들어가며
북한이 세계에서 가장 활발하게 가상화폐를 비롯해서 한국, 일본을 가리지 않고 돈이 되는 해킹과 사회 혼란을 위해 해킹 작전을 펼치는 것으로 악명 높은 것은 주지의 사실이다. 그런데 그 '창'이 정작 주인을 찌른 사건이 발생했다. 북한 정권이 직접 훈련시킨 정예 해커들이 자국 중앙은행과 대외무역은행을 해킹해 자금을 빼돌렸고, 북한 당국이 이들을 체포했다는 보도가 나왔다. 세계 사이버 안보 지형에 큰 충격을 던진 이 사건의 전말을 짚어본다.
1. 사건의 개요 - 누가, 무엇을, 어떻게 했나?
2026년 7월 12일, 북한 평양의 한 은신처에서 국가정보국 요원들이 긴급 체포 작전을 펼쳤다. 그 현장에서 검거된 이들은 다름 아닌 북한 정권이 직접 양성한 정예 해커 집단이었다.
남한 매체 '데일리 NK(Daily NK)'가 평양 내 익명 소식통을 인용해 보도한 바에 따르면, 이들은 북한 중앙은행(조선민주주의인민공화국 중앙은행)과 대외무역은행의 내부 네트워크에 침투했다고 한다. 이 두 기관은 각각 국가 자금의 발행·관리와 대외 외환·무역 결제를 담당하는 북한 금융 시스템의 핵심이다.
이 해커 집단의 정체는 충격적이다. 조직의 핵심은 북한 군사 사이버 정보 부대 출신의 전직 군인들이었으며, 이들은 김책공업종합대학과 평양과학기술대학의 우수 IT 인력들을 포섭해 조직을 확장했다. 조사 결과 이들은 군사급 해킹 기술과 텔레그램 - 암호화 메신저, 중국산 무선 장비 등을 동원해 범행을 실행한 것으로 드러났다.
자금 세탁 경로 - 중국 브로커와 국경을 넘나든 현금
이들이 빼돌린 자금은 북한의 해외 암호화폐 지갑으로 이체된 뒤, 중국 브로커들을 통해 미국 달러와 위안화로 현금화됐다. 이후 신의주와 혜산 등 국경 도시의 연락책들을 통해 실시간으로 암호화폐를 현금으로 교환했고, 다시 국경을 넘어 북한으로 밀반입하는 방식으로 세탁이 이뤄졌다.
이들은 탐지를 피하기 위해 송금액을 소액으로 분할하고, 암호화된 메신저 앱과 미등록 휴대전화를 사용하는 등 정교한 수법을 구사했다.
2. 어떻게 발각되었나? - 미묘한 '불일치'의 흔적
이들의 치밀한 계획은 예상치 못한 곳에서 드러났다. 북한 당국은 외화 결제 승인 과정에서의 불일치와 의심스러운 해외 IP 접근 기록을 포착했다. 북한 역시 서방 세계를 비롯하여 다양한 해킹에 시달리고 있기 때문에 온라인의 데이터뿐 아니라 수기로 모든 데이터를 검증하는 감사 체계를 갖추고 있다. 북한 국가정보국은 내부 조사에 착수했고, 암호화폐 거래의 암호화된 트래픽을 추적해 평양의 한 은신처를 특정하는 데 성공했다. 체포 당시 현장에서는 수십만 달러 상당의 컴퓨터 장비와 가짜 신분으로 등록된 휴대전화들이 압수됐다.
사건 직후 북한 당국은 두 은행에 무장 경비를 배치하고 평양 전역에 무선 감청 차량을 투입하는 등 초비상 상태에 돌입했다.
3. 맥락과 의미 - '20억 달러'의 오해와 내부 붕괴의 징후
여기서 한 가지 짚고 넘어가야 할 점이 있다. 이 사건과 관련해 일부에서는 20억 달러 탈취 해커들라는 표현이 혼용되고 있으나, 이는 이번 단일 사건의 피해 규모가 아니다. 블록체인 분석 업체 체이널리시스(Chainalysis)에 따르면2025년 한 해 동안 북한 해커들이 전 세계에서 탈취한 암호화폐 총액이 20억 달러에 달하며, TRM 랩스는 2026년 4월까지 북한 연계 해커들이 전 세계 암호화폐 해킹 및 사기 피해액의 76%를 차지했다고 추정했다. 이번 사건의 정확한 탈취 규모는 아직 확인되지 않았다.
그럼에도 이번 사건이 갖는 상징성은 실로 크다. 그동안 북한의 해커들은 김수키, 라자루스 그룹을 비롯해 로닌 브리지(2022년 6억 2천만 달러), 하모니 브리지(2022년 1억 달러) 등 해외 표적만을 집중적으로 공격해왔다. 그런데 이번에는 정권이 직접 훈련시킨 정예 요원들이 자국의 금고를 털었다는 점에서, 북한 내부의 통제 시스템에 심각한 균열이 생겼음을 시사한다.
데일리 NK가 인용한 소식통의 말이 이를 잘 대변한다.
"그들은 국가를 지키기 위해 기술을 배웠지만, 국고를 약탈했다."
북한 당국이 이들에게 가혹한 형량을 내릴 것이라는 전망이 나오는 이유다.
4. 한계와 시사점 - 확인되지 않은 보도, 그러나 충분히 의미 있는 신호
이번 보도는 데일리 NK의 익명 소식통에 의존하고 있어 독립적으로 검증되지 않았다는 점을 분명히 해둘 필요가 있다. 북한의 정보 통제 상황을 고려할 때, 내부 소식의 확인은 항상 어려운 과제다. 다만, 7월 12일 경부터 일주일간 북한의 인터넷 사용이 부분적으로 막힌 점, 북한발 해킹 시도가 급감한 점으로 볼 때 유의미한 시그널로 보인다.
그러나 이 사건이 북한의 사이버 작전 능력과 내부 통제 체계에 대한 중요한 질문을 던진다는 점은 부인할 수 없다. 세계에서 가장 활동적인 국가 해킹 세력의 '아킬레스건'이 드러난 셈이다. '창'이 '주인'을 겨누기 시작했다면, 이는 북한 체제 내부의 균열이 어느 정도인지를 가늠할 수 있는 중요한 바로미터가 될 것이다.