블록체인 인텔리전스 회사인 BitOK에 따르면, 북한 해커들은 2026년 1월부터 10월까지 38건의 사건에서 약 76억 1천만 달러 상당의 암호화폐를 탈취했습니다. 여섯 건의 주요 공격 모두에서 해커들은 코드 취약점을 이용하지 않고, 출금 서명을 담당하는 사람과 시스템을 탈취했습니다.
동결 및 압류로 28억 6천만 달러가 포착되었으며, 47억 5천만 달러는 여전히 회수가 불가능합니다. 바이낸스만 해도 전체 중 64억 1천만 달러를 차지했으며, 개인 및 기업을 대상으로 한 32건의 소규모 절도는 총 1억 7천8백4십만 달러에 이릅니다.
코드 감사가 북한 해커들을 막지 못했던 이유
BitOK 보고서에 따르면, 여섯 건의 대형 공격에서 모든 출금에는 유효한 서명이 있거나 표준 검증을 통과했습니다. 바이낸스의 경우, 침투 경로는 데브옵스 엔지니어의 노트북과 서명 서비스 컨테이너였습니다.
이 결과는 지난 10월에 해킹 과정에 대한 기존 조사 결과와 일치합니다. 다른 사례로는, 공격자들이 솔라나 기반 트레이딩 플랫폼인 Drift의 멀티시그 서명자, KelpDAO 단일 브리지 검증자, 그리고 Bitget의 월렛 시스템을 해킹했습니다.
각 절도 사건 이전에 운영자들은 소량을 이용해 동일한 경로를 사전에 시험했습니다. 예를 들어, 바이낸스 해킹 스마트 계약은 실제 탈취 4시간 전에 공개적으로 실행되었습니다.
행동 패턴이 마치 사무실 근무와 유사합니다. 540건의 트랜잭션 표본에서, 활동의 48%가 평양 시간 기준 오후 4시부터 9시 사이에 집중되었습니다.
운영자들은 북한의 공휴일에는 활동을 중단했으며, 해당 날짜에는 트랜잭션이 기록되지 않았습니다. 토요일, 일요일, 월요일이 합쳐 총 거래의 10%만을 차지했습니다.
하지만 공격이 시작된 이후에는, 운영 패턴이 완전히 바뀝니다. 자동화된 스크립트가 작동하며, 자금 이체가 24시간 운영되었습니다.
몇 분 만의 교환, 며칠 만의 완전 은폐
속도가 동결 여부를 결정합니다. 북한 해커들은 몇 분 이내에 탈취한 스테이블코인을 이더리움(ETH)으로 교환하거나, 도난 담보를 이용해 ETH를 대출받았습니다. 이더리움은 발행사가 동결할 수 없기 때문입니다.
4월 rsETH 브리지 해킹 이후, 최초 5만2천4백40 ETH가 대출 프로토콜을 빠져나가는 데에는 단 8분여가 소요되었습니다. 이후 자금은 2.5~5일 동안 대기하다가, 크로스체인 교환 프로토콜인 THORChain을 통해 이동했습니다.
돈세탁 비용은 매우 저렴했습니다. 바이낸스 관련 2,257건의 교환에서, 총 5천5백8십만 달러 규모에 소요된 전체 비용은 0.5%에 불과했습니다.
따라서, 스테이블코인이 이동되기 전까지만 동결이 효과가 있었습니다. 바이낸스에서는 전체 탈취 자금의 43%가 동결 또는 압류된 반면, 나머지 대형 해킹 사건 합계는 6%에 불과했습니다.
그마저도 타이밍이 매우 중요했습니다. 테더가 최초의 동결 요청을 받은 시점은 바이낸스 출금 34분 후였습니다. 이때까지 이미 3억4천5백만 USDT가 원래 주소에서 이탈했습니다.
0.27 ETH의 미세 잔액, 5건의 해킹을 연결하다
가장 명확한 흔적은 정리 과정에서 발생한 실수에서 비롯되었습니다. 운영자는, 5,047 ETH를 스텔스 주소 프라이버시 툴인 Umbra와 Stargate 브리지를 통해 옮긴 뒤 남은 잔액을 한 지갑으로 모았습니다.
8월 31일, 150개의 주소가 3분 36초 만에 해당 지갑으로 자금을 이체했습니다. 이 동작으로 AFX 사건과 8월 28일 해킹이 연결되고, 9월에는 Bitget 주소가 이어졌습니다. 총합으로 해당 지갑이 받은 금액은 단 0.27 ETH입니다.
이와 같이, 다섯 건의 북한 해커 공격이 공통 결제 주소로 연결됩니다. 켈프다오의 4월 사건부터 10월 바이낸스까지 이어집니다. BitOK에 따르면, 이는 세탁 운영자가 단일 팀일 가능성을 시사하지만, 해킹 실행은 각각 다른 팀이 담당했을 수 있습니다.
“소액의 잔고가 올해 운영자 흔적을 가장 명확하게 남겼습니다.” – BitOK
서명 키, 새로운 공격의 표적
체이널리시스 역시 10월 Bitget 해킹을 북한과 연관시킨 바 있습니다. BitOK 데이터는 북한 해커들이 거래소와 디파이 프로토콜에서 동일한 수법을 반복 적용함을 보여줍니다.
이제 약점은 스마트 계약이 아닌, 직원과 장치, 그리고 서명 서비스로 이동했습니다. 발행사의 동결 조치는 초반 몇 분에만 효과가 있으며, 바이낸스는 최근 자사 준비금으로 대부분의 사용자 손실을 보상했습니다.
