업비트 445억원 해킹 배후로 北 라자루스 유력…정부 “6년 전 수법과 유사”

믹싱·호핑 정황 확인…금감원·KISA 긴급 점검

▲ 국내 대표 플랫폼 네이버와 업비트 운영사 두나무가 ‘계열 통합 추진’에 따른 미래 청사진을 27일 공식 발표한다. 연합뉴스

국내 최대 가상자산 거래소 업비트에서 발생한 445억원 규모 가상자산 해킹 사건의 배후로 북한 정찰총국 산하 해킹조직 ‘라자루스’가 유력하게 지목되고 있다.

28일 정보통신기술(ICT) 업계와 정부 당국에 따르면 당국은 이번 해킹이 북한 정찰총국 소속 라자루스의 소행일 가능성을 유력하게 열어두고 업비트를 상대로 현장 점검을 진행 중이다.

라자루스는 2019년 업비트에 보관돼 있던 580억원 규모 이더리움이 탈취됐을 당시 배후로 지목됐던 해킹 조직이다. 이번에도 인터넷과 연결된 개인지갑인 ‘핫월렛’에서 해킹이 발생했는데, 6년 전 사고 역시 핫월렛이 뚫린 것으로 알려졌다.

정부 관계자는 “서버를 직접 공격했다기보다 관리자 계정을 탈취했거나 관리자인 척 자금 이체를 수행했을 가능성이 있다”며 “6년 전에도 같은 방식으로 해킹이 이뤄진 만큼 현재로서는 해당 수법을 가장 유력하게 보고 있다”고 말했다.

보안 업계는 수사 결과를 지켜봐야 한다면서도, 외화 부족에 시달리는 북한이 업비트를 해킹해 가상자산을 빼돌렸을 가능성에 무게를 두고 있다. 한 보안 전문가는 “해킹 이후 다른 거래소 지갑으로 자산을 여러 차례 옮기는 ‘호핑’과 ‘믹싱’(자금세탁)이 이뤄졌는데, 이는 라자루스 조직의 전형적인 수법으로 볼 수 있다”며 “믹싱이 진행되면 거래 추적이 사실상 불가능한데, 국제자금세탁방지기구(FATF) 가입국에서는 믹싱이 불가능해 북한 소행 가능성이 높다”고 설명했다.

이번 사고가 네이버파이낸셜과 업비트 운영사 두나무의 합병 관련 기자간담회가 열린 지난 27일에 발생한 점도 북한 배후설에 힘을 싣는 대목이다. 또 다른 보안 전문가는 “해커들은 과시욕이 강한 특성이 있다”며 “합병 당일을 일부러 노려 27일을 해킹일로 택했을 가능성이 있다”고 추정했다.

금융위원회는 지난해 12월 유권해석을 통해 가상자산 거래소가 보유한 이용자 거래 정보가 신용정보법상 신용정보에 해당한다고 밝힌 바 있다. 이에 따라 현재 금융감독원과 금융보안원이 업비트를 상대로 현장 점검을 진행 중이며, 한국인터넷진흥원(KISA)도 인력을 지원해 점검에 동참하고 있는 것으로 전해졌다.
 

#업비트 #라자루스 #가상자산 #거래소 #정찰총국