글: 小饼, 深潮TechFlow
2026년 10월 30일 새벽, 바이낸스 9개 체인의 핫월렛이 동시에 뚫렸고 온체인에서 62억 6000만 달러 넘게 빠져나갔다.
10월 31일, 미국 연방수사국(FBI)은 북한 해커 조직이 바이낸스 해킹 사건에 연루되었다고 발표했으며, 트럼프는 북한의 소행으로 확인될 경우 미국이 북한과 교섭하겠다고 밝혔다.
한 국가가 암호화폐 업계 전체를 현금인출기로 삼은 것이다.
深潮 TechFlow 집계에 따르면 2017년부터 2026년 사이 Lazarus 및 북한과 연계된 해커들이 연루된 암호화폐 절도 사건은 총 37건이며, 추정 규모는 합계 약 118억 1700만 달러다.
2017년 한국 거래소 Bithumb을 공격해 700만 달러를 훔친 것에서 시작해, 바이낸스에서 하룻밤 사이 수십억 달러가 증발하기까지—사이버 공간이 폐쇄적이라고 여겨지는 북한이 어떻게 10년도 안 되는 시간에 사이버 전장의 주변부 플레이어에서 암호화폐 세계의 최대 포식자로 변신했을까?
PDF 한 장, 6억 달러
2022년 초, 암호화폐 게임 Axie Infinity의 모회사 Sky Mavis의 한 시니어 엔지니어가 LinkedIn 메시지를 받았다. 상대는 자신을 모 회사의 채용 담당자라고 소개하며 매우 매력적인 보상 패키지를 제시했다.
이 엔지니어는 여러 차례 면접을 거쳤고 모든 것이 정상적으로 보였다. 결국 그는 PDF 형식의 채용 제안서를 받았고, 파일을 연 순간 스파이웨어가 조용히 Sky Mavis 내부 시스템에 침투했다.
Axie Infinity의 Ronin Bridge는 9개 검증자 노드의 권위증명(PoA) 방식을 채택해 출금 승인에는 5개 노드의 서명이 필요했다. 공격자는 감염된 엔지니어의 컴퓨터를 통해 Sky Mavis의 IT 인프라에 침투해 4개 검증자의 키를 확보했다. 다섯 번째 서명은 잊힌 구멍에서 나왔다. 2021년 11월 Sky Mavis는 트랜잭션 부하가 많은 시기에 서명을 도와달라고 Axie DAO에 요청했고, 이 임시 권한은 12월에 이미 중단되었지만 접근 권한은 한 번도 회수되지 않았다.
2022년 3월, 6억 2000만 달러가 Ronin Bridge에서 사라졌다. 한 달 뒤 FBI는 이 공격을 북한 Lazarus Group의 소행으로 지목했다.
가짜 오퍼 하나, 잊힌 권한 하나로 6억 달러가 털렸다.
Ronin의 시나리오는 이후 계속 반복되었지만, 공격자들의 수법은 진화했다.
2022년 6월 Harmony Horizon Bridge가 뚫려 1억 달러가 빠져나갔다. 공격자는 블록체인 개발자로 위장해 내부자 신분으로 시스템 권한을 획득했다. 2023년에는 Atomic Wallet, Alphapo, CoinsPaid, Stake.com이 잇달아 무너지며 누적 손실이 2억 3800만 달러를 넘었다. 2024년 7월에는 인도 거래소 WazirX가 2억 3500만 달러를 털렸다.
매 공격의 수법은 달랐지만 그 배후의 논리는 놀랍도록 일관된다: 한 사람을 찾아내고, 그 사람을 속이고, 그 사람을 통해 문 하나를 연다.
2025년 2월, 그들은 이 방법론을 새로운 차원으로 끌어올렸다.
Bybit의 콜드월렛에서 15억 달러가 빠져나갔다. Paradigm 보안 연구원 samczsun의 사후 분석에 따르면 공격자는 Bybit를 직접 공격한 것이 아니라, 멀티시그 월렛 서비스 제공업체인 Safe{Wallet}의 인프라에 침투해 악성 코드를 심고 Bybit의 콜드월렛 서명 절차를 정밀하게 겨냥했다. 이는 Bybit 자체의 보안 조치가 완벽하더라도 업스트림 공급망이 뚫리면 모든 방어선이 무력해진다는 것을 의미한다.
8개월 후, 바이낸스가 최신 사냥감이 되었다.
