北해커 작년에만 2.9조 코인 털어… 전체 탈취액 60%

北에 뚫린 최대 거래소 ‘바이낸스’
95% 보전… 중단됐던 출금 재개

“北, 국내 사이트 해킹 거점 악용”
학회·언론사·건설사 주소 등 거쳐
일반 접속으로 위장해 공격 정황

북한 연계 추정 해커들이 가상화폐 거래소 바이낸스에서 63억달러(약 8조4000억원)를 탈취한 시간은 약 20분에 불과했다. 과거 여러 차례 가상화폐 거래소 해킹으로 ‘외화벌이’를 해온 북한이 세계 최대 거래소를 공격할 수 있을 정도로 향상된 역량을 보여주면서 우려가 커지고 있다.

지난달 31일(현지시간) 미국 월스트리트저널(WSJ) 등에 따르면 아랍에미리트(UAE) 아부다비에 소재한 바이낸스 보안팀이 해킹을 인지한 것은 지난달 29일 오후 11시20분(미 동부시간 29일 오후 4시20분)이다. 오후 11시40분엔 이미 60억달러 상당의 가상화폐가 사라졌다. 즉시 고위 임원진을 포함한 약 100명의 위기대응팀을 대상으로 긴급 화상회의가 소집됐으나, 임직원은 계좌에서 자산이 실시간으로 빠져나가는 모습을 공포 속에서 속수무책으로 지켜볼 수밖에 없었다.

바이낸스는 세계 가상자산 거래소 시장에서 8월 말 기준 약 47.6%에 달하는 점유율을 차지한 1위 거래소다. 미 연방수사국(FBI)은 북한 해커 조직 트레이더트레이터의 소행으로 지목했다. 보안업계는 북한이 개발·운영 담당 엔지니어의 노트북을 해킹해 서비스 운영 환경에 접근하고 승인되지 않은 출금 거래를 요청하는 수법을 이용한 것으로 추정했다.

오랜 경제 제재로 인한 어려움을 해결하기 위해 북한은 사이버전에 막대한 투자를 이어오며 해커를 육성해 왔다. 특히, 실물이 없는 데이터 자산이면서도 높은 가치를 지닌 가상화폐는 가장 좋은 ‘먹잇감’이다. 블록체인 분석업체 체이널리시스에 따르면 지난해 북한 해커들은 약 20억달러의 가상화폐를 탈취한 것으로 추정됐다. 이는 지난해 전체 탈취액의 약 60%에 달하는 양이다. 유엔 안전보장이사회는 2017∼2023년 북한 소행으로 추정되는 가상화폐 기업 공격이 총 58건, 피해액은 약 30억달러라고 집계했다.

2022년 북한 해킹 조직 라자루스는 블록체인 기반 게임 네트워크인 로닌 네트워크에서 약 6억2000만달러를 훔친 것으로 지목됐다. 라자루스 산하 조직인 트레이더트레이터는 2024년 일본 가상화폐 거래소 DMM비트코인에서 3억800만달러를 탈취했고, 지난해 2월에도 바이비트 거래소에서 당시 기준으로 역대 최대 규모인 15억달러를 무단 인출했다.

라자루스가 국내 학회와 언론사 등의 웹사이트를 사이버 공격의 통신 거점으로 활용했을 가능성도 제기됐다. 글로벌 보안업체 카스퍼스키가 최근 공개한 ‘오퍼레이션 플래시홀’ 보고서에 따르면 대한산부인과학회 홈페이지의 하위 주소 등이 악성코드 ‘클라이언트허브’ 명령제어(C2) 서버 목록에 포함됐다.

국내 언론사와 건설·안전관리·인테리어 관련 업체 등의 웹사이트 주소도 침해지표(IOC)로 제시됐다. C2는 공격자가 감염된 컴퓨터에 명령을 내리고 실행 결과를 받는 통신 거점이다. 카스퍼스키는 라자루스가 침해한 정상 웹사이트를 활용해 악성 통신을 일반적인 인터넷 접속처럼 위장했다면서, 이번 공격이 국내 기업을 겨냥한 사이버 첩보 활동이라고 평가했다.