北해킹조직, 785억원 암호화폐 현금화 시도…일부 회수

소니픽처스 해킹 악명 ‘라자루스’
그간 탈취한 이더리움 4만개 세탁
바이낸스 등 거래소 3곳 이체 시도
거래소측 감지… “계좌 일부 동결”
핵·미사일 등 무기개발 자금 원천
가격 하락·자금 추적에 현금화 난항

북한이 그간 해킹으로 탈취한 6300만달러(약 785억원) 상당의 암호화폐를 현금화하려 한 것으로 드러났다. 암호화폐는 북한이 신종 코로나바이러스 감염증(코로나19)과 대북제재 속에서도 핵·미사일 개발을 가능하게 한 원천으로 지목되는 자금원이다.

18일 미국 자유아시아방송(RFA)은 블록체인 분석업체 체인어뷰즈를 인용해 북한 해킹 조직 ‘라자루스’가 지난 13∼14일 암호화폐 이더리움 4만1000개를 암호화폐 거래소 3곳으로 옮기려 했다고 보도했다. 라자루스는 북한 정찰총국 통제를 받는 해킹 조직으로, 미 재무부가 2019년 9월 제재 대상으로 지정했다.

‘블록체인계의 배트맨’이라는 별칭이 있는 익명의 전문가 ‘자크엑스비트’(ZachXBT) 역시 트위터를 통해 “북한 해커 조직 라자루스 그룹이 매우 바쁜 주말(13∼14일)을 보냈다”며 거래 흐름도까지 공개했다.

이더리움 4만1000개의 시세는 약 6350만달러로, 이는 지난해 6월 라자루스가 미국의 개인 간 거래(P2P) 기업 하모니에서 탈취한 1억달러 상당의 암호화폐 중 일부로 확인됐다. 라자루스는 탈취한 암호화폐를 ‘토네이도 캐시’라는 ‘믹싱’(Mixing) 서비스를 이용해 세탁한 것으로 나타났다. 믹싱이란 암호화폐를 쪼개 누가 전송했는지 알 수 없도록 만드는 기술이다. 이 과정을 반복하면 자금 추적이 어려워진다.

라자루스는 믹싱한 이더리움을 ‘레일건’을 통해 암호화폐 ‘지갑’(거래를 위한 계좌)으로 전송한 후 이를 다시 바이낸스, 후오비, OKX 등 3개 암호화폐 거래소로 이전하려 한 것으로 나타났다. 레일건이란 이더리움 기반의 스마트 콘트랙트 시스템으로, 거래 익명화를 통해 자산 전송 시 사생활을 보호해주는 프로토콜이다. 체인어뷰즈는 이 과정에서 라자루스가 사용한 암호화폐 지갑 약 350개 주소도 공개했다.

북한의 현금화 시도가 얼마나 성공했는지는 확인되지 않는다. 다만 바이낸스 최고경영자(CEO) 등이 자금 이동을 감지하고 계좌를 일부 동결했다는 사실을 밝혔다. 바이낸스 CEO 자오창펑은 트위터를 통해 “우리는 하모니 해킹 자금의 이동을 감지했다”며 “그들(해커)은 앞서 바이낸스를 통한 세탁을 시도했고, 우리는 그들의 계좌를 동결했다”고 밝혔다. 이어 “이번에는 후오비를 이용했다. 우리는 후오비 팀과 함께 그들의 계좌를 동결했고, 124비트코인(약 32억원)을 회수했다”고 덧붙였다.

라자루스는 해킹을 통한 외화벌이를 주도하는 조직으로 2014년 미국 소니픽처스 해킹과 지난해 하모니 해킹, 게임업체 액시인피니티 해킹 등 사건들에 등장했던 이름이다.

국가안보전략연구원 김보미 부연구위원이 최근 펴낸 ‘북한의 암호화폐 공격과 미국의 대응 보고서’에 따르면 북한은 2010년대 중반 이후 암호화폐 해킹을 주요 외화 수익원으로 삼고 있다. 미국은 북한이 제재망을 회피해 핵·미사일 프로그램을 발전시킬 수 있었던 이유로 암호화폐 해킹을 꼽고 해당 조직과 협력단체, 협력 전문가 등을 파악해 제재에 나서고 있다.

다만 북한은 거액의 탈취에도 불구하고, 추적을 피해 안정적으로 현금화하는 데에는 어려움을 겪고 있는 것으로 알려졌다. 훔친 자금을 소량씩 현금으로 전환하고 자금 추적을 모호하게 하고자 노력하고 있으나, 미처 현금화하지 못한 암호화폐의 급격한 가격 하락을 피하지 못하고 있다.

김예진 기자 yejin@segye.com