북한 연계 해킹 누적 128억달러…2026년 탈취액 74억달러

이준한 기자 2026.11.08 19:49

TRM랩스는 북한 연계 해커가 2017년 이후 훔친 가상자산을 128억달러로 집계했다. 2026년 집계액은 74억달러로, 올해 전 세계 가상자산 해킹 피해액의 85%를 차지했다.

토포AI로 이 기사 더 깊이 읽기

악성코드 감염 노트북을 상징적으로 담은 AI 생성 이미지 / TokenPost.ai

북한 연계 해커가 2017년 이후 훔친 가상자산은 약 128억달러(약 17조3440억원)로 집계됐다. 2026년 들어 탈취한 금액은 74억달러(약 10조270억원)다.

TRM랩스(TRM Labs)는 10월 30일 분석에서 북한 연계 공격이 2026년 10월까지 전 세계 가상자산 해킹 피해액의 85%를 차지했다고 밝혔다. 올해 북한 연계 탈취액의 대부분은 바이낸스 해킹에서 나왔다고 집계했다.

미국 연방수사국(FBI)은 10월 31일 바이낸스 해킹의 배후로 북한을 지목했다. FBI는 해당 사이버 활동을 ‘트레이더트레이터(TraderTraitor)’라고 불렀다(FBI 발표).

바이낸스(Binance)는 사고로 영향을 받은 자산 규모를 약 63억4000만달러(약 8조6104억원)로 추산했다. 회사는 이용자 대신 손실을 부담하겠다고 밝혔다(바이낸스 초기 조사).

바이낸스가 공개한 조사 결과는 공격이 6월부터 여러 단계로 이어졌다고 설명했다. 당시 한 엔지니어가 AI 코딩 도구를 설치하려다 조작된 Homebrew 설치 파일을 내려받았고, 회사는 이상 징후를 탐지해 해당 장비를 교체하고 관련 자격 증명을 바꿨다.

9월에는 구직 플랫폼을 통해 바이낸스 경력이 공개된 소프트웨어 엔지니어에게 채용 제안이 왔다. 가짜 채용 담당자와 화상 면접을 한 뒤 받은 개발 과제에는 악성 코드가 들어 있었다.

바이낸스는 10월 20일 공격자가 감염된 엔지니어의 컴퓨터와 내부 AI 도구를 이용해 지갑 운영 담당자 등 다른 직원의 권한에 접근했다고 밝혔다. 공격자는 이 과정에서 컨테이너 배포 권한을 가진 직원의 토큰을 파악했다.

10월 29일에는 탈취한 자격 증명으로 다른 직원의 컴퓨터에 접속해 컨테이너를 배포하고 악성 스크립트를 실행했다. 공격자는 내부 지갑 서명 시스템에 무단 접근해 정상 출금 절차 밖에서 거래를 승인했다. 바이낸스는 침투 경로에 포함된 지갑 시스템과 내부 AI 도구를 재구축했다고 밝혔다.

◇ 1980년대부터 시작된 인력 양성

미 해군대학원의 2004년 논문은 미림아카데미(Mirim Academy)가 1984년 설립됐고, 1986년 5년제 미림칼리지(Mirim College)로 바뀌었다고 기록했다. 새 학교에는 군 복무자와 각 지역의 성적 우수 고등학생이 들어갔으며, 컴퓨터·프로그래밍·전자전 등을 배웠다(미 해군대학원 논문).

보안업체 DTEX는 금성제1중학교 학생들이 6년 동안 1660시간의 컴퓨터 교육을 받는다고 분석했다. 교육에는 Linux, C와 C++, Windows, 네트워크, 인공지능이 포함되며, 졸업생은 프로그래머나 사이버 작전 인력, 해외 IT 노동자로 진출한다고 보고서는 설명했다(DTEX 보고서).

미국 법무부는 2021년 기소 발표에서 2014년 소니픽처스 해킹, 2016년 방글라데시 중앙은행에서 8100만달러(약 1098억원)를 빼낸 사건, 2017년 워너크라이 공격을 북한 연계 해커들의 활동에 포함했다(미 법무부 발표).

가상자산 거래소와 블록체인 기반 서비스도 공격 표적이 됐다. FBI는 2022년 액시 인피니티(Axie Infinity)의 로닌 브리지에서 발생한 6억2000만달러(약 8401억원) 탈취 사건을 라자루스(Lazarus)와 APT38의 소행으로 지목했다. 2025년 바이비트(Bybit)에서 발생한 15억달러(약 2조325억원) 탈취도 FBI는 북한의 트레이더트레이터 활동으로 발표했다(로닌 브리지 수사 발표, 바이비트 수사 발표).

원격 IT 취업은 기업 내부에 접근하는 또 다른 경로다. 미국 법무부는 2025년 발표에서 북한 연계 인력이 허위·도용 신원으로 미국 기업 100곳 이상에 원격 취업했다고 밝혔다. 이들은 급여를 받았고, 일부는 기업의 민감한 정보와 가상자산에도 접근했다(미 법무부 발표).

다국적제재모니터링팀(MSMT)은 2025년 보고서에서 바이비트 탈취 자금이 같은 해 9월까지 모두 현금화됐을 가능성이 높다고 봤다. 보고서는 중국·러시아·홍콩의 중개인과 캄보디아 거점이 자금 이동과 현금화에 관여했다고 밝혔다. MSMT는 북한의 사이버 활동과 IT 인력 운용이 불법 무기·탄도미사일 프로그램의 자금 확보 수단이라고 평가했다(MSMT 보고서).

TRM랩스는 북한에 귀속된 해킹 100건 가운데 스마트컨트랙트 코드 취약점을 악용한 사례는 13건이며, 이들의 탈취액은 전체 북한 연계 탈취액의 약 1%라고 집계했다. 바이낸스 사건을 포함하면 개인키·서버·서명 시스템 등 기반 시설 침해가 북한 연계 해킹 탈취액의 88%를 차지했다(TRM랩스 분석).