118억 달러 북한 해커 사업 뒤, 비대칭 공격 방어전이 AI 시대에 접어들다

저자：낸시，PANews

전 세계는 비대칭 전쟁 시대에 접어들고 있습니다.

미국과 이란의 물리적 전장에서 이란은 저비용 드론, 미사일 및 해상 봉쇄 등의 수단을 활용하여 소모전을 벌이며 상대적으로 제한된 비용으로 미국의 군사 자원을 제약하고, 전 세계 경제에 압박을 가하고 있습니다.

암호화 세계에서 AI는 사이버 공격의 기술 장벽을 낮추고 공격자의 행동 효율성과 파괴 능력을 확대하고 있습니다. 공격자는 제한된 자원만으로도 대기업과 복잡한 시스템에 막대한 손실을 초래할 수 있습니다.

118억 달러, 국가급 해커 군단

북한 해커들은 빈번하게 공격을 감행하여 암호화 시장에 불안감을 조성하고 있습니다. 어떤 이들은 보안 방어선을 강화하는 데 바쁘고, 어떤 이들은 다른 길을 모색하고 있습니다. 최근 한 개발자는 북한 사용자가 웹사이트에 접근하는 것을 정신적으로 차단하려는 독특한 인증 메커니즘을 설계했습니다. 예상치 못하게 이 장난스러운 보안 실험은 실제 사이버 공격을 초래했습니다.

보안 사건에서의 고빈도 키워드부터 암호화 커뮤니티의 농담 소재까지, 북한 해커는 점차 업계에서 피할 수 없는 주제가 되고 있습니다. 농담 뒤에는 사이버 보안 위험에 대한 시장의 우려가 깊어지고 있습니다.

Chainalysis 데이터에 따르면, 2026년 10월 29일 기준으로 북한과 관련된 해킹 공격으로 인한 손실은 올해 보고된 암호 해킹 공격 손실의 거의 89%를 차지하며, 2021년에는 이 비율이 15%였습니다. 단일 공격에서 발생한 손실을 보면, 북한 관련 공격의 평균 손실은 2021년 5,065만 달러에서 2026년 약 1억 8,500만 달러로 증가했으며, 이는 2021년의 3.7배에 해당합니다.

국제 제재를 오랫동안 받아온 국가로서 북한은 정상적인 국제 무역과 금융 활동을 통해 외환과 자원을 확보하기 어렵습니다. 따라서 사이버 공격은 자금을 확보하고 금융 제한을 회피하는 중요한 수단으로 점차 자리 잡고 있습니다.

북한의 해커 세력은 각자 기술 고수들이 따로 전투하는 것이 아니라, 오랜 시간에 걸쳐 구축된 고도로 조직화된 국가급 사이버 작전 시스템입니다. 인재 선발, 엘리트 교육, 군사 훈련, 해외 잠복 및 실전까지, 북한은 상대적으로 완전한 인재 양성 및 작전 메커니즘을 구축했습니다.

이 메커니즘은 수학 올림피아드 선수의 피라미드식 선발과 유사합니다. 전국적으로 뛰어난 논리적 사고와 수학적 재능을 가진 청소년을 발굴하고, 정치적 배경과 충성도를 심사합니다. 선발된 인재는 집중적인 교육 자원을 얻고, 장기적이고 체계적인 컴퓨터 과학, 수학 및 프로그래밍 훈련을 받습니다.

국내 훈련을 마친 일부 인원은 학생, IT 종사자 또는 원격 기술자로서 해외에 파견되어 실제 환경에서 기술 경험을 쌓고, 목표 국가의 언어, 문화 및 업무 습관을 배우며 후속 작전을 준비합니다.

이러한 기술 인재를 유치하고 유지하기 위해 북한은 일부 병역 의무 면제, 수도 거주 자격, 주택, 높은 수입, 더 나은 교육 및 의료 자원 등 특별 대우를 제공합니다. 자원이 제한된 국가에게 이러한 유인은 상당한 매력을 지닙니다. 희소한 기술을 가진 해커는 특별한 사회적 지위를 얻어 북한 내에서 새로운 특권 집단으로 자리 잡고 있습니다.

