북한이 지난 10월 29일 세계 최대 가상자산거래소 ‘바이낸스’에서 68억 달러 상당의 암호화폐를 탈취한 배후로 지목된 가운데 미 연방수사국에서 북한의 불법 금융과 제재 회피 네트워크를 조사했던 닉 칼슨(Nick Carlsen) TRM 랩스 선임 분석관은 2일 RFA에 “이번 해킹 사건의 배후가 북한이라는 데 의심이 여지가 없다”고 밝혔다.
암호화폐 추적∙블록체인 정보업체인 TRM 랩스(TRM Labs)에서 북한의 암호화폐 자금세탁을 추적하고 분석하는 칼슨 선임 분석관은 “해킹 당일 이미 파악하고 있던 북한의 활동과 실제 탈취 사건 사이에서 직접적인 연관성을 확인할 수 있었다”며 이같이 말했다.
“북, 암호화폐 탈취∙자금 세탁에 중국 범죄 조직 의존”
칼슨 선임 분석관은 지금까지 북한이 탈취한 가상자산은 미화로 최소 120억 달러가 넘고, 올해에만 70억 달러가 넘는다며, 중국의 자금세탁 범죄 조직에 비싼 수수료를 내고 훔친 자산을 현금화할 것으로 내다봤다. 해킹 당시 30억 달러는 즉각 동결됐지만, 그렇지 않은 자금 대부분은 실제 사용할 수 있는 자산으로 바꿀 수 있다는 것이다.
그는 직접적인 증거는 없지만, 최근 북한의 해킹 공격이 매우 복잡해지고 정교해진 점을 고려하면, 인공지능(AI)이 활용됐을 가능성도 있다고 덧붙였다.
칼슨 선임 분석관은 현재 추적 중인 수천 건의 거래와 암호화폐 주소, 해킹 이후 자금이 이동한 경로를 보면, 중국 측 협력자들의 활동이 두드러지기 때문에 이는 중국 정부에도 책임이 있다고 강조했다. 하지만 중국 외교부의 마오닝 대변인은 2일, 바이낸스 해킹 사건의 배후로 북한이 지목된 것과 관련해 “우리는 관련 상황을 알지 못한다”고 답했다.
또 칼슨 선임 분석관은 국가 차원에서 범죄를 저지르는 북한 해커들은 매우 유능하기 때문에 똑같은 방식으로 맞대응하기보다, 이들이 이용하는 북한 금융기관의 활동을 제재하고 교란하는 것이 더 효과적이라고 덧붙였다.
[기자] 북한이 지난 10월 29일 세계 최대 가상자산거래소 ‘바이낸스’에서 68억 달러 상당의 암호화폐를 탈취한 것으로 알려졌다. 북한이 이번 해킹 사건의 배후라고 생각하는가?
[닉 칼슨] 그렇다. 북한이 이번 공격을 저질렀다는 데 의심의 여지가 없다.
[기자] 그렇게 판단하는 이유와 배경을 설명해 줄 수 있나?
[닉 칼슨] 물론이다. 기술적인 세부 사항에 대해서는 언급하지 않겠다. 북한이 앞으로 자신들의 활동이 추적되는 것을 피하는 방법을 알려주고 싶지 않기 때문이다. 다만, 블록체인상에는 우리가 추적할 수 있는 몇 가지 활동 흔적과 정보 조각들이 있다. 우리는 이를 활용해 북한의 활동을 추적하고, 관련 움직임을 면밀히 살펴보고 있다.
이번 해킹이 발생한 당일, 우리가 이미 파악하고 있던 북한의 활동과 실제 탈취 사건 사이에서 직접적인 연관성을 확인할 수 있었다. 따라서 우리는 이번 공격이 북한의 ‘라자루스 그룹’(Lazarus Group) 내 특정 트레이더 하위 조직의 소행이라고 매우 확신하고 있다.
“북, 사이버 해킹에 인공지능(AI) 활용 가능성”
[기자] 보도에 따르면 북한이 이번 해킹에서 단 20분 만에 68억 달러를 탈취했다고 한다. 그동안 미국을 비롯한 국제사회가 북한의 사이버 해킹 공격을 막기 위해 노력해 왔는데, 주요 암호화폐 거래소를 겨냥한 북한의 공격 수법과 역량이 어떻게 발전해 왔다고 평가하나?
