저자: Nancy, PANews

세계는 지금 비대칭 전쟁의 시대로 접어들고 있다.

미국-이란의 물리적 전장에서 이란은 저비용 드론, 미사일, 해상 봉쇄 등의 수단으로 소모전을 벌이며 상대적으로 제한된 비용으로 미국의 군사 자원을 묶어두고 세계 경제에 압박을 가하고 있다.

암호화폐 세계에서는 AI가 사이버 공격의 기술적 진입장벽을 낮추고 공격자의 실행 효율과 파괴력을 증폭시키고 있다. 공격자는 제한된 자원만 투입하고도 대형 기업과 복잡한 시스템에 막대한 손실을 입힐 수 있다.

118억 달러, 하나의 국가급 해커 군단

북한 해커의 공격이 잇따르면서 암호화폐 시장은 불안에 휩싸여 있다. 어떤 이는 보안 방어선 강화에 분주하고, 어떤 이는 다른 길을 찾았다. 한 개발자가 최근 다소 독특한 검증 메커니즘을 설계해 정신적인 차원에서 북한 사용자의 웹사이트 접근을 막으려 했다. 장난기 어린 이 보안 실험은 뜻밖에도 실제 사이버 공격을 불러들였다.

보안 사건에서 자주 등장하는 키워드부터 암호화폐 커뮤니티의 밈 소재까지, 북한 해커는 업계가 외면할 수 없는 화두가 되어 가고 있다. 그리고 그 농담 뒤에는 사이버 보안 리스크에 대한 시장의 우려가 갈수록 깊어지고 있다.

Chainalysis 데이터에 따르면 2026년 10월 29일 기준 북한과 연관된 것으로 의심되는 해커 공격이 초래한 손실은 올해 보고된 암호화폐 해킹 공격 손실의 약 89%를 차지했으며, 2021년 이 비율은 15%였다. 단일 공격당 손실을 보면 북한 관련 의심 공격의 평균 손실은 2021년 5,065만 달러에서 2026년 약 1억 8,500만 달러로 늘어 2021년의 약 3.7배에 달했다.

국제 제재를 장기간 받아온 국가 중 하나인 북한은 정상적인 국제 무역과 금융 활동으로 외화와 자원을 확보하기 어렵다. 이에 사이버 공격은 점차 자금을 확보하고 금융 제한을 우회하는 중요한 수단이 되고 있다.

북한의 해커 전력은 기술 고수들이 각자 싸우는 집단이 아니라, 오랜 기간 구축된 고도로 조직화된 국가급 사이버 작전 체계다. 인재 선발과 엘리트 교육에서 군사화 훈련, 해외 잠복과 실전에 이르기까지 북한은 상대적으로 완결된 인재 양성 및 행동 메커니즘을 갖추고 있다.

이 메커니즘은 수학올림피아드 선수의 피라미드식 선발과 매우 유사하다. 전국에서 뛰어난 논리적 사고력과 수학적 재능을 지닌 소수 청소년을 발굴하는 동시에 정치적 배경과 충성도를 심사한다. 선발을 통과한 인재는 집중적인 교육 자원을 받아 장기적이고 체계적인 컴퓨터 과학, 수학, 프로그래밍 훈련을 받는다.

국내 훈련을 마친 뒤 일부 인원은 학생, IT 종사자, 원격 기술 인력 등의 신분으로 해외에 파견되어 실제 환경에서 기술 경험을 쌓는 동시에 목표 국가의 언어, 문화, 업무 습관을 익히며 이후 작전을 준비한다.

이러한 기술 인재를 유치하고 붙잡기 위해 북한은 일부 병역 의무 면제, 수도 거주 자격, 주택, 높은 소득, 더 나은 교육·의료 자원 등 특별 대우를 제공한다. 자원이 제한된 국가로서 이러한 인센티브는 상당한 매력을 지닌다. 희소 기술을 보유한 해커는 이로써 특별한 사회적 지위를 얻어 북한 내 신흥 특권 집단으로 자리 잡고 있다.