사후 바이낸스가 공개한 조사 결과에 따르면 한 운영 엔지니어의 노트북이 침해되었고, 공격자는 이를 통해 내부 시스템에 침투해 EIP-7702를 이용, 핫월렛이 위임 승인에 서명하도록 만들었다. 神鱼는 온체인 사후 분석에서 공격 컨트랙트의 로직을 이렇게 풀어냈다: "공격자의 프로그램은 오직 한 명의 주인만 인정하고, 오직 한 가지 일만 한다: 돈을 옮기는 것."
Ronin에서 Bybit, 다시 바이낸스로 이어지며 공격 규모는 6억에서 15억, 다시 62억으로 뛰었다. 매번 사회공학의 승리였고, 매번 한 사람에서 시작되었다.
당신의 동료가 북한 사람일 수 있다
Lazarus의 대외 공격이 "문을 부수고 들어오는 것"이라면, 북한 IT 노동자의 침투는 "정문으로 당당히 걸어 들어오는 것"이다.
2024년 10월, CoinDesk는 업계를 뒤흔든 조사 보고서를 발표했다. 기자는 블록체인 결제 기록과 내부 단서를 추적해 24개가 넘는 암호화폐 기업이 자신도 모르는 사이에 북한 IT 노동자를 고용했으며, 그중 최소 12개 기업이 직원 명단에서 북한 국적으로 의심되는 직원을 확인했다고 밝혔다. 지목된 프로젝트로는 Cosmos Hub, Injective, ZeroLend, Fantom, Sushi, Yearn Finance, Truflation 등이 있다.
MetaMask 보안 연구원 Taylor Monahan은 최소 40개의 DeFi 프로토콜이 발전 과정에서 북한 IT 노동자를 고용한 적이 있으며, 그 기간이 7년에 이른다고 밝혔다.
이들은 위조 여권과 비자, 정교하게 꾸민 이력서로 심사를 통과했고 Telegram, Discord, Indeed에서 지원서를 냈다. 채용 절차가 느슨하고 암호화폐로 급여를 주는 스타트업 팀을 노렸으며, 원격 근무 중에는 카메라를 거의 켜지 않았다. 유엔 추산에 따르면 북한 IT 노동자는 매년 최대 6억 달러의 수익을 정권에 바치며, 개인이 챙기는 것은 10~30%에 불과하다.
2024년 3월 Munchables 사건은 교과서적인 사례를 보여주었다.
Blast 체인 기반 NFT 게임인 이 프로젝트는 "Werewolves0943"이라는 가명의 개발자를 고용했다. 온체인 조사관 ZachXBT의 추적 결과 이 개발자는 북한 스파이였고, 개발 권한을 이용해 프로젝트에서 17,400 ETH(약 6200만 달러 상당)를 빼냈다.
이야기의 반전은 Blast 창업자 Pacman과 커뮤니티의 다각적인 압박 끝에 이 개발자가 8시간 만에 모든 프라이빗 키를 넘기고 탈취 자금을 전액 반환했다는 점이다. 그가 왜 돌려줬는지는 아무도 모른다. 한 가지 추측은 신원이 노출된 뒤에도 장물을 계속 쥐고 있으면 더 큰 문제만 불러올 것이라는 것이다.
하지만 Sushi의 경험은 그렇게 운이 좋지 않았다.
2021년 9월 Sushi/MISO 플랫폼에서 약 300만 달러가 탈취되었다. 사후 조사에서 "Anthony Keller"와 "Sava Grujic"이라는 가명의 전 계약직 직원 두 명이 해고된 뒤에도 코드베이스 접근 권한을 그대로 보유하고 있었던 것으로 드러났다. Sushi는 이후 또 다른 북한 국적 의심 계약직 "Gary Lee"를 고용하기도 했다. 2023년 Truflation 창업자 Stefan Rust는 자신의 팀에 북한 노동자로 의심되는 인물이 5명 있으며 이는 전체 직원의 3분의 1을 넘는다는 사실을 발견했다. 그 뒤 이 회사는 약 500만 달러 규모의 프라이빗 키 유출 공격을 겪었다.
CrowdStrike 데이터에 따르면 북한 IT 노동자는 12개월 동안 320개가 넘는 기업에 침투했으며, 이는 전년 대비 약 220% 증가한 수치다.
