북한이 가져간 상반기 코인 해킹 피해 3분의 2 — 두 집계를 섞지 않고 읽기

정정(2026-09-11): ① 조사기관 두 곳(TRM Labs·Blockaid)의 집계가 본문 목록에서 다시 섞여 있어 바로잡았습니다(개인키 탈취 7억8900만 달러·74%는 TRM이 아니라 Blockaid 쪽 숫자입니다). ② 4월 두 사건을 라자루스와 그 아래 조직 트레이더트레이터가 했다고 묶어 쓴 문장을 뺐습니다. TRM은 드리프트 공격자를 트레이더트레이터와 다른 북한 조직으로 봤고, 어느 조직인지는 아직 조사 중이라고 밝혔습니다. ③ TRM의 76%(4월 30일 자료)와 66%(7월 1일 자료)를 기간 차이만으로 설명한 부분을 고쳤습니다. 7월 자료는 같은 4월 시점을 71%로 다시 적었습니다. ④ 인용한 자료에서 찾을 수 없는 누적 67억5000만 달러와 2025년 연간 20억 달러대 추정치를 뺐고, 미국 재무부 발표문을 출처에 넣었습니다. ⑤ '거래소 보안이 강해져 공격이 디파이로 옮겨갔다'는 설명은 인용한 TRM 자료와 방향이 반대여서 뺐습니다. 콜드월렛 비중으로 서비스를 고르라는 조언도 비교할 공개 자료가 없어 뺐습니다. ⑥ 2026-09-11 추가 정정: TRM의 2025년 숫자 두 개를 본문에 함께 적었습니다. 2025년 12월 자료는 한 해를 15억 달러 이상이라는 아래쪽 한계로만 적었고, 2026년 7월 자료는 2025년 상반기만 약 17억 달러라고 적었습니다. 두 값은 서로 틀린 것이 아니지만 이어 붙여 읽으면 안 됩니다. ⑦ TRM이 권고한 항목을 원문대로 세 가지로 줄였습니다(하드웨어 서명, 열쇠 관리, 큰 금액 이체의 여러 사람 승인). 앞선 판에 있던 '자산 보관 체계'는 원문에 없습니다. ⑧ 2025년 피해액 표기를 원문대로 27억 달러를 넘었고, 북한 몫은 절반을 훨씬 넘는으로 되돌렸습니다. 최초 발행일(2026-08-02)은 유지합니다.

'북한이 상반기 해킹 피해의 3분의 2를 가져갔다'는 문장을 자주 본다. 그런데 이 값은 어느 기관이 무엇으로 나눠 계산한 걸까. 집계가 다른 두 기관의 숫자를 섞지 않고 나란히 놓고 본다.

무슨 일인가

• 4월 1일, 솔라나 기반 탈중앙화 선물거래소 드리프트(Drift)에서 약 2억 8500만 달러어치 가상자산이 빠져나갔다.
• 4월 18일, 이더리움 기반 프로토콜 켈프DAO(KelpDAO)에서 약 2억 9200만 달러가 추가로 탈취됐다.
• 두 건을 더하면 5억 7700만 달러다. TRM Labs가 추정한 북한 몫 6억 4300만 달러의 약 90%다. 작은 해킹이 많아서가 아니라 큰 공격 몇 건에 몰린 구조라는 뜻이다.
• TRM Labs는 인프라·운영 침해가 전체 탈취 금액의 약 76%를 차지했다고 밝혔다. 사건 수로는 약 15%뿐이었다. 인프라·운영 침해는 코드의 허점이 아니라 개인키(지갑을 여는 비밀번호 같은 열쇠)나 계정처럼 사람과 시스템의 접근 통로를 노리는 방식이다. 건수는 적지만 한 건당 피해가 훨씬 크다는 뜻이다.

