북한이 8조원을 탈취한 방법! [코너별 다시보기 - 1105]

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 결론

북한이 8조원을 탈취한 방법! [코너별 다시보기 - 1105]를 중심으로, 자료는 FBI가 북한 소행으로 발표한 사건으로, 바이낸스 지갑 17개에서 약 63.6억 달러, 약 8조 4천억 원이 유출됐다고 설를 핵심 판단 포인트로 압축 정리한다.

📌 핵심 요점

1. 자료는 FBI가 북한 소행으로 발표한 사건으로, 바이낸스 지갑 17개에서 약 63.6억 달러, 약 8조 4천억 원이 유출됐다고 설명한다. 대부분의 자산은 공격 초기 20분에 빠져나갔다고 한다.
2. 핵심은 자산 이동을 승인하는 권한이었다. 공격자가 만든 출금 요청이 검사 절차를 통과하고 거래소의 서명을 받자, 블록체인은 승인된 거래로 처리했다.
3. 침투는 악성 개발·AI 도구 설치에서 시작해 내부 정보 확보, 링크드인 채용 사칭, 악성 코딩 테스트로 이어졌다. 이후 여러 직원의 인증·서명·배포 권한으로 접근을 넓히는 측면 이동이 결합됐다.
4. 자료상 약 28억 달러는 동결됐고 약 36억 달러는 추적 중이다. 유출액은 당시 시세로 환산한 금액이므로 공격자가 현금으로 확보한 수익과 구분해야 한다.
5. 자산 회수 가능성은 자산의 관리 구조에 따라 달라진다. 발행사가 동결 기능을 가진 스테이블코인과 비트코인·이더리움은 대응 방식이 다르며, 동결된 자금도 반환 절차를 거쳐야 한다.

🧩 배경과 문제 정의

• 바이낸스에서 약 8조 4천억 원 규모의 가상자산이 유출됐으며, FBI는 북한 소행으로 발표했다.
• 블록체인 원장의 위변조를 막는 기술과 거래소의 자산 관리 보안은 구분해야 한다. 원장이 정상적으로 작동해도 거래소가 잘못된 출금을 승인하면 자산이 유출될 수 있다.
• 직원의 신뢰와 업무 권한을 악용한 침투 과정, 탈취 자산의 추적·동결 가능 여부가 피해 원인과 회수 전망을 가르는 핵심이다.

🕒 시간순 섹션별 상세정리

1. 북한 해킹은 국가 배후 조직의 공격이다

• FBI는 이번 대규모 가상자산 탈취를 북한 소행으로 발표했다 [00:21]
• 북한의 해킹 역량은 공격 대상에 따라 평가가 달라진다. 한국을 대상으로는 세계 최고 수준이라는 평가지만, 다른 국가를 대상으로 비교할 때는 러시아와 중국의 역량도 고려해야 한다 [04:58]

2. 약 8조 4천억 원이 유출된 사건의 규모

• 한국 시간 10월 30일 새벽 5시부터 바이낸스의 지갑 17개를 대상으로 약 4시간 동안 가상자산이 유출됐다. 피해 규모는 약 63.6억 달러, 원화로 약 8조 4천억 원이다 [06:24]
• 대부분의 자산은 공격 초기 20분에 빠져나갔으며, 공격이 완료된 것으로 판단하는 시점은 시작 후 약 4시간이다 [06:52]

3. 블록체인의 안전성은 거래 원장의 위변조 방지에 있다

• 블록체인이 안전하다는 설명은 거래 기록을 저장한 원장을 임의로 수정하거나 조작하기 어렵다는 뜻이다. 원장은 자산의 소유 관계와 보유 수량을 판단하는 기준이다 [09:19]
• 공개된 원장에는 실명 대신 주소가 기록된다. 주소 주인의 신원을 바로 알 수는 없어도 해당 주소의 자산 수량과 거래 내역은 확인할 수 있다 [10:15]

4. 가상자산 지갑은 돈보다 거래 권한을 담는다

• 튼튼한 금고도 열쇠 주인을 속이거나 열쇠를 빼앗고 복제하면 열 수 있다. 가상자산 탈취 역시 원장 자체보다 자산을 옮길 권한을 노린다 [11:34]
• 가상자산 지갑은 공인인증서에 비유할 수 있다. 지갑에 돈이 직접 들어 있는 것이 아니라, 거래에 필요한 암호키가 있으며 이 키로 자산의 소유 관계를 바꾼다 [12:00]