인재 양성은 첫 번째 단계일 뿐, 고도로 전문화된 조직 분업이 북한 "키보드 전사"의 진정한 비장의 무기입니다. 정찰원은 전 세계 네트워크 정보를 수집하고 시스템 취약점을 찾아 공격 작전을 위한 목표를 선별합니다; 작전원은 신원 위장, 사회 공학 및 악성 소프트웨어를 이용해 침투하고 자금 및 민감한 정보를 탈취합니다; 자금 이동, 세탁 및 자산 현금화 전담 인원도 있어, 사이버 공격으로 얻은 것을 가용 자금으로 전환합니다.

목표 선별, 기술 침투에서 자금 이동까지, 한 번 보기에는 간단한 암호 자산 도난 사건 뒤에는 완전한 국경 간 작전 체인이 있을 수 있습니다. Lazarus Group, APT38, Kimsuky 등은 외부 보안 기관이 공격 목표, 기술 수단 및 행동 특성에 따라 식별한 다양한 북한 관련 해커 조직입니다.

분석가 Darkfost의 최근 발표에 따르면, 바이낸스에 대한 공격 사건이 발생하면서 Lazarus 조직이 탈취한 자금 총액은 118억 7천만 달러에 달했습니다. 한국은행의 2025년 데이터에 따르면, 이 숫자는 북한 GDP의 45%, 국민 총소득(GNI)의 35%에 해당합니다. 만약 이 추정이 사실이라면, 사이버 공격으로 얻은 수익은 더 이상 추가적인 불법 수입이 아니라 북한 경제 시스템에서 상당한 규모의 자금 출처가 될 수 있습니다.

북한에게 사이버 공격은 전략 무기일 뿐만 아니라 금융 봉쇄를 우회하고 경제 자원을 확보하는 또 다른 경로입니다. 전통적인 금융 시스템이 닿지 않는 국가가 사이버 공간을 활용하여 새로운 자원 확보 방식을 찾고 있습니다.

가장 큰 보안 취약점, 바로 곁의 "동료"

공격자가 더 이상 방화벽을 정면으로 뚫으려 하지 않고 조직 내부에서 진입점을 찾으려 할 때, 공격 비용은 종종 더 낮고 은폐성도 더 강해집니다. 전통적으로 보안 장비와 네트워크 경계를 기반으로 구축된 방어 시스템은 새로운 도전에 직면하고 있습니다.

북한 해커들은 이러한 비대칭 공격 방식을 극대화하고 있습니다. 그들은 정교하게 조작된 이력서, 위조된 여권 및 신원 정보를 통해 IT 종사자나 구직자로 가장하여 기업의 개발자, 운영 직원 등 핵심 직원에게 접근합니다.

상대방의 경계를 더욱 낮추기 위해 공격자는 실제 비디오 면접에 참석하고, 생활 사진과 일상 동향을 포함한 가짜 소셜 미디어 계정을 제공하여 최대한 신뢰할 수 있는 구직자 이미지를 형성합니다. 일단 채용 프로세스를 통해 팀에 들어가면, 그들은 합법적인 직원 신분을 이용해 장기간 잠복하며 내부 시스템, 코드 저장소 및 민감한 권한에 점차 접근하여 추가 침투 기회를 찾습니다.

이더리움 재단이 지원하는 프로젝트 Ketman은 6개월 내에 Web3 조직에 잠복한 북한 IT 인력을 100명 식별했습니다. MetaMask 보안 연구원 Taylor Monahan은 이전에 최소 40개의 DeFi 프로토콜이 그 발전 과정에서 북한 IT 인력을 고용했으며, 그 기간은 7년에 달한다고 밝혔습니다. 이들은 위조된 여권, 비자 및 정교하게 작성된 이력서를 통해 Web3 팀에 들어갔습니다. 더욱 혼란스러운 것은 그들이 가진 일부 블록체인 개발 경험이 실제라는 점입니다.