두 사건의 배후를 하나로 묶어 쓸 수는 없다. TRM Labs는 4월 30일 자료에서 두 사건 모두 북한과 연결됐다고 봤다. 다만 드리프트 공격자는 트레이더트레이터(TraderTraitor)와 다른 북한 조직으로 평가했고, 어느 조직인지는 아직 조사 중이라고 적었다. 켈프DAO 쪽은 훔친 뒤 돈을 세탁하는 방식이 트레이더트레이터가 늘 쓰던 수법과 닮았다고 설명했다. 라자루스(Lazarus)는 미국 재무부가 2019년 9월 제재 대상으로 지정하면서 북한 정찰총국과 연결된 조직이라고 밝힌 이름이다. 하지만 2026년 4월 두 사건을 라자루스가 했다고 특정한 자료는 이 글에서 확인하지 못했다. 북한은 이런 분석을 공개적으로 부인해 왔다. 이 글은 누가 했는지를 직접 검증하지 않았다. 조사기관이 그렇게 평가했다는 사실을 전할 뿐이다. 법원이 확정한 판단과는 다르다.

같은 기간, 다른 두 집계 — 섞으면 생기는 오류

이 사안을 다룬 국내 보도에서 가장 자주 나오는 오류가 있다. TRM Labs의 총액에 Blockaid의 비율을 붙이는 것이다. 두 기관은 집계한 사건과 금액이 달라서 나누는 기준도 다르다.

비율로 분모를 거꾸로 계산해 보면

독자가 직접 해 볼 수 있는 검산이 있다. VOA가 전한 Blockaid 숫자에서 개인키 탈취는 7억 8900만 달러이고, 그 비중은 74%다. 7억 8900만 달러를 0.74로 나누면 약 10억 7000만 달러가 나온다. 같은 기사의 '약 11억 달러'와 반올림 범위에서 맞는다. 반면 같은 7억 8900만 달러를 TRM의 9억 7200만 달러로 나누면 약 81%가 되어 74%와 맞지 않는다. 비율과 총액이 서로 맞지 않으면, 그 둘은 다른 집계에서 온 숫자다.

같은 이유로 TRM 자료 안에서도 몇 월 자료인지 봐야 한다. 앞에서 본 76%는 침해 방식별 몫이었다. 지금 말하는 76%는 북한의 몫이라 서로 다른 숫자다. TRM이 4월 30일 낸 "북한이 2026년 해킹 피해액의 76%를 단 두 건으로 가져갔다"는 자료는 2026년 1월 1일~4월 30일 누적을 기준으로 나눈 값이다. 그런데 7월 1일 상반기 자료는 같은 4월 시점을 돌아보며 "4월까지 71%"라고 다시 적었다. 즉 76%(4월 말)와 66%(6월 말)의 차이는 기간만으로 설명되지 않는다. 그 사이에 TRM이 내부 집계를 고쳤을 가능성도 들어 있다. 76%가 71%로 바뀐 이유를 밝힌 설명은 이 글에서 찾지 못했다. 같은 기관의 숫자라도 발표 회차가 다르면 그대로 이어 붙일 수 없다는 뜻이다.

왜 이 돈이 중요한가

미국 재무부는 2022년 5월 6일 가상자산 믹서(돈의 흐름을 뒤섞어 추적을 어렵게 하는 서비스) 제재를 발표하면서 이렇게 적었다. "강력한 미국·유엔 제재의 압박 속에서 북한은 가상자산 거래소와 금융기관을 노린 사이버 탈취를 포함한 불법 활동에 의존해 불법적인 대량살상무기(WMD)·탄도미사일 프로그램의 자금을 조달해 왔다." 조사기관들도 같은 방향으로 본다. 제재로 정상적인 외화 벌이가 막힌 상황에서 해킹이 우회 자금줄 노릇을 한다는 것이다.

