북한, 올 상반기 전 세계 코인 해킹 손실 3분의 2 가져갔다 — 6억 달러의 행방

세계에서 가장 효과적인 국가 배후 해킹조직은 여전히 북한이다 — 올 상반기 숫자가 그 증거다.

무슨 일인가

샌프란시스코의 블록체인 분석업체 TRM랩스가 최근 내놓은 보고서에 따르면, 북한과 연계된 해킹조직이 2026년 상반기(1~6월) 전 세계에서 발생한 가상자산 해킹 피해액 약 11억 달러 가운데 6억 4300만 달러를 가져갔다. 전체의 55~66% 수준으로, 첫 4개월만 떼어 보면 비중이 76%까지 올라간다는 분석도 있다.

• 4월 1일, 솔라나 기반 탈중앙화 선물거래소 드리프트(Drift)에서 2억 8500만 달러 규모 가상자산이 빠져나갔다.
• 같은 달 말, 이더리움 기반 담보대출 프로토콜 켈프DAO(KelpDAO)에서 2억 9200만 달러가 추가로 탈취됐다.
• 두 건의 공격이 북한 몫 6억 4300만 달러의 약 90%를 차지한다 — 다수의 소규모 해킹이 아니라 소수의 대형 공격에 집중된 구조다.
• 공격 방식 전체를 보면 개인키 탈취가 7억 8900만 달러로 전체 해킹 피해의 74%를 차지해, 코드 취약점보다 키 관리·내부 직원을 노리는 사회공학 공격이 주력이 됐다.

북한 정찰총국 산하로 알려진 해킹조직 라자루스(Lazarus)와 그 하위 조직 트레이더트레이터(TraderTraitor)가 이번 공격의 배후로 지목된다. 북한은 TRM랩스의 이 같은 귀속 분석을 공개적으로 부인하고 있다.

왜 이 돈이 중요한가 — 배경

TRM랩스와 미 재무부 등은 북한이 탈취한 가상자산 상당 부분이 핵·미사일 프로그램 자금으로 흘러간다고 평가해 왔다. 국제사회의 대북 제재로 정상적인 외화 조달이 막힌 상황에서, 가상자산 해킹이 사실상 우회 자금줄 역할을 한다는 것이다. 미 재무부 해외자산통제국(OFAC)은 지난해 북한의 사이버 자금세탁 네트워크와 연루된 개인·법인을 제재 대상에 올리며, 이들이 30억 달러 이상을 해킹과 IT 인력 파견으로 세탁한 것으로 봤다.

규모의 흐름을 보면 이렇다. TRM랩스 집계로 북한은 2016년 이후 누적 67억 5000만 달러 상당의 디지털자산을 탈취했다. 2023년 3분기까지는 전 세계 피해액의 29.7%(3억 4040만 달러) 수준이었지만, 2025년 한 해에는 20억 6000만 달러로 전 세계 피해액의 약 60%까지 비중이 커졌다. 특히 2025년 2월 가상자산 거래소 바이비트(Bybit)에서 벌어진 약 15억 달러 규모 해킹은 업계 역사상 최대 단일 해킹 사건으로 남아 있다.

한국도 예외가 아니다. 국내 최대 거래소 업비트는 2019년 이더리움 580억원어치를 라자루스에 빼앗긴 데 이어, 2025년 11월 27일에도 솔라나 등 24종 가상자산 445억원어치가 165개의 외부 주소로 빠져나가는 공격을 당했다. 두 사건 모두 정부와 보안업계는 배후로 라자루스를 지목했다.

숫자로 보기

2026년 상반기 피해액만 떼어 보면 지난해 같은 기간보다 오히려 줄었다.

액수가 준 이유는 절대적인 공격 건수가 줄어서가 아니라, 2025년 바이비트 15억 달러처럼 유난히 큰 단일 사건이 없었기 때문이라는 분석이 많다. 반면 전 세계 피해액에서 북한이 차지하는 비중은 여전히 압도적이다.

쟁점 — 위협은 줄었나, 더 정교해졌나

TRM랩스를 비롯한 보안 업계는 액수 감소를 "위협이 줄었다는 신호로 읽어서는 안 된다"고 강조한다. 오히려 공격의 정밀도가 올라갔다는 근거가 여럿이다. 피해의 74%가 코드 결함이 아니라 개인키 탈취·사회공학 공격에서 나왔고, 드리프트·켈프DAO 공격처럼 정찰 단계에서 인공지능(AI) 도구를 활용한 정황도 포착되고 있다. 무작위로 여러 표적을 두드리던 과거 방식에서, 소수의 표적을 정밀 타격하는 방식으로 진화했다는 평가다.

반대로 액수 감소를 제재·보안 강화의 성과로 보는 시각도 있다. 거래소들이 콜드월렛 비중을 늘리고 다중서명 체계를 도입하면서 대형 거래소를 직접 뚫기가 예전보다 어려워졌고, 그 결과 공격 대상이 상대적으로 보안이 약한 디파이(DeFi) 프로토콜로 옮겨갔다는 것이다. 북한은 TRM랩스의 귀속 분석 자체를 부인하고 있어, 국제사회의 대응이 정확한 위협 평가에 근거하고 있는지에 대한 논쟁도 계속된다.

앞으로 — 무엇을 지켜봐야 하나

세 가지를 지켜볼 만하다. 첫째, 공격 대상이 중앙화 거래소에서 디파이 프로토콜로, 다시 어디로 옮겨가는지다. 보안이 상대적으로 허술한 새 영역이 다음 표적이 될 가능성이 크다. 둘째, 정찰·사회공학 단계에서 AI 활용이 실제로 얼마나 늘고 있는지 — 이는 앞으로 탐지·방어 전략 자체를 바꿔야 할 신호다. 셋째, 미국 등의 추가 제재와 국제 공조가 실제 탈취·세탁 규모를 얼마나 낮추는지다.

한국 입장에서는 업비트가 두 차례나 표적이 됐다는 사실 자체가 경고다. 국내 거래소·디파이 서비스 이용자라면 다중인증과 콜드월렛 보관 비중이 높은 서비스를 우선하고, 대형 입출금 시 거래소의 이상거래 알림에 유의할 필요가 있다. 정부·업계 차원에서는 개인키 관리와 내부자 대상 사회공학 공격에 대한 대응이 다음 방어선의 핵심이 될 것으로 보인다.

이 글은 위 '출처'에 실린 TRM랩스 보고서와 국내외 공개 보도를 근거로 nuloq가 직접 분석해 정리했으며, AI 도구의 도움을 받아 작성했습니다. 특정 투자 판단의 근거가 아니라 정보 제공이 목적이고, 보고서 수치는 조사기관·집계 시점에 따라 달라질 수 있습니다. 오류가 확인되면 정정합니다.