바이낸스의 최신 발표에 따르면, 올해 이 플랫폼은 북한과 관련된 의심스러운 사이버 공격을 57건 차단했습니다. 공격 수단에는 가짜 구직 면접을 통한 침투, 일반적으로 사용되는 개발자 도구로 위장한 악성 소프트웨어, 소프트웨어 패키지 및 브라우저 플러그인 변조, 가짜 화상 회의 애플리케이션을 이용한 직원 유도 등이 포함됩니다.

이번 바이낸스의 60억 달러 이상 도난 사건에서, 공식적으로 처음 공개된 조사 정보에 따르면, 공격자는 가짜 고급 채용 초대를 통해 바이낸스 지갑 인프라 팀의 소프트웨어 엔지니어와 접촉했습니다. 여러 차례의 비디오 면접 후, 공격자는 기술 테스트 프로젝트로 위장한 악성 프로그램을 작업용 컴퓨터에서 실행하도록 유도하여 결국 직원 장비를 제어하고 지갑 인프라의 안전을 위협했습니다. 슬로우모션의 창립자 유선은 이러한 사건이 고급 지속적 위협(APT)에 해당하며, 인성 이용, 정보 탐색, 악성 코드 회피, 신뢰 체인 이용, 표적화된 수평 독살, 클라우드 환경 침투, 리스크 관리 우회 및 0day 취약점 등 여러 단계를 포함한다고 지적했습니다.

유사한 수법은 이미 선례가 있습니다. 2022년 Axie Infinity의 Ronin Network가 공격을 받을 당시, 북한 관련 해커 조직 Lazarus Group도 LinkedIn을 통해 고급 직책으로 Sky Mavis의 한 고위 엔지니어와 접촉했습니다. 여러 차례의 면접 후, 공격자는 트로이 목마가 포함된 가짜 작업 초대 파일을 보내 최종적으로 검증 노드 관련 시스템을 제어하고 약 6억 2,500만 달러의 자산을 도난했습니다.

이것이 바로 암호화 산업이 직면한 비대칭 보안의 딜레마입니다. 과거에는 보안 방어가 주로 견고한 기술 장벽을 구축하는 데 의존했지만, 사회 공학 공격이 계속 진화함에 따라 공격자는 반드시 더 진보된 기술이나 더 많은 자원을 필요로 하지 않으며, 단지 약한 고리를 찾아내면 됩니다.

기술적 취약점에 비해, 진정으로 방지하기 어려운 것은 이미 신뢰를 얻은 사람들일 수 있습니다.

AI 업그레이드 공격 방어전, 자원 쟁탈전이 시작되다

사회 공학 공격이 해커가 조직 방어선을 뚫는 비용을 낮춘다면, AI의 지속적인 발전은 사이버 공격의 규모와 효율성을 더욱 확대하고 있습니다.

마이크로소프트 위협 정보 팀의 최신 보고서에 따르면, 그들이 추적하는 8개의 주요 북한 해커 조직 중 3개가 AI 도구를 일상 공격 프로세스에 깊이 통합하여 마이크로소프트 네트워크 위협 AI 응용 프로그램 성숙도 모델의 최고 수준에 도달했습니다.

사회 공학 및 신원 위조 분야에서 북한 해커 조직은 AI를 활용하여 피싱, 채용 및 투자 유인 콘텐츠를 대량 생성하고, 번역 및 어조 조정을 통해 외국인으로 가장하며, 심지어 가짜 이력서, 면접 답변, 프로필 사진 및 음성 비디오를 생성합니다. 그중 한 조직은 2026년 8월에서 9월 사이에 한국 사용자를 대상으로 한 맞춤형 피싱 PDF 파일을 100여 개 생성했습니다. 해외 기업에 가짜 신원으로 고용된 북한 원격 IT 인력도 AI를 활용하여 여러 신원을 동시에 유지하기 시작했습니다.

한국 보안 기업 Genians에 따르면, 북한 해커 조직 Kimsuky는 올해 8월에 로컬 대형 언어 모델(LLM) 및 RAG 환경을 구축했으며, AI 코드 편집기 Cursor를 사용하는 기록이 다수 남아 있습니다. 관련 도구가 차단된 후에는 신속하게 도구를 전환하여 활동을 계속할 수 있습니다.