규모의 흐름은 이렇다. TRM Labs는 2025년 12월 18일 자료에서, 그해 전 세계 해킹 피해가 27억 달러를 넘었고 그 가운데 절반을 훨씬 넘는 몫을 북한이 가져갔다고 봤다. 이 자료가 나온 날까지의 집계다. 한 해가 끝난 뒤에 확정한 숫자가 아니다. 같은 자료는 2025년 한 해에만 15억 달러 이상을 북한과 연결된 활동으로 지목했다. 2026년 상반기의 6억4300만 달러는 이보다 작다. 다만 반년치라서 1년치와 같은 자리에 놓고 견줄 수 없다. 앞선 판에 있던 누적 67억5000만 달러와 2025년 연간 20억 달러대 추정치는 인용한 TRM 페이지에서 찾을 수 없어 뺐다.

여기서 짚고 갈 것이 하나 있다. TRM의 2026년 상반기 보고서는 2025년 상반기에만 약 17억 달러라고 적었다. 그런데 2025년 12월 자료는 그해 전체를 15억 달러 이상이라고만 적었다. '이상'은 아래쪽 한계라서 두 값이 서로 틀렸다고 말할 수는 없다. 다만 12월 자료만 보면 한 해 규모를 실제보다 작게 읽기 쉽다. 그래서 두 값을 이어 붙여 연간 흐름으로 읽으면 안 된다. 앞에서 76%와 66%를 다룰 때 쓴 규칙이 여기에도 그대로 적용된다.

참고로 자주 인용되는 "2023년 29.7%(3억 4040만 달러)"는 2023년 3분기까지 쌓인 값이다. 1년치 확정 숫자와 같은 줄에 놓고 추세선을 그리면 실제보다 작아 보인다.

한국도 예외가 아니다. 국내 최대 거래소 업비트는 2019년 34만2000ETH(당시 약 580억원)를 털렸다. 2025년 11월 27일에도 약 445억원어치 가상자산이 외부로 빠져나가는 공격을 받았다. 과학기술정보통신부 관계자는 "6년 전과 같은 날 같은 방식으로 해킹을 당한 건 같은 북한 조직의 소행일 가능성이 크다"고 말했다. 이는 정부와 보안업계의 추정이다. 법원이 확정한 판단이 아니다.

숫자로 보기 — 액수는 줄었지만

액수가 준 이유는 공격 건수가 줄어서가 아니다. 2026년 상반기 사건 수는 207건이었다. TRM은 그 차이를 "생태계의 나머지 부분에서 2025년보다 대형 절도가 적었다"는 데서 찾는다. 이어 "탈취 금액이 줄었다고 해서 더 안전해진 환경으로 오해해서는 안 된다"고 못 박았다. 즉 총액이 줄었다고 위협이 줄었다는 뜻은 아니다. 큰 사건이 있었는지 없었는지에 따라 달라지는 값이다.

쟁점 — 위협은 줄었나, 더 정교해졌나

보안 업계는 액수가 줄었다고 위협이 줄었다고 읽어서는 안 된다고 강조한다. 근거는 앞서 본 구조다. 인프라·운영 침해는 사건 수로는 15%뿐이었지만 금액의 76%를 만들었다. 코드의 허점을 찾는 방식보다 열쇠 관리와 사람을 노리는 방식이 훨씬 큰 피해를 낸다는 뜻이다.

반대로 액수가 준 것을 제재와 보안 강화의 성과로 보는 시각도 있다. 다만 앞선 판이 근거로 든 "거래소 보안이 강해져 공격이 디파이(DeFi·중개 회사 없이 프로그램으로 돌아가는 금융 서비스)로 옮겨갔다"는 설명은 인용한 TRM 자료와 방향이 반대여서 뺐다. TRM은 2025년 12월 자료에서 북한의 표적이 브리지(서로 다른 블록체인을 잇는 다리 역할 서비스)에서 사람 속이기에 약한 중앙화 서비스 쪽으로 옮겨갔다고 봤다. 중앙화 서비스가 브리지 하나보다 훨씬 큰 피해를 낼 수 있다는 점을 이유로 들었다. 결국 지금 공개된 자료만으로는 액수가 준 주된 이유를 가릴 수 없다. 북한이 이런 분석 자체를 부인한다는 점도 함께 봐야 한다.