인재 양성은 첫걸음일 뿐, 고도로 전문화된 조직 분업이야말로 북한 '키보드 전사'의 진정한 필살기다. 정찰 인력은 글로벌 네트워크 정보를 수집하고 시스템 취약점을 찾아 공격 작전의 목표를 선별한다. 작전 인력은 신분 위장, 사회공학, 악성코드로 침투해 자금과 민감 정보를 탈취한다. 또한 자금 이전, 자금 세탁, 자산 현금화를 전담하는 인력이 사이버 공격 소득을 가용 자금으로 전환한다.

목표 선별, 기술적 침투에서 자금 이전까지, 겉보기에는 단순한 암호화폐 자산 절도 사건 뒤에는 완전한 국경 간 작전 사슬이 있을 수 있다. Lazarus Group, APT38, Kimsuky 등은 외부 보안 기관이 공격 목표, 기술 수단, 행동 특징에 따라 식별한 서로 다른 북한 연계 해커 조직이다.

애널리스트 Darkfost가 최근 공개한 바에 따르면, 바이낸스 대상 공격 사건이 발생하면서 Lazarus 조직이 탈취한 자금 총액은 118억 7천만 달러에 달했다. 한국은행 2025년 데이터에 따르면 이 수치는 북한 GDP의 45%, 국민총소득(GNI)의 35%에 해당한다. 이 추정이 성립한다면 사이버 공격 소득은 더 이상 추가적인 불법 수입이 아니라 북한 경제 체계에서 상당한 규모의 자금원이 될 수 있다.

북한에게 사이버 공격은 전략 무기이자 금융 봉쇄를 우회해 경제적 자원을 확보하는 또 다른 통로다. 전통적 금융 체계가 닿기 어려운 국가가 사이버 공간을 활용해 새로운 자원 확보 방식을 찾고 있다.

가장 큰 보안 취약점은 옆자리의 '동료'일 수 있다

공격자가 더 이상 정면으로 방화벽을 돌파하려 하지 않고 조직 내부에서 진입점을 찾는다면, 공격 비용은 대개 더 낮고 은밀성은 더 강하다. 보안 장비와 네트워크 경계에 의존해 구축된 전통적 방어 체계는 새로운 도전에 직면하고 있다.

북한 해커는 이러한 비대칭 공격 방식을 극한까지 활용하고 있다. 정교하게 꾸민 이력서, 위조 여권과 신분 정보로 IT 종사자나 구직자를 사칭하며 기업의 개발자, 운영·유지보수 인력 등 핵심 직원에게 먼저 접근한다.

상대의 경계심을 더 낮추기 위해 공격자는 실제 화상 면접에도 참여하고, 생활 사진과 일상 게시물이 담긴 가짜 소셜 미디어 계정을 제공하며 최대한 진짜 같은 구직자 이미지를 만들어 낸다. 채용 절차를 통과해 팀에 들어가면 합법적 직원 신분을 이용해 장기간 잠복하며 내부 시스템, 코드 저장소, 민감한 권한에 점차 접근해 추가 침투 기회를 찾는다.

이더리움 재단이 지원한 프로젝트 Ketman은 6개월 동안 Web3 조직에 잠복한 북한 IT 인력 100명을 식별했다. MetaMask 보안 연구원 Taylor Monahan도 앞서 최소 40개의 DeFi 프로토콜이 발전 과정에서 북한 IT 인력을 고용한 적이 있으며 그 기간이 7년에 이른다고 밝혔다. 이들은 위조 여권, 비자, 정교하게 작성된 이력서로 Web3 팀에 들어왔다. 더욱 혼란스러운 점은 이들의 블록체인 개발 경험 일부가 실제였다는 것이다.

바이낸스가 최근 공개한 바에 따르면, 올해 들어 이 플랫폼은 북한과 연관된 것으로 의심되는 사이버 공격 57건을 차단했다. 공격 수법은 가짜 구직 면접을 통한 침투, 자주 쓰이는 개발자 도구로 위장한 악성코드 이용, 소프트웨어 패키지와 브라우저 확장 프로그램 변조, 화상회의 앱을 사칭해 직원이 악성 프로그램을 실행하도록 유도하는 방식 등이며, 사회공학 공격으로 자격 증명을 탈취하고 원격 제어 트로이 목마를 심었다.