이들은 허위 신원을 사용하고, 미국 현지에서 사람을 고용해 여러 대의 컴퓨터를 세팅하고 집중 원격 근무를 하게 함으로써 지리적 위치를 위조하며, 생성형 AI로 화상 면접에 대응한다.
보안 기업 KnowBe4는 자신들도 당했다는 사실을 발견했다. 정상적인 채용 절차를 거쳐 입사한 한 "직원"이 출근하자마자 곧바로 악성코드 배포를 시작한 것이다.
김정은에 대한 나쁜 말 한마디 못 한다
북한 해커는 도대체 어떤 사람들일까?
2026년 8월, 한 한국계 미국인 기자가 MetaMask 보안 연구원 Taylor Monahan, SEAL Alliance의 Nick Bax, Ump Labs의 협조 아래 채용 담당자 "Sophie Wang"으로 위장해 북한 국가급 해커로 의심되는 인물과 화상 면접을 진행했다.
이 구직자는 자신을 "Justin Lim"이라 칭하며 미국 캘리포니아 롱비치에 산다고 주장했지만, 억양은 한국식으로 판단되었다. 온체인 단서와 신원 데이터에 따르면 그의 실제 거점은 러시아 블라디보스토크일 가능성이 매우 높으며, 2022년 MetaPlay에서 약 270만 달러를 탈취한 전력이 있었다.
면접에서 그는 상당한 기술력을 보여주었다. Velas 네트워크를 포크해 The Graph가 호환되어 동작하도록 만든 방법을 설명했고, 익숙하지 않은 OpenSea Seaport 프로토콜과 Uniswap v4를 만나자 그 자리에서 문서를 불러와 분석했다.
면접관이 북한이 Bybit에서 15억 달러를 훔쳤다고 언급했을 때, 그는 면접 내내 유일하게 한 번 미소를 지었다.
마지막 질문이 모든 것을 끝냈다. 면접관은 그에게 김정은에 대해 부정적인 평가를 한마디 해달라고 요구했다. 침묵이 흐른 뒤 그는 Zoom에서 나갔다. 이어 그는 "네트워크가 불안정하다"는 이유로 Discord나 Telegram으로 대화를 이어가자고 요청했다. 다시 추궁하자 그는 "그 사람에 대해 잘 모른다"고 한마디만 남겼다.
북한에서는 최고 지도자를 공개적으로 비판하면 3대가 정치범 수용소로 끌려갈 수 있다. 이 테스트는 이후 보안 커뮤니티에서 채용 심사 수단으로 널리 권고되었다: 후보자에게 김정은에 대한 부정적 평가를 요구하면, 거의 모든 북한 개발자가 이를 회피한다.
비밀 전쟁
북한의 사이버 공격 능력은 하루아침에 만들어진 것이 아니다.
탈북자 장세율(Jang Se-yul)이 Business Insider에 밝힌 바에 따르면 북한의 사이버전 프로그램은 1980년대로 거슬러 올라가며 내부 코드명은 "비밀 전쟁"이다. 김씨 정권은 재래식 군사력이 미·한 연합군에 크게 뒤처지는 상황에서 사이버 작전이 비용이 가장 낮고 수익이 가장 높은 비대칭 무기라는 점을 일찍부터 인식했다.
북한 해커 한 명을 양성하는 데는 약 9년이 걸린다. 출발점은 김책공업종합대학(옛 자동화대학)으로, 매년 약 5000명의 지원자 중 100명을 선발한다. 선발 기준에서 가장 먼저 보는 것은 정치적 출신이다. 북한의 "성분" 체계는 시민을 3개 주요 계층과 56개 하위 범주로 나누어 호적 기록에 남긴다. 훈련생들은 매일 90분짜리 수업 6개를 들으며 프로그래밍 언어와 운영체제를 배우고 Windows 아키텍처를 깊이 파고들며, 기성 도구에 의존하지 않고 악성코드를 직접 작성하도록 요구받는다.
졸업 후 해커들은 국가를 목표로 하는 작전 팀에 배치되어 해외에서 합법 기업의 직원 신분으로 약 2년간 잠복하며 현지 언어와 문화를 익힌다. 대우는 매우 파격적이다. 월 최대 2000달러로 북한 대사 급여의 두 배다. 보상에는 평양의 185제곱미터가 넘는 아파트와 가족 전체의 수도 이주 자격도 포함된다.
"해커를 훈련하는 비용은 극히 낮습니다,"라고 장세율은 말했다. "이것이 가난한 국가도 이 분야에 막대한 투자를 할 수 있는 이유입니다."
