北, 업비트서 580억원 이더리움 탈취…“비트코인 전환 세탁”

해킹조직 라자루스·안다리엘 공격
‘헐한일’ 어휘 사용 흔적 발견
해외거래소 협조 안돼 추적 어려워

경찰청 국가수사본부는 북한이 2019년 11일 가상자산 거래소 업비트가 보관 중이던 이더리움 34만2000개 탈취한 것으로 확인했다고 21일 밝혔다. 이는 피해 당시 시세로는 약 580억원, 현재 시세 약 1조4700억원 상당이다.

북한 소행 가상자산 탈취사건. 경찰청 제공

북한 정찰총국 산하 해킹조직 라자루스·안다리엘는 탈취한 가상자산의 57%를 자신들이 만든 가상자산 교환사이트 3개를 통해 시세보다 2.5% 싼 가격에 비트코인으로 바꿨다. 나머지는 해외 51개 거래소로 분산 전송 후 세탁했다. 정보통신기기상 기록에는 ‘헐한일(중요하지 않은 일)’이라는 북한 어휘가 사용된 흔적이 발견됐다.

경찰은 수사 과정에서 피해 가상자산 중 일부가 비트코인으로 바뀌어 스위스에 있는 가상자산 거래소에 보관된 사실을 알아냈다. 스위스 검찰에 해당 가상자산이 한국 거래소가 탈취당한 것의 일부라는 점을 증명하고, 수차례에 걸친 화상·전화 회의, 스위스 연방검찰청사 방문 등 피해자산 환수를 위한 노력을 기울였다. 대한민국 검찰청 및 법무부와 협력해 양국 간 형사사법공조를 4년 가까이 진행한 끝에 해당 거래소로부터 지난달 4.8비트코인(현재 시세 약 6억원 상당)을 환수해 업비트에 돌려줬다.

북한이 만든 가상자산 교환사이트. 경찰청 제공

북한이 가상자산 거래소에 대한 사이버 공격으로 탈취한 가상자산을 핵·미사일 개발에 사용한다는 국제연합(UN)의 보고서, 외국 정부의 발표 등은 여러 차례 있었다. 그러나 가상자산 거래소를 대상으로 한 사이버 공격이 북한의 소행임을 밝힌 것은 이번이 국내 첫 번째 사례다. 경찰은 가상자산 거래소에 대한 공격 수법을 국정원 국가사이버위기관리단, 금융감독원, 금융보안원, 한국인터넷진흥원, 군 및 가상자산 거래소 관계자들에게 공유했다.

경찰 관계자는 “가상자산을 전문적으로 섞어주는 업체가 있고, 해외거래소에서 협조를 안하겠다고 하면 강제할 수 있는 방법이 없다”며 "현재는 저희가 더 이상 추적을 못 하도록 바뀌었고 추적이 끊겼다”고 설명했다.