이번 바이낸스의 60억 달러 이상 탈취 사건에서 공식 최초 조사 정보에 따르면, 공격자는 허위 고액 연봉 채용 제안으로 바이낸스 지갑 인프라 팀의 소프트웨어 엔지니어에게 접근했다. 여러 차례 화상 면접을 거친 뒤 공격자는 기술 테스트 프로젝트로 위장한 악성 프로그램을 업무용 컴퓨터에서 실행하도록 유도해 결국 직원 기기를 장악하고 나아가 지갑 인프라 보안을 위협했다. SlowMist 창립자 余弦은 이런 사건이 고도 지속적 위협(APT)에 속하며 인간 심리 이용, 정보 정찰, 악성 코드 탐지 우회, 신뢰 체인 악용, 표적 측면 오염 공격, 클라우드 환경 침투, 리스크 통제 우회, 0day 취약점 등 여러 단계를 포함한다고 지적했다.

유사한 수법은 이미 선례가 있다. 2022년 Axie Infinity의 Ronin Network가 공격을 받았을 때 북한 연계 해커 조직 Lazarus Group은 LinkedIn을 통해 고액 연봉 직책으로 Sky Mavis의 한 선임 엔지니어에게 접근했다. 여러 차례 면접 후 공격자는 트로이 목마가 포함된 가짜 채용 제안서 파일을 보냈고, 결국 검증 노드 관련 시스템을 장악해 약 6억 2,500만 달러 상당의 자산을 탈취했다.

이것이 바로 암호화폐 업계가 마주한 비대칭 보안 딜레마다. 과거 보안 방어는 견고한 기술 장벽 구축에 더 의존했지만, 사회공학 공격이 계속 진화하면서 공격자는 반드시 더 앞선 기술을 갖추거나 더 많은 자원을 보유할 필요 없이 취약한 고리 하나만 찾으면 된다.

기술적 취약점보다 진짜 방어하기 어려운 것은 이미 신뢰를 얻은 사람들일 수 있다.

AI로 업그레이드된 공방전, 자원 쟁탈전은 이미 시작됐다

사회공학 공격이 해커의 조직 방어선 돌파 비용을 낮췄다면, AI의 지속적 반복 발전은 사이버 공격의 규모와 효율을 한층 더 증폭시킨다.

마이크로소프트 위협 인텔리전스 팀의 최신 보고서에 따르면, 추적 중인 8개 북한 주요 해커 조직 가운데 3개가 이미 AI 도구를 일상 공격 절차에 깊이 통합해 마이크로소프트 사이버 위협 AI 적용 성숙도 모델의 최고 등급에 도달했다.

사회공학과 신분 위조 측면에서 북한 해커 조직은 AI로 피싱, 채용, 투자 미끼 콘텐츠를 대량 생성하고, 번역과 어조 조정으로 외국인을 사칭하며, 심지어 가짜 이력서, 면접 답변, 프로필 사진, 음성·영상까지 생성한다. 그중 한 조직은 2026년 8월부터 9월 사이 한국 사용자를 겨냥한 맞춤형 피싱 PDF 100여 건을 생성했다. 가짜 신분으로 해외 기업에 고용된 북한 원격 IT 인력도 AI를 활용해 동시에 여러 신분을 유지하기 시작했다.

한국 보안 기업 Genians가 공개한 바에 따르면, 북한 해커 조직 Kimsuky는 올해 8월 이미 로컬 대규모 언어 모델(LLM)과 RAG 환경을 구축했고 AI 코드 편집기 Cursor를 사용한 기록을 다수 남겼으며, 관련 도구가 차단되면 신속히 다른 도구로 전환해 활동을 이어갔다.