그의 관점에서 사이버 위협은 핵 위협보다 더 직접적이고 더 위험하다: "이것은 총을 쏘지 않는 전쟁입니다."
유령 제국
미국 재무부는 2019년 Lazarus Group, BlueNoroff, Andariel 세 실체를 제재하고 이들이 모두 북한 정찰총국(RGB)의 통제를 받는다고 지적했다. 그러나 "Lazarus"라는 이름은 사실 외부가 거대한 국가급 사이버 공격 체계 전체를 통칭하는 말일 뿐이다.
Paradigm 보안 연구원 samczsun은 Bybit 사건 후 발표한 분석에서 이 복잡하게 얽힌 조직망을 정리했다:
TraderTraitor: 대형 사냥꾼. 거래소, 커스터디 업체, 월렛 시스템을 전문으로 하며 스피어피싱과 가짜 일자리에 능하다. Ronin, WazirX, Bybit 모두 이 조직의 작품이다. 이들은 보통 제로데이 취약점을 쓰지 않고 "사람"을 조작해 시스템을 열어젖힌다.
AppleJeus(Citrine Sleet): 공급망 암살자. 암호화폐 시나리오를 겨냥한 트로이목마 소프트웨어를 개발하며, 2024년 Radiant Capital 침투가 대표작이다. 이들은 Chromium 제로데이 취약점 CVE-2024-7971을 이용해 FudModule Rootkit을 배포하기도 했다.
BlueNoroff(Sapphire Sleet): 금융 사냥꾼. 초기에는 은행과 SWIFT 시스템을 공격했고 2016년 방글라데시 중앙은행에서 10억 달러를 훔칠 뻔했다(실제로 손에 넣은 것은 8100만 달러). 지금은 암호화폐와 VC 영역으로 완전히 전환했다.
Famous Chollima: 잠복자. 허위 신원으로 테크 및 암호화폐 기업에 입사해 내부 침투 능력을 형성한다. CrowdStrike가 추적한 320개 침투 기업은 주로 이 조직의 작품이다.
DangerousPassword: 저비용 광범위 살포. 피싱 메일, 위조 화상통화 앱 등 수법은 단순하지만 양으로 승부한다.
이 지부들 사이에는 구성원, 도구, 인프라가 대량으로 겹치며, 보안 기관마다 붙이는 이름도 서로 다르다. Diamond Sleet, UNC4899, Contagious Interview, Wagemole.
같은 상대, 열몇 개의 이름, 서로 다른 가면.
비대칭 전쟁
바이낸스 사건이 터진 뒤 머스크는 X에 글을 올렸다: "Everyday is Zeroday."
이것은 수사가 아니다. 마이크로소프트 위협 인텔리전스 부서가 발표한 특별 연구 보고서에 따르면 북한에서 활동 중인 8개 주요 해커 조직 가운데 3개가 이미 AI 도구를 일상 공격 흐름에 깊이 융합해, 마이크로소프트가 정의한 사이버 위협 AI 활용 성숙도 모델에서 최고 등급에 도달했다.
AI의 개입은 더 이상 주변부 실험에 머물지 않고 사전 정찰, 사회공학 피싱, 신원 위장, 악성코드 작성, 나아가 소프트웨어 공급망 오염까지 전 과정을 아우른다. 다시 말해, 예전에는 몇 주씩 준비해야 했던 피싱 메일과 위조 이력서, 악성 코드를 이제는 대량으로 생성하고 자동으로 반복 개선할 수 있다.
공격자는 취약점 하나만 찾으면 되지만, 방어자는 모든 취약점을 지켜야 한다. 이것이 비대칭 전쟁이다.
Bithumb의 700만에서 Ronin의 6억 2000만으로, Bybit의 15억에서 바이낸스의 62억으로, 공격 규모는 기하급수적으로 커졌다. 이 곡선의 반대편 끝에는 1인당 GDP가 2000달러가 채 안 되는 국가, 17세부터 9년간의 훈련을 받기 시작한 젊은이들, 그리고 "비밀 전쟁"을 위해 40년간 복무해 온 국가 기계가 있다.
암호화폐 업계는 한 가지 사실을 직시해야 한다: 맞서 있는 상대는 핵무장 국가의 사이버전 역량 전체이며, 그 상대는 갈수록 강해지고 있다.
