적 기법으로까지 확장되고 있다는 점에도 주목한다. 최근에는 글로벌 테크 기업의 채용 담당자를 사칭해 IT 인력에게 접근한 뒤, ‘기술 면접’을 빌미로 악성 코드를 유포하거나 내부 시스템 접근 권한을 탈취하는 사례도 확인됐다.

체이널리시스는 “북한은 이제 더 적은 공격으로 더 큰 수익을 창출하는 국가 차원의 정교한 금융 작전 수행 능력을 갖췄다”며 “가상자산 업계는 일정 금액 이상 거래를 차단하는 기존 방식에서 벗어나, 소액 분할 송금과 지리적 이동 패턴을 실시간으로 탐지하는 ‘행동 패턴 기반 대응 체계’를 강화해야 한다”고 강조했다.