앞으로 — 무엇을 지켜봐야 하나

세 가지를 지켜볼 만하다. 첫째, 표적이 브리지에서 중앙화 서비스로 옮겨갔다는 TRM의 관찰(2025년 12월)이 계속되는지다. 둘째, 인프라·운영 침해의 비중이 계속 높게 유지되는지다. 그렇다면 방어의 초점은 코드 점검보다 열쇠 관리와 내부자를 노린 속임수 대응으로 옮겨가야 한다. 셋째, 하반기 집계에서 아주 큰 단일 사건이 다시 나오는지다.

개인 이용자가 이 통계만으로 "어느 서비스가 더 안전한가"를 고르기는 어렵다. 거래소마다 콜드월렛(인터넷과 끊어 둔 지갑) 비중을 견줄 수 있는 공개 자료가 없기 때문이다. TRM이 상반기 보고서에서 권한 것은 세 가지다. 하드웨어로 하는 서명, 튼튼한 열쇠 관리, 그리고 큰 금액을 옮길 때 여러 사람이 함께 승인하기다. 코드 점검보다 실제로 돈을 지키는 통제에 무게를 두라는 뜻이다. 이는 개인이 고를 수 있는 항목이 아니라 서비스가 갖춰야 할 항목이다. 이 글은 특정 서비스나 자산에 대한 투자 판단을 권하지 않는다.

이 글이 확인하지 못한 것

• Blockaid 원문 보고서 — 55%·74% 숫자는 VOA 보도를 통해 확인했다. Blockaid가 직접 낸 보고서 원문은 열지 못했다. 총액이 '약 11억 달러'인지 10억 7000만 달러대인지도 원문과 맞춰 봐야 한다.
• TRM이 4월 기준 비중을 고친 이유 — 4월 30일 자료의 76%가 7월 1일 자료에서 71%로 바뀐 이유(집계 수정인지, 나누는 기준이 달라진 것인지)를 밝힌 설명을 찾지 못했다.
• 2025년 1년치 확정 숫자 — TRM은 "15억 달러 이상"이라는 하한만 밝혔다. 다른 기관이 낸 20억 달러대 추정치는 이번 정정에서 기관이 직접 낸 자료로 확인하지 못해 본문에서 뺐다.
• 업비트 2025년 사건의 세부 — 털린 자산 종류 수와 옮겨진 외부 주소 수는 이번 검토에서 기관이 직접 낸 자료로 확인하지 못해 본문에서 뺐다.
• OFAC 제재와 관련된 누적 세탁 규모 — 제재 공고 원문을 확인하지 못해 본문에서 뺐다.

이 글은 위 '출처'의 자료를 바탕으로 nuloq가 AI 도구의 도움을 받아 정리했습니다. 2026년 9월 11일 정정 때 직접 열어 읽은 자료는 TRM Labs의 2026년 7월 1일 상반기 보고서, 2026년 4월 30일 자료, 2025년 12월 18일 장기 추세 자료와 미국 재무부 2022년 5월 6일 발표문입니다. Blockaid 원문 보고서는 열지 못해 관련 숫자는 모두 VOA 보도가 전한 값으로 적었습니다. 2026년 9월 11일 추가 정정에서는 TRM의 7월 1일 상반기 보고서와 12월 18일 자료를 다시 열어, 2025년 상반기 약 17억 달러와 '27억 달러를 넘었고'·'절반을 훨씬 넘는'·권고 세 항목을 원문에서 확인했습니다. 누가 했는지에 대한 분석은 조사기관의 판단이고 법원이 확정한 것이 아닙니다. 집계 숫자는 기관과 집계 시점에 따라 달라집니다. 투자 판단의 근거가 아니라 정보 전달이 목적이며, 잘못된 내용이 확인되면 고치겠습니다.