마이크로소프트는 이들 조직이 아직 완전 자율화된 공격을 달성하지는 못했고, AI가 공격 성공률과 비용에 미치는 실제 영향도 여전히 불분명하다고 본다. 그러나 목표 정찰, 사회공학에서 신분 위조와 악성코드 개발에 이르기까지 AI는 이미 공격 절차의 여러 단계에 들어와 있다. AI가 평범한 공격자를 곧바로 최정상 해커로 만들어 주지는 못할지라도, 복잡한 공격을 완수하는 데 필요한 시간과 인력을 압축할 수는 있다.

바이낸스 해킹 사건에서도 AI 도구는 공격의 한 축이었다. 조사 정보에 따르면 공격자는 공급망 공격을 통해 엔지니어에게 변조된 AI 프로그래밍 도구를 제공했다. 엔지니어가 이상을 발견하고 도구를 교체한 뒤에도 그의 직무 정보와 지갑 인프라 팀 다른 구성원의 정보는 이미 노출돼 있었다. 이후 공격자는 한 엔지니어의 컴퓨터를 장악한 뒤 바이낸스 내부 AI 도구를 이용해 다른 직원의 기기까지 추가로 침해해 최종적으로 서명 권한을 획득했다.

AI 역량이 계속 강화되면서 사이버 공방 경쟁도 전통적인 기술·인재 경쟁에서 데이터, 모델, 연산 자원 확보 경쟁으로 확장되고 있으며, 이는 사이버 공방의 비대칭성을 더욱 심화시키고 있다.

최근 보안 연구자 Jun Song은 한 익명의 블랙햇 조직이 그에게 취약점 익스플로잇 데이터를 이용해 오픈 소스 가중치 모델을 강화학습 후학습시키는 작업을 의뢰하며 매우 높은 보수를 지불하겠다고 제안했다고 공유했다. Jun Song은 상대가 보유한 공격 데이터 규모가 자신이 이전에 본 적 없는 수준이며, 누군가 그것이 법 집행 기관의 잠입 데이터셋이라고 말해도 믿을 것이라고 밝혔다. 이와 대조적으로 그가 참여한 화이트햇 프로젝트는 GLM-5.3을 사용했는데, 사용한 데이터량은 상대가 주장한 규모의 1%도 되지 않았지만 모델 성능은 이미 프런티어 모델을 크게 앞섰다.

그리고 AI 공방 경쟁에서 고품질·대규모의 취약점 익스플로잇 데이터는 사이버 보안 모델 훈련의 중요한 자원이 될 수 있다. 더 많은 데이터, 더 강력한 모델, 더 충분한 연산 자원을 확보한 쪽이 미래의 공방 경쟁에서 우위를 점할 수 있다.

방대한 취약점 익스플로잇 데이터가 효과적으로 모델 역량으로 전환될 수 있다면 공격자는 취약점 발굴과 공격 실행 효율을 더욱 높일 수 있다. 이에 대응해 방어자가 충분한 데이터, 모델, 연산 자원을 확보할 수 있는지도 새로운 유형의 위협을 식별하고 대응하는 능력에 영향을 미칠 것이다.

Coinbase는 지난 6월 Anthropic의 프런티어 모델 Claude Mythos 사용 권한을 획득해 암호화폐 지갑과 자산 보안 방어선 강화에 활용한다고 공개한 바 있다. 반면 몇 달이 지난 뒤에도 바이낸스는 아직 유사한 권한을 얻지 못했다고 밝혔다. 프런티어 모델 접근 권한의 차이는 취약점 발견, 자동화된 보안 감사, 리스크 방어 등에서 기업 간 역량 격차를 더 벌릴 수 있다.

이란이 저비용 무기로 미국의 군사력을 견제하는 것에서부터 북한 해커가 신분 위장, 사회공학, AI 도구로 공격을 가속하는 것에 이르기까지, 전장은 다르지만 모두 하나의 현실을 가리킨다. 자원 우위가 더 이상 절대적 안전을 의미하지 않으며, 진짜 위험한 것은 구시대의 사고로 새 시대의 위협에 대응하는 것이다.

SpaceX 프리마켓 8% 하락, 테슬라 프리마켓 5.4% 하락

인기 기사