5. 거래소를 속여 잘못된 출금에 서명하게 했다

• 이번 공격은 바이낸스가 보유한 키로 잘못된 출금 요청에 서명하도록 유도하는 방식이었다 [12:54]
• 약 6개월간 준비한 것으로 알려진 공격자는 내부 시스템에 침투해 접근 권한을 확보했다. 출금 거래를 입출금 전표에 비유하면, 공격자가 전표를 작성하고 바이낸스가 도장을 찍도록 속인 셈이다 [13:15]

6. 거래 생성 시스템 장악과 검사 우회가 결합됐다

• 거래소의 출금 절차는 거래 요청을 만드는 시스템, 이상 여부를 검사하는 시스템, 최종 서명을 하는 시스템으로 나뉜다. 서명된 요청이 블록체인에 제출되면 거래가 실행된다 [14:51]
• 공격자는 거래 요청을 만드는 시스템에 접근해 출금 요청을 생성했다. 검사 시스템은 이 요청의 문제를 탐지했어야 했다 [15:18]

7. 탈취액 전체가 현금화된 것은 아니다

• 피해액은 유출된 가상자산을 당시 시세로 환산한 총액이며, 전부 현금화됐다는 뜻은 아니다 [16:11]
• 탈취 자산에는 이더리움뿐 아니라 비트코인, 테더·서클 관련 자산, XRP 등 여러 종류가 포함됐다 [16:23]

8. 6월의 악성 도구 배포로 내부 정보를 확보했다

• 첫 공격은 특정 직원을 바로 겨냥하기보다 불특정 다수에게 그물을 던지는 방식이었다. 6월에 바이낸스 직원이 걸려들면서 내부 정보를 확보할 기회가 생겼다 [18:16]
• 개발·AI 관련 도구를 내려받던 인증 업무 관련 직원이 악성 파일을 정상 프로그램으로 알고 설치했다 [19:13]

9. 9월에는 링크드인으로 직원을 골라 접근했다

• 감염된 PC가 교체되자 기존 침투 경로가 끊겼다. 공격자는 앞서 확보한 정보를 바탕으로 9월에 특정 직원을 겨냥한 두 번째 공격을 진행했다 [20:00]
• 링크드인은 개발자와 IT 종사자 등이 소속과 경력을 공개하고 구직·이직에 활용하는 SNS다. 이러한 공개 정보는 공격자가 표적을 찾는 데도 쓰일 수 있다 [20:34]

10. 연봉 두 배의 이직 제안과 코딩 테스트가 미끼였다

• 공격자는 링크드인 메시지로 개발자에게 접근해 다른 회사의 개발 책임자인 것처럼 행동하고, 현재 연봉의 두 배를 제안했다 [21:50]
• 가짜 프로필과 공개된 계정으로 신뢰를 쌓았으며, 처음부터 공격 파일을 보내지 않고 일정 기간 대화를 이어갔다 [22:14]

11. 내부 측면 이동으로 여러 직원의 권한을 연결했다

• 9월 공격으로 침투한 개발 관련 직원을 발판으로 AI 도구 이용을 악용했고, 6월에 한 번 감염됐던 직원에게 다시 접근했다. 공격자는 그 직원의 업무 권한을 이미 파악하고 있었다 [23:20]
• 공격은 인증·서명 관련 직원에서 끝나지 않고 배포 기능을 가진 다른 개발자에게도 이어졌다. 내부의 다른 대상과 권한으로 접근을 넓히는 과정이 측면 이동이다 [23:38]

12. 반복 이체의 AI 활용은 확인되지 않은 추정이다

• 이번 사건에서 AI 자체의 활용 여부까지 확인된 것은 아니다. 다만 AI 관련 도구를 이용해 내부로 공격을 확산했다는 내용은 공개된 상태다 [25:06]
• 공격자는 추적을 피하려고 약 25초마다 새 지갑을 만들어 자산을 자동 이체했다. 사람이 반복하기 어려운 속도라는 점에서 AI 활용 가능성을 추정하지만, 확인된 사실은 아니다 [25:28]

13. 동결 자금 반환에는 법원 명령과 재발행 절차가 필요하다

• 동결된 자금은 미국 법원의 판결·명령이 있어야 소각 후 재발행할 수 있으며, 그 과정을 거쳐 바이낸스로 돌아갈 것으로 예상된다 [26:37]
• 모든 가상자산을 동결할 수 있는 것은 아니다. 테더·서클 관련 스테이블코인처럼 동결 기능이 있는 자산과 그렇지 않은 자산을 구분해야 한다 [26:59]

