8조원 턴 北 해커들, 자금세탁은 中 범죄조직이?…다음 표적 한국일까

세계 최대 가상자산 거래소 '바이낸스'에서 8조원대 자금을 탈취한 북한 해킹조직이 한국 거래소를 다음 공격 대상으로 삼을 수 있다는 경고가 나왔다. 북한이 중국 범죄조직을 통해 탈취 자금을 세탁하고 있다는 분석도 제기되면서 추가 피해와 불법 자금 유통을 막기 위해선 국제사회와 공조하는 정부 대응이 필수라는 목소리가 나온다.

◆"바이낸스 탈취, 북한 최정예 해킹 조직 소행…韓 거래소가 주요 표적"

2일 SBS가 공개한 단독 인터뷰에서 미국 블록체인 분석업체 TRM랩스의 닉 칼슨 북한 전문 조사관은 "모든 거래소가 표적이 될 수 있지만, 특히 한국 거래소들이 주요 표적이라고 생각한다"고 밝혔다.

미국 연방수사국(FBI)에서 12년간 근무한 칼슨 조사관은 지난달 29일 발생한 바이낸스 해킹 사건의 배후를 분석한 인물이다. TRM랩스는 사건 발생 6시간 만에 북한 해킹조직 '트레이더트레이터'(TraderTraitor)를 범행 주체로 지목한 바 있다.

칼슨 조사관은 "트레이더트레이터는 북한의 최정예 해킹 조직"이라며 "그들은 피라미드의 정점에 있는 조직으로, 단연코 가장 위험한 해킹 부대다. 이들은 가장 대담한 금융자산 탈취 사건들을 저질러 왔다"고 평가했다.

북한을 배후로 특정한 근거로는 이번 사건 이전부터 이어진 해킹조직의 활동 기록을 제시했다.

그는 "기본적으로 해킹을 위한 몇 차례의 시험 거래를 수행했다. 더 나아가 이 거래들과 연결된 훨씬 오래된 활동까지 확인했다. 그 흔적은 2020년까지 거슬러 올라간다"고 했다.

이어 "트레이더트레이터가 이번 해킹을 실행했다는 사실을 확인해 주는 여러 증거를 확보하고 있다"면서도 "하지만 너무 자세히 설명하고 싶지는 않다. 북한 해커들에게 탐지를 피하는 방법을 알려주고 싶지 않기 때문"이라고 말했다.

북한이 탈취한 가상자산을 현금화하는 과정에서 중국 범죄조직과 협력할 수 있다는 가능성도 제기됐다.

이날 SBS는 칼슨 조사관을 인용해 북한 해커들과 중국 범죄집단 사이에 수년간 형성된 협력 관계가 이번 자금세탁에도 영향을 미친 것으로 보인다고 보도했다.

칼슨 조사관은 "쉽게 말해 북한이 돈을 훔치고, 중국 범죄 조직은 수수료를 받고 그 돈을 대신 세탁하는 것"이라고 설명했다.

실제로 해커들이 탈취한 자금은 여러 전자지갑으로 분산되며 이동하는, 이른바 '세탁'을 거치는 양상을 보인다. 블록체인 분석업체 체이널리시스가 추적한 거래에서는 5억달러 이상의 가상자산을 옮기는 데 1천개가 넘는 전자지갑 주소가 동원된 것으로 나타났다.

자금세탁 과정에 인공지능(AI)이 활용된다는 분석도 나왔다. 범죄조직들이 AI를 이용해 자금을 빠르게 세탁하면서도 추적 가능성을 낮출 수 있는 경로를 선택한다는 것이다.

현재 TRM랩스는 자금세탁에 관여한 중국 측 인물들의 신원을 추적 중인 것으로 전해졌다. 칼슨 조사관은 "자금 세탁에 관여한 중국인들에 대한 유의미한 정보를 확보할 것으로 거의 확신한다"고 했다.

다만 관련 인물들을 특정하더라도 중국 당국의 협조 없이는 자금세탁 차단에 한계가 있을 것이라는 게 칼슨 조사관의 판단이다.

그는 "중국 정부가 이번만큼은 이 문제를 진지하게 받아들이기를 바란다. 과거에는 그렇게 하지 않았기 때문"이라며 중국 측의 적극적인 공조를 촉구했다.

칼슨 조사관은 한미일을 비롯한 국제사회가 대응 수위를 높이지 않으면 북한의 해킹 위협이 더욱 확대될 수 있다는 우려도 내놨다.

◆"북한 대량살상무기 개발 자금 출처 40%, 불법 사이버 활동"

앞서 FBI는 지난달 31일(현지시간) 바이낸스 해킹 사건의 배후로 북한을 공식 지목했다. 지난달 29일 발생한 이번 사건의 피해 규모는 약 63억달러(약 8조4천억원)로, 단일 사건 기준 역대 최대 가상자산 탈취 사건으로 꼽힌다.

FBI는 트레이더트레이터가 탈취 자산을 주로 이더리움으로 전환하는 정황을 포착했다. 이후 탈중앙화금융(DeFi)과 즉시 교환 서비스 등을 통해 추가 자금세탁이 이뤄질 가능성을 제기하면서 해킹조직과 연관된 가상자산 지갑 주소를 공개했다.

북한 연계 해킹조직의 대규모 가상자산 탈취는 이번이 처음이 아니다.

지난 2022년에는 블록체인 게임 네트워크 '로닌'에서 약 6억2천만달러가 유출됐고, 2024년 일본 가상자산 거래소 DMM비트코인에서는 약 3억800만달러가 탈취됐다. 지난해 2월 바이비트에서 발생한 약 15억달러 규모의 해킹 역시 북한 소행으로 지목됐다.

북한이 가상자산 해킹을 외화 확보 수단으로 활용하고 있다는 분석도 이어지고 있다.

유엔 안전보장이사회 대북제재위원회 전문가패널이 지난 2024년 공개한 보고서에는 북한이 불법 사이버 활동으로 전체 외화 수입의 약 50%를 조달한다는 한 회원국의 평가가 담겼다. 대량살상무기(WMD) 개발 자금의 약 40%가 불법 사이버 활동에서 나온다는 다른 회원국의 분석도 제시됐다.

국내 금융당국 역시 바이낸스 해킹 사태에 대응해 가상자산 거래소들의 보안 체계를 긴급 점검하고 있다.

금융위원회는 이날 금융감독원, 금융보안원, 디지털자산거래소 공동협의체(DAXA), 국내 주요 가상자산사업자 등과 회의를 열고 전산 시스템 접근통제와 가상자산 출고 승인·서명 체계, 관리자 권한 관리 현황 등을 살펴봤다.

금융위는 국내 거래소들에 온라인과 분리된 '콜드월렛'의 보유 비중을 높이고, 비정상적인 입출고를 상시 감시하도록 주문했다. 해킹에 대비한 보험 가입과 준비금 추가 적립, 관계기관 간 신속한 정보 공유 체계 마련도 당부했다.