북한 연계 해킹 조직이 2026년 상반기에만 약 6억 900만 달러에 달하는 천문학적인 가상자산을 탈취하며 전 세계 암호화폐 시장을 다시 한번 거세게 흔들었다.
이는 같은 기간 전 세계에서 공식 확인된 전체 가상자산 피해액 11억 달러 중 무려 55%를 차지하는 비중으로 파악됐다.
공격자들은 암호화 시스템을 정면 돌파하기보다 구직 제안이나 투자 상담 같은 일상적인 업무 흐름에 침투해 사람을 먼저 속이는 사회공학적 수법을 반복적으로 활용했다.
화상회의 도구나 과제 파일로 위장한 악성 프로그램을 실행하게 만든 뒤, 단일 직원의 계정 접근 권한을 먼저 확보하는 정교한 방식으로 침투를 개시했다.
수법의 정교화와 즉각적 정보 공유
한 명의 직원이 속아 계정 권한을 넘겨주면, 공격자는 이를 발판 삼아 더 높은 권한을 가진 동료나 조직 전체 지갑으로 접근 범위를 빠르게 넓혀갔다.
거래소가 지갑 보안을 강화하더라도 협력업체 직원이나 개발자의 계정이 뚫리면 핵심 서명 권한과 내부 정보가 한꺼번에 넘어가는 치명적인 위험을 안게 된다.
보안 전문가들은 단순한 거래 내역 추적을 넘어 로그인 위치 변동과 새 기기 등록, 권한 변경 같은 이상 행동 신호를 동시에 모니터링해야 한다고 조언했다.
탈취된 자산은 복수의 블록체인과 교환 서비스를 거치며 빠르게 세분화되기에, 공격 직후 즉시 차단하지 못하면 회수 가능성이 급격히 떨어진다.
피해보상과 자금 회수율은 해킹을 당한 기업과 보안 분석업체, 거래소, 수사기관이 지갑 주소와 거래 해시 정보를 얼마나 신속하게 공유하느냐에 달려 있다.
다만 이번에 제시된 55%라는 수치는 확인된 익스플로잇을 기준으로 집계된 추정치이며, 미신고 사건이나 주체를 알 수 없는 피해까지 모두 포함한 수치는 아니다.
아울러 탈취된 가상자산 전액이 북한의 무기 개발 자금으로 직접 유입되었는지 여부는 이번 분석 보고서 자체만으로 확정짓기 어렵다.
그럼에도 공격자들이 비싼 제로데이 취약점에만 의존하지 않고 정상적인 대화와 업무 절차를 위장해 접근권을 확보한다는 경고만큼은 매우 명확하다.
사람의 클릭부터 자금 동결까지의 대응
여러 명이 승인하는 다중서명 제도를 도입했더라도 승인권자들이 같은 기기에서 검증 없이 승인하거나 절차를 생략하면 무용지물로 전락할 위험이 크다.
국내 가상자산 사업자 역시 단순한 접속 국가 파악에 그치지 않고, 권한 상승과 대량 출금이 연속으로 발생하는 패턴을 정밀하게 포착해야 한다.
공격자들은 해외 구직자나 협력사 직원으로 가장할 수 있으며, 탈취한 정상 계정을 활용해 평소와 다름없는 거래처럼 위장 활동을 펼친다.
사이버 위협을 막아낼 진정한 방패는 개별 보안 프로그램이 아닌, 최초 클릭 순간부터 자금 동결과 현금화 차단까지 이어지는 전체 대응 시간을 단축하는 데 있다.