14. 스테이블코인은 발행사가 있어 동결할 수 있다

• 스테이블코인은 비트코인·이더리움처럼 가격이 크게 움직이지 않도록 한 개의 가치를 약 1달러에 가깝게 유지하도록 만든 자산이다 [27:29]
• USDT는 테더가 발행하고, USDC는 서클이 발행한다. USDC의 C는 코인의 약자이며, 두 자산 모두 달러에 가까운 가치를 유지하는 구조다 [27:52]

15. 이더리움 위 토큰의 동결과 이더리움 자체의 동결은 다르다

• 이더리움은 프로그램을 실행하는 컴퓨터에 비유할 수 있다. 그 위에서 스테이블코인 등 가상자산을 관리하는 프로그램이 실행되며, 해당 프로그램에 동결 기능을 넣을 수 있다 [28:55]
• 이더리움 네트워크 자체가 직접 관리하는 코인은 그 위의 프로그램이 관리하는 토큰과 구분된다. 이더리움 자체 코인을 동결하려면 네트워크를 구성하는 여러 참여자의 동의가 필요하다 [29:29]

16. 이더리움은 여러 컴퓨터가 함께 운영하는 프로그램 실행 기반이다

• 이더리움은 토렌트처럼 여러 컴퓨터가 참여하는 방식으로 하나의 가상 컴퓨터를 구성한다. 그 위에서 다양한 프로그램이 실행되며, 누구나 코인을 관리하는 프로그램을 만들어 올릴 수 있다. [31:12]
• 코인 관리 프로그램마다 동결 기능의 유무가 다르다. 스테이블코인은 법적으로 동결 기능을 갖춰야 한다는 설명이다. [31:27]

17. 탈취 자산의 종류에 따라 동결과 추적 대응이 갈린다

• 이번에 유출된 자산에는 동결 가능한 코인과 불가능한 코인이 섞여 있었다. USD 테더와 USDC는 동결할 수 있어 유출 후 30분 만에 동결됐다는 설명이다. [33:49]
• 비트코인과 이더리움은 기술적으로 동결할 수 없어, 전 세계 분석 업체와 수사기관이 자금 이동을 모니터링하고 있다. [34:06]

18. 북한 소행 판단은 오랜 공격 기록과 현재 증거의 대조에 기반한다

• 이번 사건의 북한 연관성은 확신을 넘어 확정 단계에 가깝다는 판단이다. 추적의 배경에는 2009년 국내 청와대·포털·금융 사이트를 마비시킨 디도스 공격과 같은 과거 사례가 있다. [34:42]
• 보안 분석에는 공격에 쓰인 악성 프로그램과 웹사이트 데이터베이스 등을 거의 20년 가까이 축적한 기록을 활용한다. 범죄 현장의 지문이나 DNA를 대조하듯 과거 공격의 흔적을 비교하는 방식이다. [36:03]

19. 은행 해킹과 자금 세탁 경험이 가상자산 탈취로 이어졌다

• 탈취한 가상자산은 정권 통치 자금이나 미사일·핵실험에 필요한 자금으로 쓰려면 현금화가 필요하다. [37:19]
• 2016년 방글라데시 중앙은행 해킹에서는 8,100만 달러가 유출됐고, 자금이 필리핀 카지노 칩으로 바뀌었다. 이런 과정을 통해 자금 세탁과 현금화 경험을 쌓았다는 설명이다. [38:01]

20. 해외 활동 거점과 가족 통제가 해커 조직의 이탈을 막는다

• 북한 해커들은 주로 중국이나 러시아에 거점을 두고 활동하는 것으로 추정된다. 구체적인 활동 장소는 확정 사실이 아닌 추정으로 드러난다. [39:28]
• 해외 파견 인력을 감시하고 북한에 남은 가족과 계속 연락하게 하는 방식으로 이탈을 억제한다는 설명이다. 가족의 생활을 상기시키는 통제가 자진 탈북을 막는 수단으로 작용한다. [40:08]

21. 기술적 추적과 국제적인 책임 추궁 사이에는 제도적 한계가 있다

• 사이버 공격은 분석으로 행위자를 추정하더라도 법적·공식적으로 책임을 확정하는 데 어려움이 있다. 국제적으로 공격의 귀속을 결정하는 주체가 없어 소송 등 책임 추궁에도 한계가 있다는 설명이다. [41:07]
• 유엔 차원의 대응이 어렵더라도 미국은 독자적으로 범죄자를 찾아 기소한 사례가 있으며, 금융 제재 등도 가하고 있다. [41:27]

