28억달러 훔친 북한, 범죄망 통해 세탁 경로 넓혔다

북한이 2024년 1월부터 2025년 9월까지 암호화폐 약 28억달러(약 3조9676억원)를 탈취한 것으로 집계됐다. 탈취 자금을 자체 세탁망에만 의존하지 않고 기존 범죄 조직과 해외 결제망을 통해 현금화하는 구조도 드러났다.

다자제재감시팀(Multilateral Sanctions Monitoring Team·MSMT)은 2025년 10월 22일 공개한 보고서에서 북한의 암호화폐 절도와 자금세탁, 해외 정보기술(IT) 노동자 활동을 분석했다. 보고서는 2024년 1월부터 2025년 9월까지 확인된 사례를 주로 다뤘다.

MSMT는 유엔 안전보장이사회 대북제재위원회 전문가패널의 임기가 2024년 4월 종료된 뒤 같은 해 10월 출범했다. 한국과 미국, 일본, 영국 등 11개국이 북한의 제재 위반과 회피 사례를 조사하고 공개하는 기구다.

보고서가 제시한 대표 사례는 2025년 2월 발생한 바이비트 해킹이다. 미국 연방수사국(FBI)은 북한 정찰총국과 연계된 해킹 활동 ‘트레이더트레이터(TraderTraitor)’가 바이비트에서 약 15억달러(약 2조1255억원)의 가상자산을 탈취했다고 밝혔다.

바이비트 사건 한 건의 피해액만 전체 집계액의 절반을 넘는다. FBI는 당시 가상자산 사업자와 블록체인 분석업체 등에 탈취 자금과 관련된 주소를 차단하고 추가 이동을 막아 달라고 요청했다.

바이비트는 이후 북한 연계 조직을 상대로 소송을 제기하고 탈취 자산 회수에 나섰다. 그러나 탈취 자금이 여러 블록체인과 서비스로 빠르게 분산되면서 상당 부분은 회수에 어려움을 겪는 것으로 전해졌다.

자금세탁 경로도 다층화됐다. 체이널리시스(Chainalysis)는 MSMT 보고서를 분석해 북한 연계 자금이 믹싱 서비스와 복수 관할권의 장외거래 브로커, 러시아·캄보디아 자금세탁 조직으로 흘러갔다고 설명했다.

중국 은행이 발급한 유니온페이 카드와 홍콩 기반 중개인도 현금화 경로로 지목됐다. 바이비트에서 탈취된 자금 일부는 홍콩 거래자에게 전달된 뒤 브리지와 믹서, 프라이버시 프로토콜을 거쳐 이동한 것으로 분석됐다.

믹서는 여러 이용자의 암호화폐를 한데 섞어 자금의 출처와 이동 경로를 흐리는 서비스다. 브리지는 서로 다른 블록체인 사이에서 자산을 옮기는 기술로, 여러 서비스를 연속해 이용하면 추적해야 할 경로가 복잡해진다.

장외거래 브로커는 공개 거래소의 주문장을 거치지 않고 매수자와 매도자를 연결한다. 통상 자금이 여러 주소와 자산으로 나뉜 뒤 장외거래와 결제 수단을 거치면 거래소 한 곳의 주소 차단만으로 전체 흐름을 끊기 어렵다.

북한의 세탁 방식은 자체 믹서 중심에서 범죄 네트워크와 장외거래를 활용하는 구조로 옮겨가고 있다. 국가 주도의 암호화폐 절도 자금이 일반 사기 수익과 섞이면 거래소가 자금의 성격을 구분하고 대응하는 부담도 커진다.

영국 왕립합동군사연구소(Royal United Services Institute·RUSI)는 2024년 3월 보고서에서 규정을 지키지 않는 믹서와 가상자산 플랫폼에 대한 제재가 개별적으로는 효과를 냈다고 평가했다. 다만 이런 조치가 북한의 전체 자금세탁 역량을 제한하는 데 미친 영향은 크지 않았다고 지적했다.

한국 가상자산 사업자도 거래소 지갑만이 아니라 브리지와 디파이 서비스, 장외거래 상대방으로 이어지는 흐름을 함께 살펴야 한다. 해킹 직후 주소 추적과 입출금 제한이 늦어질수록 자금이 여러 체인과 서비스로 분산돼 회수 절차가 복잡해질 수 있다.

해외 IT 인력 채용 과정도 같은 위험 관리 체계에 포함된다. MSMT는 북한의 해외 IT 노동자 활동이 외화 수익뿐 아니라 정보 탈취와 사이버 작전을 지원하는 수단으로 활용됐다고 밝혔다.

MSMT 참여국은 북한의 암호화폐 절도와 해외 IT 노동자 수익이 대량살상무기와 탄도미사일 프로그램에 사용된다고 밝혔다. 참여국들은 관련 유엔 안전보장이사회 결의를 이행하고 북한의 제재 위반과 회피 사례를 계속 공개하기로 했다.

검증 출처: MSMT 발표(일본 외무성), FBI 바이비트 공지, 체이널리시스 MSMT 해설, RUSI 보고서