[닉 칼슨] 북한의 사이버 위협과 공격은 다른 국가나 다른 사이버 범죄 조직과 달리 매우 독특하다. 다른 어떤 국가도 북한과 같은 방식으로 행동하지 않는다. 중국도, 러시아도, 심지어 이란도 그렇지 않다. 북한은 사실상 국가 차원에서 범죄를 저지른다고 할 수 있는데, 공격적인 사이버 역량을 순전히 범죄 목적으로 활용한다. 다른 국가는 대부분 정보 수집이나 사이버 교란 공격에 역량과 노력을 집중하지만, 북한은 경제적 이익을 얻기 위해 사이버 공격을 수행하는 것이다. 따라서 북한을 다른 국가나 일반적인 사이버 범죄 조직과 동일 선상에서 비교하는 것은 적절치 않다고 생각한다.
또 북한의 해킹 공격은 국가의 일원으로서 활동하기 때문에 다른 범죄 조직과 다른 독특한 이점을 갖고 있다. 다른 누구보다 훨씬 더 위험하고 도발적인 행동을 감행할 의지가 있다는 거다. 예를 들어 일반적인 사이버 범죄자는 돈을 벌어 부유한 곳에서 좋은 자동차와 집을 소유하며 편안하게 사는 것을 원하지만, 북한의 사이버 범죄자들은 그렇지 않다. 이들은 국가 소속 직원들로서 정부의 지시에 따라 공격을 수행하고, 자국 내에서 안전하게 활동한다. 체포되거나 다른 국가로 송환될 가능성도 없다. 이러한 조건 때문에 북한 해커들은 다른 어떤 조직도 감당하기 어려울 만큼 위험한 행동을 자유롭게 할 수 있는 것이다.
[기자] 북한이 올해 또는 지금까지 전체적으로 얼마나 많은 암호화폐를 탈취한 것으로 파악하고 있나?
[닉 칼슨] 최소한으로 잡더라도 약 120억 달러 정도다. 올해에만 70억 달러가 넘는다. 정말 엄청난 규모다. 이전에도 암호화폐 해킹뿐 아니라 일반 은행과 금융기관을 대상으로 상당한 금액을 탈취했다.
[기자] 암호화폐 거래소를 겨냥한 북한의 사이버 공격에 대해 국제사회가 우려해 온 것으로 알고 있다. 당연히 궁금한 것은, 북한의 사이버 공격을 예방하거나 방어하는 것이 가능한가?
[닉 칼슨] 암호화폐 거래소들이 추가적인 보안 통제 장치를 도입할 수 있다. 주목할 점은 지금까지 미국의 주요 암호화폐 거래소들은 북한의 공격에 성공적으로 뚫린 적이 없다는 거다. 이는 이들 거래소가 사이버 공격에 얼마나 많은 노력을 기울이고 있는지를 보여준다.
하지만 근본적으로 이 문제는 18세기의 바르바리 해적(Barbary pirates) 위협과 매우 유사하다고 생각한다. 해적 국가가 상업 활동을 공격하는 상황과 같다는 거다. 나는 방어하는 측에 모든 책임을 전가하는 것은 잘못됐다고 생각한다. 북한이 대가를 치르기 위한 공세적인 대응이 필요하며, 미국과 한국 정부가 북한에 대가를 지불하기 위한 적극적이고 공격적인 조치를 취해야 한다. 이 문제의 모든 부담을 방어하는 측에 떠넘기는 것은 잘못된 접근이다. 대부분의 피해 기업은 일반적인 사업체이지, 전문적인 사이버 보안 조직이 아니기 때문이다.
[기자] 북한에는 ‘어떤 정책이 있으면, 그것을 우회하는 또 다른 대책이 있다’는 말이 있다. 그만큼 국제사회가 북한의 사이버 해킹 공격을 방어하기 위해 다양한 기술적 조처를 한다 해도, 북한은 이러한 방어 체계를 뚫기 위한 공격 기술을 계속 발전시키고 있는 것 아닌가?
[닉 칼슨] 이것은 일종의 쫓고 쫓기는 게임이다. 방어하는 측이 새로운 기술을 개발할 때마다 북한은 이를 무력화할 새로운 공격 기술을 찾아낸다. 이는 서로 진화하는 환경이라고 할 수 있다. 현재 사이버 보안 환경에서는 일반적으로 공격이 방어보다 훨씬 유리한 위치에 있다. 특히 인공지능(AI)이 등장하면서 불과 몇 년 전만 해도 불가능했던 일들을 가능하게 해주고 있다. 따라서 다시 한번 강조하지만, 이 문제에서 유일한 효과적인 방어는 공세적인 대응이고, 현재의 교착 상태를 깨기 위한 공격적인 조치가 필요하다.
