북한 연계 조직이 탈취한 가상자산을 여러 블록체인과 지갑으로 분산한 뒤 제3자 세탁망에 넘겨 현금화한다는 분석이 나왔다. 영국 왕립합동군사연구소(RUSI)는 돈세탁책과 개인 간(P2P) 거래를 주요 통로로 꼽았다.

이번 평가는 연구소의 분석이며 모든 거래가 사법적으로 확정된 것은 아니다. 북한 해커는 탈취부터 현금화까지 직접 처리하기보다 기존 범죄시장의 서비스와 인력을 빌려 쓰는 구조를 활용한다.

공격자는 한 주소의 자산을 수십 개로 나누고 서로 다른 체인으로 옮겨 추적 비용을 늘린다. 하지만 무기나 물자를 사려면 어느 시점에는 달러나 위안화 같은 법정화폐나 실제 상품으로 바꿔야 한다.

자산 전환은 제3자 세탁조직과 돈세탁책이 담당한다. 이들은 북한과 직접 연결되지 않은 계정으로 개인 간 거래를 만들고, 소액 거래로 나누어 현금을 받거나 장외중개인을 통해 물량을 처리한다.

제3자 세탁망과 거래 통로의 구조

중국어권 범죄시장은 높은 유동성과 접근성을 제공한다. 가상자산 거래 경험이 있는 중개인과 대포계정, 현금 전달망, 무역업체를 한 지역에서 쉽게 연결해 준다.

다만 범죄조직의 움직임과 중국 정부의 정책을 동일하게 다루어서는 안 된다. 불법 온라인시장 역시 또 다른 교환소 역할을 맡아 도박이나 사기 자금과 북한 연계 코인을 섞어버린다.

범죄조직은 수수료를 받고 출처가 다른 코인을 모아 다시 분배하며 추적 경로를 분산시킨다. 장외거래는 공개 거래소의 감시망을 피할 수 있다는 점에서 주요 수단으로 쓰인다.

매수자와 매도자가 중개인을 통해 거래를 맞추면 주문장에 흔적이 적게 남고, 정산은 별도 은행계좌나 현금으로 진행된다. 이 과정에서 규제와 금융감독 사이에 틈새가 발생한다.

수사기관이 특정 지갑을 제재하더라도 범죄조직은 새 주소와 명의를 만들어낸다. 따라서 주소를 추적하는 온체인 분석과 함께 현금 전달자와 계좌를 확인하는 오프체인 정보의 결합이 필요하다.

관련 정보는 서로 다른 기관에 나뉘어 있다. 거래소는 지갑과 로그인 기록을 확인하고 은행은 계좌와 송금을 살피며 경찰은 현금 전달자를 추적한다.

국가와 업종을 넘어 식별자를 공유하지 못하면 같은 세탁조직을 개별 사건으로 다루게 된다. 따라서 단발성 압수보다 반복되는 교환 상대를 차단하는 조치가 더 큰 실효를 거둔다.

지갑 주소가 새로 바뀌더라도 동일한 계정과 로그인 기기, 현금 전달자가 다시 포착되면 자금세탁 서비스 전체의 운영망을 효과적으로 좁힐 수 있다.

실효성 있는 차단 대응 방안

동시에 과잉 차단에 대한 경계도 요구된다. 단순히 중국어를 사용하거나 개인 간 거래를 했다는 이유만으로 북한 연계로 분류하면 정상 이용자가 피해를 보고 분석 신뢰도 역시 떨어진다.

따라서 지갑 군집과 동일 기기, 대포계정, 현금화 상대 등 복수의 신호를 종합해 판단해야 한다. 군사안보 차원에서는 현금화 속도가 북한의 제재 회피 능력을 결정짓는 요소가 된다.

가상자산 탈취액이 아무리 커도 지갑 안에 머물러 있으면 실제로 쓰기 어렵지만, 범죄조직을 거쳐 법정화폐로 바뀐다면 제재를 피해 사용하는 현금이 된다.

결국 단속 성과는 단순 제재 주소 수보다 현금화 실패율로 나타난다. 북한 자금세탁 대응의 중심도 해커 개인을 특정하는 일에서 범죄 서비스의 마지막 교환 지점을 막는 방향으로 이동하고 있다.