5년 전 이더리움 580억원 탈취 사건…경찰 “북한 소행으로 확인”

국내 가상자산 거래소에서 이더리움을 탈취한 북한 해킹조직이 자체적으로 만든 이더리움-비트코인 교환사이트. 경찰청 국가수사본부 제공

5년 전 국내 가상자산 거래소 업비트에서 580억원 상당의 이더리움이 탈취된 사건이 북한 해킹조직 라자루스와 안다리엘의 소행이었다는 경찰 수사 결과가 나왔다.

경찰청 국가수사본부는 2019년 11월 업비트에서 이더리움 34만2000개가 탈취됐던 사건을 북한 소행으로 판단해 그중 일부를 스위스 가상자산 거래소에서 환수해 돌려줬다고 21일 밝혔다. 탈취된 자산의 당시 시세는 약 580억원이고, 현 시세는 1조4700억가량이다.

이날 경찰 설명을 들어보면, 당시 탈취된 이더리움은 특정 가상자산 지갑으로 한 번에 송금된 후 분산됐다. 그중 57%는 해킹조직이 만든 것으로 추정되는 3개의 가상자산 교환사이트를 통해 시세보다 싼 가격에(2.5% 할인) 비트코인으로 바뀌었고, 나머지 43%는 중국, 미국 홍콩 등 해외 13개 국가 51개 거래소로 분산 전송 후 세탁됐다. 경찰은 수사를 통해 확보한 북한의 아이피 주소와 가상자산의 흐름, 북한 어휘 사용 내용 등의 증거와 미국 연방수사국(FBI)과의 공조로 취득한 자료를 종합해 공격자가 북한 정찰총국 산하 해킹조직인 라자루스와 안다리엘이라는 결론을 내렸다. 경찰은 가상자산 흔적을 찾던 중 당시 공격자가 사용한 정보통신기계에서 ‘헐한 일(중요하지 않은 일)’ 등 북한 어휘가 사용된 것을 발견했다고 밝혔다.

피해 가상자산 중 일부는 업비트로 다시 돌아갔다. 경찰은 피해 가상자산 중 일부가 비트코인으로 바뀌어 스위스에 있는 가상자산 거래소에 보관된 사실을 확인한 후, 스위스 검찰에 해당 자산이 한국 거래소가 탈취당한 것의 일부라는 점을 증명하고 법무부, 검찰청과 협력해 지난 10월 해당 거래소에서 4.8비트코인(현 시세 약 6억원)을 환수해 업비트에 돌려줬다고 밝혔다. 다만 경찰은 “다른 국가의 가상자산 거래소는 회신이 없거나 협조를 받지 못했다”고 밝혔다.

북한이 가상자산 거래소에 대한 사이버 공격으로 탈취한 가상자산을 핵·미사일 개발에 사용한다는 유엔 보고서, 외국 정부의 발표 등은 여러 차례 있었으나 국내 수사기관에서 북한의 소행을 밝힌 것은 이번이 첫 사례다. 경찰은 “수사 과정에서 확인한 공격 수법은 국정원 국가사이버위기관리단, 금융감독원, 군 및 가상자산 거래소 관계자 등에게 공유했고, 향후 이와 유사한 범행을 탐지하거나 피해를 예방하는 데 활용토록 했다”고 말했다.

고나린 기자 me@hani.co.kr

▶▶핫뉴스, ‘한겨레 텔레그램 뉴스봇’과 함께!

▶▶권력에 타협하지 않는 언론, 한겨레 [후원하기]

▶▶한겨레 뉴스레터 모아보기