[기자] 최근 인공지능 기술도 크게 발전했는데, 북한도 사이버 해킹 공격에 인공지능 기술을 활용하고 있다고 보나?
[닉 칼슨] 현재로서 이번 바이낸스 해킹에 인공지능이 사용됐다고 말할 수 있는 직접적인 증거는 없다. 하지만 최근 북한의 해킹이 점점 더 정교해지는 점을 고려하면, 인공지능이 그 배경일 가능성은 충분히 있다고 생각한다. 최근 북한의 해킹은 상당히 복잡해졌다. 일부 공격이 어떤 방식으로 실행됐는지 아직도 이해하지 못할 정도다. 이번 해킹 역시 여전히 많은 부분이 미스터리로 남아 있다. 따라서 인공지능이 활용됐을 가능성은 충분하지만, 구체적인 증거는 없다.
“중국인 피해자도 속출… 북 해킹은 중국 정부에도 책임”
[기자] 북한이 지금까지 최소 120억 달러가량을 훔쳤다고 했는데, 북한이 탈취한 암호화폐를 현금화하는 데 어려움을 겪고 있다고 들었다. 북한이 훔친 암호화폐를 어떻게 세탁하고, 어떻게 사용 가능한 자금으로 전환하는지 궁금하다.
[닉 칼슨] 북한은 이를 위해 거의 전적으로 중국의 범죄 조직 세력에 의존한다. 이들은 전문적인 중국의 자금세탁 업자들과 매우 긴밀히 협력한다. 우리는 이러한 자금세탁 조직들이 동남아시아의 중국 범죄 조직, 이른바 돼지도살형 사기(pig butchering: 피해자의 신뢰를 얻어 투자금을 가로채는 신종 금융 사기 수법), 그리고 멕시코의 마약 카르텔과 같은 다른 국가 안보 위협 세력과도 연결돼 있다는 사실을 확인하고 있다. 이러한 위협 세력들은 불법적으로 획득한 자금과 자산을 실제 사용할 수 있는 돈으로 바꾸기 위해 기본적으로 중국의 비밀 금융 범죄 네트워크를 활용한다.
이번 해킹 사건을 살펴볼 때 중요한 점이 있다. 현재 사람들이 추적하고 있는 수천 건의 거래와 수많은 암호화폐 주소, 즉 해킹 이후 자금이 이동한 경로를 보면, 그 대부분은 북한 측의 활동이 아니다. 중국 측 협력자들의 활동이기 때문에 이 문제 역시 중국 정부에 책임이 있다. 현재 중국에서는 범죄자들이 수십억 달러 상당의 불법 상품과 자금을 자유롭게 이동할 수 있는, 사실상 무법천지와 같은 환경이 형성돼 있다. 중국 정부가 이를 통제할 능력이 없다는 주장은 설득력이 없다. 중국 정부가 원한다면 충분히 이를 단속할 수 있다.
[기자] 중국 정부도 북한의 사이버 해킹 공격에 대응하기 위해 국제사회와 협력하고 함께 노력해야 하는데, 실제 아무런 협력도 하지 않고 있나?
[닉 칼슨] 이번 해킹 사건의 피해자가 중국계 기업이라는 점을 살펴볼 필요가 있다. 피해를 입은 회사는 중국인이 소유한 기업이며, 전직 CEO와 현직 CEO도 중국계다. 어쩌면 북한이 이번 공격에서 실수했을 수도 있고, 중국이 이번 문제를 좀 더 심각하게 받아들일 수도 있겠지만, 아직 중국이 그렇게 행동하고 있다는 증거는 보지 못했다.
또 중국이 아무런 조처를 하지 않고 있다는 사실은 상당히 많은 것을 시사한다. 몇 년 전에도 북한은 중국 사업가가 소유한 두 개의 다른 암호화폐 거래소를 공격했다. ‘폴로닉스’(Poloniex)와 ‘HDX’ 또는 ‘코비’(Kobi)와 관련된 거래소들이었다. 당시 나는 중국 정부가 이 문제를 심각하게 받아들일 수도 있겠다고 생각했지만, 그때도 중국 정부는 의미 있는 조치를 취하지 않았다.
“북한 해커 직접 대응보다 금융기관 제재∙교란이 더 효과적”
[기자] 북한이 이번 ‘바이낸스’ 해킹으로 탈취한 암호화폐를 현금으로 바꿀 수 있나?
[닉 칼슨] 중요한 점은 약 30억 달러가 즉시 동결됐다는 사실이다. 따라서 북한이 전체 금액을 가져간 것은 아니다. 하지만 동결되지 않고 남아 있는 자금의 경우, 북한은 그 대부분을 결국 실제 사용할 수 있는 자산으로 전환할 것으로 생각한다.
