대북제재 속 암호화폐 탈취해 핵 개발 ‘핵심 돈줄’ …개미 지갑부터 거래소 ‘탈탈’ 한·미 해법 찾기 골머리
8월 27일(현지시각) 한국 외교부와 미국 국무부가 ‘북한 불법 사이버 활동으로부터 가상자산 산업 보호 및 자금 조달 차단’을 주제로 심포지엄을 공동 개최했다. 3회째를 맞는 심포지엄이다. 이날 행사엔 세스 베일리 미 국무부 대북특별부대표가 참석했다.
베일리 부대표는 블록체인 리서치업체가 작성한 보고서를 인용해 북한 해커들의 암호화폐 탈취 심각성을 강조했다. ‘TRM랩스’ 보고서에 따르면 2023년 전 세계 암호화폐 탈취금액 중 3분의 1이 북한 해커 소행으로 추정된다. 2023년 북한 해커들이 탈취한 암호화폐는 7억 달러(약 9324억 원) 규모다.
시기를 2022년부터 2023년까지 2년 단위로 넓히면, 북한은 15억 달러(약 2조 원)에 달하는 암호화폐를 온라인상에서 탈취했다. 베일리 부대표는 “2024년 (북한발) 암호화폐 탈취액 규모는 10억 달러(약 1조 3300억 원) 이상일 것”이라고 전망했다.
이준일 외교부 한반도 정책국장은 “북한이 탈취 자금 상당부분을 핵, 미사일 개발에 사용하고 있다”면서 “긴밀한 협력이 그 어느 때보다 중요하다”고 말했다.
북한 정찰총국이 관할하는 해커 조직 ‘김수키’는 2022년부터 ‘푼돈 사냥’에 나섰다. 2014년 한국수력원자력 원전 도면 유출 및 가동중지 협박 사건으로 국내에서 이름을 알린 조직이다. 2021년까지만 해도 공공기관, 기업, 병원 등 해킹을 시도해 왔던 김수키는 2022년을 기점으로 해킹 콘셉트를 전환했다.
랜섬웨어를 서버에 심어 놓은 뒤 서버를 장악하면, 서버 정상화를 미끼로 비트코인 등 암호화폐를 요구하는 수법이 포착됐다. 복수 대북 소식통은 북한이 정보 탈취에 있던 해킹 무게추를 암호화폐로 옮긴 점을 유의미한 포인트로 지적했다.
한 소식통은 “북한이 오랜 대북제재로 자금줄이 마르면서, 거시적인 정보 탈취 작전보다 한 건 한 건 푼돈을 탈취하는 방식으로 스탠스를 바꿨다”면서 “북한 내부 최고급 컴퓨터공학 인재들을 가상자산 소매치기 범죄에 활용하고 있다”고 말했다.
관제 해커 조직은 음지에서 북한 외화벌이 사업 총력전에 투입되고 있다. 굵직한 해킹 프로젝트를 진행하던 이들이 민간인들을 대상으로도 푼돈 탈취 프로세스를 가동 중이다. 수법도 점점 다양해지고 있다. 스미싱이나 이메일 피싱 등 전통적인 수법을 비롯해 가짜 도메인을 활용하는 수법이 암호화폐 해킹에 주로 쓰인다. 개인 투자자들 전자지갑을 사정권에 두는 동시다발적 ‘E-소매치기’다.
최근엔 세계적인 IT기업이 운영하는 브라우저 취약점을 타격해 암호화폐를 빼돌리는 수법이 등장해 업계의 비상한 관심을 모았다. 8월 30일 마이크로소프트가 발표한 보고서에 따르면 북한 해커 조직이 구글사가 운영하는 브라우저 ‘크롬’의 보안상 취약점을 노려 암호화폐 절도에 필요한 개인정보를 빼돌렸다. 가짜 사이트를 정상적인 암호화폐 거래 플랫폼인 것처럼 가장했다. 피해자들은 악성코드가 포함된 앱을 다운받으며 해킹 범죄에 노출됐다.
크롬 브라우저 취약점을 공격해 빼돌린 암호화폐 규모는 아직 밝혀지지 않았다. 이 범죄 중심엔 ‘시트린 슬리트’라는 해커 조직이 있는 것으로 알려졌다. 시트린 슬리트는 북한 정찰총국 121국이 관할하는 조직인 것으로 추정되고 있다.
한 블록체인 업계 관계자는 “세계 각국마다 블록체인 및 암호화폐 산업에 대한 법제도를 준비 중인데, 표준화된 법제도가 아직 없다”면서 “그럼에도 암호화폐는 ‘금융 국경’을 허물고 전세계적으로 거래되고 있다”고 했다. 이어지는 말이다.
“암호화폐는 세계 어디서든 거래할 수 있는 혁신적 특성을 가지고 있지만, 아직 제도적으로 취약하다. 여기다 한번 탈취당한 암호화폐는 다시 되찾는 것이 사실상 불가능하기 때문에 북한 입장에선 비공식적인 채널로 자금을 마련하기에 가장 최적화된 시장일 것이다. 북한 말고도 전 세계 해커들이 호시탐탐 자산을 노리고 있기 때문에 사이버 보안 유지에 개개인이 힘쓰는 것이 중요하다.”
전직 정보 당국자는 “북한 입장에서는 대북제재가 장기화하는 과정에서 암호화폐 해킹으로 모든 해킹 역량이 집중될 수밖에 없다”면서 “개인 투자자 및 거래소에 존재하는 암호화폐를 탈취하는 순간 그 자산들은 그 자체로 세탁부터 건조까지 다 완료된 상태라고 보면 된다”고 했다.
이 당국자는 “국제사회가 공조해 북한 해커들의 범죄를 막을 수 있는 해결책을 논의할 필요가 있다”면서 “북한이 암호화폐를 탈취한 자금을 국제 평화를 위협하는 핵무기 개발에 활용하는 까닭”이라고 덧붙였다.
거래소 해킹과 암호화폐 제작 및 유통에 직접 뛰어들던 북한 해커 조직들은 ‘푼돈의 맛’을 본 뒤 모든 역량을 E-소매치기에 집중하고 있는 것으로 전해진다. 북한 해커들이 암호화폐 해킹에 사활을 건 뒤부터 암호화폐 해킹 피해액 규모는 점점 늘어나고 있다.
전직 정보기관 관계자는 “북한이 대북제재 초반엔 오프라인 자금줄 확보 시도를 했다”면서 “위조지폐 제작, 마약 유통 등 범죄사업을 통해 외화를 버는 방식을 활용했는데, 이런 방식들은 지속 가능성이 떨어졌다”고 했다.
이 관계자는 “북한이 정찰총국 산하 해커 집단을 통해 암호화폐를 털기 시작하면서 ‘이건 오래 써먹을 수 있다’는 자신감이 생겼을 수 있다”면서 “지속가능한 외화벌이 모델로 암호화폐 탈취가 자리를 잡은 상황이기 때문에 앞으로 해킹 수법이 더욱 다양화될 가능성도 배제할 수 없다”고 했다.
이동섭 기자 hardout@ilyo.co.kr