마이크로소프트는 이러한 조직이 아직 완전한 자율 공격을 실현하지 못했으며, AI가 공격 성공률과 비용에 미치는 실제 영향도 여전히 불확실하다고 보고했습니다. 그러나 목표 정찰, 사회 공학에서 신원 위조 및 악성 소프트웨어 개발에 이르기까지 AI는 공격 프로세스의 여러 단계에 진입했습니다. 그것이 반드시 일반 공격자를 최상위 해커로 변모시키지는 않지만, 복잡한 공격을 완료하는 데 필요한 시간과 인력을 단축할 수 있습니다.

바이낸스 해커 사건에서도 AI 도구가 공격의 일환이 되었습니다. 조사 정보에 따르면, 공격자는 공급망 공격을 통해 엔지니어에게 변조된 AI 프로그래밍 도구를 제공했습니다. 엔지니어가 이상을 발견하고 도구를 교체하더라도, 그의 직무 정보와 지갑 인프라 팀의 다른 구성원 정보는 이미 노출되었습니다. 이후 공격자는 한 엔지니어의 컴퓨터를 제어한 후, 바이낸스 내부 AI 도구를 활용하여 다른 직원 장비에 추가 침투하여 최종적으로 서명 제어권을 획득했습니다.

AI 능력이 지속적으로 강화됨에 따라, 사이버 공격과 방어 간의 경쟁은 전통적인 기술 및 인재 경쟁에서 데이터, 모델 및 계산 자원 쟁탈전으로 확장되고 있으며, 이는 사이버 공격과 방어의 비대칭성을 더욱 심화시키고 있습니다.

최근, 보안 연구자 Jun Song은 한 익명의 블랙햇 조직이 그에게 연락하여 취약점 이용 데이터를 사용해 오픈소스 가중치 모델을 강화 학습 후 훈련시키기를 의뢰하고, 매우 높은 보수를 지불할 의사가 있다고 전했다. Jun Song은 상대방이 주장하는 공격 데이터의 규모는 그가 이전에 본 적이 없는 것이라고 하며, 누군가 그에게 이것이 법 집행 기관의 잠입 데이터 세트라고 말해도 믿을 것이라고 말했다. 대조적으로, 그가 참여한 화이트햇 프로젝트는 GLM-5.3을 사용했으며, 사용된 데이터 양은 상대방이 주장하는 규모의 1%도 되지 않지만, 모델 성능은 이미 최첨단 모델을 크게 초과했다.

AI 공격 방어 경쟁에서, 고품질의 대규모 취약점 이용 데이터는 네트워크 보안 모델 훈련의 중요한 자원이 될 수 있다. 누가 더 많은 데이터, 더 강력한 모델, 더 충분한 계산 능력을 얻느냐에 따라 미래의 공격 방어 경쟁에서 우위를 점할 수 있다.

방대한 취약점 이용 데이터가 효과적으로 모델 능력으로 전환될 수 있다면, 공격자는 취약점 탐지 및 공격 실행 효율성을 더욱 높일 수 있다. 이에 대응하여, 방어자가 충분한 데이터, 모델 및 계산 능력을 확보할 수 있는지도 새로운 위협을 인식하고 대응하는 능력에 영향을 미칠 것이다.

Coinbase는 6월에 Anthropic의 최첨단 모델 Claude Mythos의 사용 권한을 획득했다고 밝혔으며, 이를 통해 암호화 지갑 및 자산 보안 방어선을 강화할 예정이다. 반면, 몇 달 후 바이낸스는 여전히 유사한 권한을 얻지 못했다고 밝혔다. 최첨단 모델 접근 권한의 차이는 취약점 발견, 자동화 보안 감사 및 위험 방어 등에서 서로 다른 기업 간의 능력 차이를 더욱 벌릴 수 있다.

이란이 저비용 무기를 이용해 미국 군사력을 제어하는 것부터, 북한 해커가 신원 위장, 사회 공학 및 AI 도구를 통해 공격을 가속화하는 것까지, 전장은 다르지만 모두 하나의 현실을 지적한다. 자원 우위는 더 이상 절대적인 안전을 의미하지 않으며, 진정한 위험은 구시대의 사고로 신시대의 위협에 대응하는 것이다.