22. 금융기관의 주변 시스템 취약성과 보안 관리 필요성이 남는다

• 국내 여러 금융기관의 공격·해킹 보도가 이어지고 있으며, 금전적 피해 사례도 있는 것으로 안다는 설명이다. 다만 우려할 만큼 심각한 해킹은 아직 없다는 평가이며, 최근 공격의 배후로는 북한보다 중국을 의심하는 견해를 제시한다. [42:20]
• AI로 여러 금융기관의 취약점을 한꺼번에 조사하는 기술이 등장하면서 약점을 찾기가 쉬워지고 있다. 금융기관은 실제 돈을 다루는 핵심 시스템에 보안 투자를 집중하지만, 중개인과 정보를 교환하는 시스템이나 업무용 메신저에는 투자가 부족해 이번 공격도 주로 주변부에서 발생했다는 분석이다. [43:09]

🧾 결론

• 블록체인 원장의 위변조 방지와 거래소의 출금 승인 보안은 별개의 문제다. 정상적인 서명을 얻어낸 공격은 원장이 정상 작동하는 상황에서도 자산 유출을 일으킬 수 있다.
• 직원 한 명의 감염에 대한 대응과 함께, 유출된 정보가 다른 직원과 시스템의 권한으로 이어지는 경로까지 점검해야 한다.
• 피해 규모를 판단할 때는 유출액·동결액·실제 반환액·현금화 금액을 구분해야 한다. 동결 성공만으로 피해 회수가 완료됐다고 볼 수 없다.

📈 투자·시사 포인트

• 가상자산 보관 위험을 평가할 때 네트워크의 기술적 안전성과 함께 거래소의 요청 생성·검사·서명 절차를 살펴볼 필요가 있다.
• 스테이블코인의 발행사 통제 기능은 탈취 대응과 회수 가능성에 영향을 준다. 가격 안정성과 자산 통제 구조를 함께 이해해야 한다.
• 보안 관리 범위에는 핵심 금융 시스템뿐 아니라 개발 도구, 채용 과정, 업무용 메신저와 외부 협업 경로도 포함돼야 한다.
• 국가 배후 공격은 기술적 추적 이후에도 국제 공조와 법적 책임 추궁의 한계가 남는다. 회수 전망에는 기술과 제도 양쪽의 조건을 반영해야 한다.

⚠️ 불확실하거나 확인이 필요한 부분

• 거래소명, 발생일, 피해액, FBI 발표와 동결 규모는 제공 자료의 서술이다. 원문 공지나 수사기관 발표가 함께 제시되지 않았으므로 별도 확인이 필요하다.
• 약 25초마다 새 지갑으로 자동 이체했다는 설명만으로 AI 사용을 확정할 수 없다. 자료도 AI 도구를 통한 침투 확산과 반복 이체에 AI가 쓰였다는 추정을 구분한다.
• 약 28억 달러가 동결됐다는 설명은 반환 완료를 뜻하지 않는다. 법원 명령과 소각·재발행 절차, 실제 반환 여부를 확인해야 한다.
• 자막 기반 정리: 타임스탬프가 있는 자막을 기준으로 정리했으며, 고유명사·수치·인용은 원문 확인 필요 시 별도 검증한다.
• 영상 속 주장: 발표자의 해석·전망·비교는 확인된 외부 사실이 아니라 영상 속 주장으로 분리해 읽는다.
• 검증 필요: 수치, 기업 실적, 정책·시장 전망은 발행 전 최신 자료로 별도 검증이 필요하다.

✅ 액션 아이템

• 사건 수치와 북한 귀속 판단을 거래소 공식 공지 및 FBI 발표 원문과 대조한다.
• 외부 채용 담당자의 신원과 코딩 테스트 출처를 확인하고, 업무 권한이 있는 환경에서 출처 불명의 도구를 실행하는 관행을 점검한다.
• 출금 요청 생성·검사·최종 서명 단계의 권한 분리와 비정상 요청 탐지 절차를 확인한다.
• 감염 기기 교체 이후에도 유출된 직원 정보와 내부 접근 권한을 통한 재침투 가능성을 점검한다.

❓ 열린 질문

• 검사 시스템이 놓친 출금 요청의 구체적인 특징은 무엇이며, 최종 서명 단계에서 이를 걸러낼 검증 장치는 어떻게 작동했는가?
• 동결됐다는 자금 가운데 실제 반환이 완료된 금액은 얼마이며, 추적 중인 자산의 현금화는 얼마나 차단됐는가?
• 북한 귀속 판단에 활용된 악성코드·지갑 주소·사칭 계정의 연결 증거는 어느 범위까지 공개됐는가?