[기자] 그렇다면 나머지 자금도 동결할 수 있나?
[칼 닉슨] 그건 아니다. 거의 불가능하다. 북한은 탈취한 암호화폐의 약 절반을 세탁하게 될 것이고 결국, 그 대부분을 중국 위안화나 미국 달러화로 전환할 수 있을 거다. 쉬운 과정이 아니고, 시간이 오래 걸리지만, 이를 가능하게 해주는 중국 측 협력자들에게 상당한 수수료를 지불해야 할 거다. 그럼에도 결국, 북한은 이 자금의 대부분을 확보하게 될 거다.
[기자] 이번에 탈취한 암호화폐를 현금으로 바꾸는 데도 상당한 시간이 걸릴까?
[닉 칼슨] 그렇다. 몇 달은 걸릴 거다. 즉각적으로 이뤄지는 과정은 아니다.
[기자] 그래도 이번 북한의 해킹 공격에 신속하게 대응했다고 들었다. 앞으로 유사한 해킹 공격을 예방 또는 방어하기 위해서 어떤 추가 조치가 필요하다고 보는가. 또 미국 정부를 비롯한 국제사회가 북한 해커들이 탈취한 암호화폐를 추적하고 동결하거나 회수하기 위해 어떤 조치를 취할 수 있을까?
[전문가] 자금세탁 과정에서 수많은 거래가 이뤄지고, 여러 서비스와 플랫폼을 거치게 된다. 이들 서비스 중 일부는 거래를 동결할 수 있다. 따라서 미 연방수사국과 한국 정부가 직면한 과제는, 북한의 움직임을 계속 추적하면서 최대한 뒤처지지 않는 것이다. 자금이 특정 서비스나 플랫폼을 통해 이동할 때마다 해당 기관에 신속하게 알리고, 거래를 동결해야 한다. 그렇게 하면 일부 자금은 동결할 수 있다. 하지만, 이 과정에서도 여전히 공격하는 측이 유리하다. 얼마나 많은 자금이 동결될지는 정확히 알 수 없지만, 전체 금액 중 극히 일부에 그칠 것으로 본다.
그렇다면 무엇을 더할 수 있을까? 앞서 언급한 문제로 다시 돌아가면, 이런 격언이 있다. ‘그들이 있는 곳을 공격하지 말고, 그들이 없는 곳을 공격하라 (Don’t hit them where they are; hit them where they ain’t)’라는 말인데 즉, 북한 해커들을 똑같은 방식으로 맞대응해 무력화할 필요는 없다. 북한 해커들은 매우 유능하고 자신들이 하는 일에 능숙하기 때문이다. 하지만 북한 정부에는 다른 금융상의 취약점이 있다. 지난 몇 년간의 수사와 기소 사례를 살펴보면 결국, 이 자금은 북한의 은행들을 통해 통제되고 사용된다. 대표적으로 ‘대외무역은행’과 ‘조선광선은행’ 등이 있다. 따라서 북한의 해커 조직을 직접 제압하지 않고도, 이러한 북한 금융기관의 활동을 교란하는 데 더 많은 조처를 할 수 있다고 본다.
[기자] 북한은 무역이나 다른 경제 활동보다 사이버 공격을 통해 돈을 버는 데 집중하는 것 같다. 앞으로도 북한은 암호화폐 해킹 역량을 계속 발전하려 할 것 같은데, 어떻게 전망하나?
[닉 칼슨] 미국이나 유엔이 어떤 조치를 취해도 북한이 이러한(해킹) 활동을 통해 이익을 얻는 것을 막을 방법은 사실상 거의 없다. 북한이 탈취한 자금의 80%를 동결한다 해도 여전히 북한에는 엄청나게 수익성이 높은 사업이다. 10년 전을 보면, 당시 북한이 돈을 어떻게 벌었나. 석탄과 철, 금과 같은 자원을 수출해 돈을 벌었고, 이를 위해 수만 명에서 수십만 명의 사람들이 일해야 했다. 실제 광물을 생산하고, 수출하고, 선적해야 했는데, 이렇게 수출로 얻는 총수입이 북한의 사이버 해킹으로 벌어들이는 돈보다 적다. 북한의 해킹 활동은 불과 수백 명의 해커들이 수행하고 있을 수도 있는데, 북한에 이만큼 수익성이 높은 사업은 없다. 다른 어떤 경제 활동도 이러한 수익성을 따라갈 수 없을 것이다.
