북한 암호화폐 세탁이 믹서 넘어 범죄망으로 옮겨갔다

북한이 탈취한 가상자산을 세탁하는 방식이 자체 믹서 중심에서 범죄 네트워크와 장외거래, 머니 뮬을 활용하는 구조로 옮겨가고 있다. 서로 다른 범죄 수익을 섞어 자금의 출처를 흐리는 현금화 단계가 한층 복잡해졌다는 분석이다.

영국 왕립합동군사연구소(Royal United Services Institute·RUSI)는 북한의 탈취 자금이 일반 사기 자금과 뒤섞이면서 거래소가 확산금융과 일반 자금세탁을 구분하기 어려워졌다고 분석했다. 디크립트(Decrypt)는 이 연구를 토대로 북한이 2024년 1월부터 2025년 9월까지 최소 28억달러(약 3조9700억원)의 가상자산을 탈취했다고 전했다.

다국적제재모니터링팀(Multilateral Sanctions Monitoring Team·MSMT)은 2차 보고서에서 같은 기간 탈취 규모를 약 28억4000만달러(약 4조240억원)로 집계했다. 상당 부분은 중국과 러시아 등을 거쳐 세탁된 것으로 파악됐다.

이는 본지가 앞서 보도한 북한 정권의 21개월간 최소 28억달러 탈취 의혹과 같은 기간을 다룬 수치다. 이번 분석은 탈취액 자체보다 범죄 조직을 이용한 세탁과 현금화 구조에 초점을 맞췄다.

변화의 핵심은 ‘탈취’보다 ‘현금화’에 있다. 과거에는 믹서와 크로스체인 브리지, 직접 장외거래가 탈취 자금의 이동 경로로 주로 거론됐다.

믹서는 여러 이용자의 가상자산을 한데 모은 뒤 나눠 보내 거래 흐름을 알아보기 어렵게 만드는 서비스다. 브리지는 서로 다른 블록체인 사이에서 자산을 옮기는 통로로, 여러 체인과 서비스를 거치면 추적에 필요한 시간과 비용이 늘어난다.

최근에는 중국어권 자금세탁 네트워크와 사기 자금, 머니 뮬, 비공식 장외거래상이 하나의 현금화 과정에 겹쳐 등장하고 있다. 머니 뮬은 다른 사람의 불법 자금을 대신 옮기거나 현금화하는 계정 또는 인물을 뜻한다.

서로 다른 범죄 수익이 섞이면 특정 지갑을 북한과 연계된 주소로 식별하는 것만으로는 대응하기 어렵다. 거래소에 도착한 자금의 최종 송금 주소가 제재 대상과 직접 연결되지 않을 수도 있기 때문이다.

미국 법무부는 2023년 공개한 공소장에서 북한 외무성 계열 인사와 중국·홍콩 장외거래자들이 탈취한 암호화폐를 세탁해 북한에 전달한 혐의를 적시했다. 별도 사건에서는 중국 국적자 2명이 거래소 해킹에서 나온 1억달러(약 1417억원) 이상을 세탁한 혐의로 기소됐다.

체이널리시스(Chainalysis)는 2026년 보고서에서 중국어권 자금세탁 네트워크가 2025년 알려진 불법 세탁 활동의 약 20%를 차지했다고 집계했다. 이 생태계가 같은 해 처리한 자금은 161억달러(약 22조8000억원)로 제시됐다.

해당 생태계에서는 장외거래와 머니 뮬, 도박 서비스, 믹싱·스와핑 서비스가 함께 작동하는 것으로 분석됐다. 단일 서비스가 아니라 여러 중개자와 환전 경로가 연결되면서 탈취 주체와 최종 수취인을 가려내기 어려워지는 구조다.

북한 연계 자금은 실제 온체인에서도 여러 주소로 재배치되는 모습이 포착돼 왔다. 본지는 앞서 라자루스그룹 연계로 지목된 지갑에서 121.5 BTC가 미확인 지갑 두 곳으로 이동했다고 보도했다.

거래소의 대응 부담은 2025년 바이비트 해킹 이후 더 커졌다. 미국 연방수사국(FBI)은 북한이 바이비트에서 약 15억달러(약 2조1300억원)의 가상자산을 탈취했다고 밝히고 거래소와 브리지, 분석업체, 탈중앙화금융 서비스에 관련 주소 차단을 요청했다.

바이비트는 해킹 이후 회수된 자금의 10%를 보상하는 복구 프로그램을 내놨다. 탈취 자금이 여러 서비스로 흩어지기 전에 민간 추적업체와 거래소의 협력을 끌어내기 위한 조치였다.

RUSI는 믹서 단속이 개별 서비스의 이용을 제한하는 데는 효과가 있어도 북한의 전체 세탁 역량을 근본적으로 약화시키지는 못한다고 평가했다. 거래소는 관련 지갑 주소뿐 아니라 입금 패턴과 계정 개설 경로, 다른 범죄 자금과의 혼합 여부까지 함께 살펴야 하는 상황에 놓였다.