북한 위협 행위자 3곳, AI 활용 최고 단계로 분류

북한 관련 주요 위협 행위자 8곳 가운데 3곳이 인공지능(AI)을 일상 운영 절차에 통합한 최고 단계로 분류됐다.

마이크로소프트(Microsoft, $MSFT)는 29일 공개한 위협정보 분석에서 Jade Sleet, Coral Sleet, Jasper Sleet를 AI 활용 ‘운영화’ 단계로 평가했다. 표적 조사와 미끼 제작, 도구 개발 등 반복되는 공격 절차에 AI를 정기적으로 쓴다는 의미다.

평가 대상 나머지 5곳 중 4곳은 ‘가속’, 1곳은 ‘확대’ 단계였다. 이 등급은 행위자 단위의 AI 활용 수준을 나타내며, 개별 공격마다 AI가 쓰였다는 뜻은 아니다.

마이크로소프트는 Onyx Sleet에 귀속한 표적 맞춤형 PDF 미끼 파일 100개 이상을 2026년 8~9월에 확인했다. 파일에는 국내 이용자를 겨냥한 내용이 담겼으며 피싱에 쓰인 것으로 분류됐다.

파일 메타데이터에는 수십 개가 수분 사이에 연달아 생성된 흔적이 있었다. 마이크로소프트는 파일 메타데이터를 근거로 해당 파일들이 AI 플랫폼의 결과물일 가능성이 높다고 평가했다.

Onyx Sleet는 ‘운영화’가 아니라 ‘가속’ 단계에 속한다. 조직의 AI 활용 등급과 특정 공격에서 AI가 실제로 한 역할은 구분해야 한다.

보고서는 AI가 가상자산 지갑과 거래소, 탈중앙화금융(DeFi) 구조를 조사하고 구직·투자 미끼를 표적에 맞춰 만드는 데 쓰였다고 설명했다. 위장 인물 계정을 유지하는 데도 활용된 것으로 평가했다.

AI 활용 사례에는 코드 생성·수정과 오류 점검도 포함됐다. 표적은 가상자산·금융업체뿐 아니라 IT 기업과 소프트웨어 공급망으로 넓어졌다.

채용을 빌미로 접근하는 방식은 앞서 보도한 북한의 원격채용 침투 사례에서도 다뤘다. 마이크로소프트는 공격의 의도와 목표는 여전히 사람이 정한다고 평가했다.

따라서 ‘운영화’는 모든 공격을 AI가 수행하거나 공격 과정이 완전히 자동화됐다는 뜻이 아니다. 보고서는 AI가 기존 공격 업무를 보조하고 확장하는 수준이라고 설명했다.

바이낸스 지갑에서 자산이 빠져나간 사건과 관련해 TRM랩스(TRM Labs)는 분석에서 10월 30일 오전 5시 5분(한국시간)부터 자산 이동이 시작됐다고 집계했다.

10개 블록체인으로 이동한 자산은 약 63억6000만달러(약 8조5200억원)였으며, 대부분 약 20분 안에 빠져나갔다. TRM랩스는 온체인·오프체인 자료를 바탕으로 TraderTraitor를 높은 확신으로 지목했다.

다자제재모니터링팀(MSMT)은 보고서에서 TraderTraitor와 Jade Sleet를 같은 행위자의 다른 이름으로 기록했다. 이에 따라 TRM랩스가 지목한 이름은 마이크로소프트가 ‘운영화’ 단계로 분류한 행위자 이름과 연결된다.

엘립틱(Elliptic)은 10월 30일 기준 정부나 법 집행기관의 공식 귀속 발표가 없었다고 밝혔다. 바이낸스도 가해자 신원을 조사 중이라고 밝혔다.

바이낸스는 사고 영향 규모를 약 63억달러(약 8조4300억원), 온체인 동결 자산을 약 30억달러(약 4조200억원)로 제시했다. 동결액은 회수·반환을 마친 금액과 다르며, 바이낸스는 이용자 손실을 보호기금과 회사 자금으로 부담하고 조사 뒤 기술 분석을 공개하겠다고 밝혔다.