"北 가상자산 범죄 차단, 단절된 정보 연결이 해법"

북한의 가상자산 범죄를 막으려면 코인을 훔치는 순간보다 훔친 코인을 법정화폐로 바꾸는 과정을 추적해야 한다는 주장이 나왔다.

영국 왕립합동군사연구소(RUSI) 금융안보센터의 앨리슨 오웬, 노에미 탐베 연구원은 최근 보고서 '북한의 암호화폐-법정화폐 활동(North Korean Crypto-to-Fiat Activity)'에서 "북한의 가상자산 범죄는 블록체인 해킹을 추적하는 것만으로는 충분하지 않다"며 "가상자산 거래소와 장외거래상, 자금세탁 조직, 차명계좌, 은행이 연결되는 '가상자산과 전통 금융의 접점'을 들여다봐야 북한의 사이버 범죄를 효과적으로 차단할 수 있다"고 주장했다.

보고서는 먼저 최근 북한의 가상자산 범죄가 북한과 제3자 자금세탁 조직의 활동을 명확히 구분하기 어려운 형태로 진화했다고 평가했다. 북한은 2024년 1월부터 2025년 9월까지 최소 28억 달러(약 4조 원) 규모의 가상자산을 탈취한 것으로 추정된다. 저자들은 다수의 가상자산 기업과 블록체인 분석업체의 조사 자료 등을 토대로 북한이 해킹으로 확보한 가상자산을 끝까지 직접 관리하기보다 전문 자금세탁업자와 장외거래상(OTC), 개인 간 거래(P2P) 업자, 범죄조직 등에 넘겨 세탁과 현금화를 맡긴다고 분석했다.

2025년 발생한 바이비트(Bybit) 해킹 사건은 대표적인 사례로 꼽았다. 당시 북한 해커들은 약 15억 달러(2조 1000억 원) 상당의 가상자산을 탈취했고, 이후 다수의 자금세탁업자와 OTC·P2P 거래자가 동원됐다. 중국 국적자가 대부분이었고, 24시간 교대로 자금을 이동시키는 조직적인 방식도 관찰됐다. 다자제재모니터링팀(MSMT)의 분석에 따르면 2025년 9월까지 바이비트에서 탈취된 자금이 모두 법정화폐나 현금 형태로 전환된 것으로 파악됐다. 저자들은 "이는 북한의 사이버조직이 해킹 능력뿐 아니라 대규모 자금을 신속하게 현금화할 수 있는 외부 네트워크까지 활용하고 있음을 보여주는 사례"라고 강조했다.

북한 자금세탁의 연결고리로는 중국어권과 동남아시아에 기반을 둔 범죄 네트워크를 주목했다. 가상자산 분석업체 엘립틱(Elliptic)은 북한이 탈취한 가상자산이 여러 블록체인과 수많은 지갑 주소를 거치는 과정에서 중국계 자금세탁 그룹을 포함한 제3자에게 넘어가는 사례를 포착했다고 보고했다. 또 텔레그램에는 돈세탁이나 불법 거래를 중개하는 온라인 장터가 운영되고 있다. 이곳에서는 거래 당사자 사이에서 돈을 대신 보관했다가 조건이 맞으면 넘겨주는 에스크로(결제대금예치) 방식도 활용된다. 보고서는 북한이 해킹으로 탈취한 가상자산 일부가 이러한 비공개 거래를 거쳐 현금화됐을 가능성이 있다고 주장했다.

북한이 한 번에 거액을 현금화하기보다 잘게 쪼개는 방식도 적극 활용한다고 짚었다. 일례로 P2P 시장에서 약 7000달러 상당의 스테이블코인을 여러차례 나눠 개인에게 판매한 뒤 현금이나 법정화폐를 받는 사례가 확인됐다. 또한 자금이 동결되더라도 손실을 줄이기 위해 거래 규모를 약 3만 달러 수준으로 분할한 사례도 있었다. 저자들은 이처럼 소액 거래를 반복하면 은행과 거래소의 고액거래 탐지 기준을 피해갈 수 있어 단순히 '큰 거래'만 감시해서는 북한의 해킹 자금을 포착하기 어렵다고 설명했다.

보고서는 중요한 자금세탁 수단으로 '머니 뮬(money mule)', 즉 차명계좌 제공자를 지목했다. 확인된 차명계좌 명의자는 필리핀·인도네시아·중국 등 아시아 출신이 많았다. 이는 동남아시아에서는 신원정보와 계좌를 싼값에 확보할 수 있어 대량으로 계정을 만들기 쉽기 때문이다. 계좌 판매자들은 신분증·사진·이메일·비밀번호까지 넘겼고, 일부는 거래소가 생체인증이나 '실재 확인(proof of life)' 단계까지 참여했다. 저자들은 이처럼 정상적인 신원정보로 개설된 계정을 이용하면 북한이 거래소의 고객확인(KYC) 절차를 우회할 수 있다고 밝혔다.

가상자산이 블록체인을 벗어나 현금으로 바뀌는 단계에서는 전통 금융망이 중요해진다고 짚었다. OTC업자가 자금세탁을 거친 가상자산을 받은 뒤 현금을 지급하거나, 운반책과 ATM 등을 거쳐 금융기관으로 흘러갈 수 있다는 것이다. MSMT에 따르면 OTC업자가 중국 은행이 발급한 유니온페이 카드를 통해 북한이 통제하는 계좌로 입금하는 사례도 보고됐다. 다만 저자들은 특정 은행과 거래했다는 사실만으로 북한과의 연계를 판단해서는 안 되며 다른 위험성 지표와 함께 종합적으로 분석해야 한다고 짚었다.

저자들은 북한의 가상자산 범죄가 암호화폐 업계만의 문제가 아니라고 주장했다. 가상자산이 현금으로 바뀌는 과정에는 거래소와 은행, P2P 플랫폼, 결제업체, 송금업체가 모두 연결되지만 각 기관이 보유한 정보는 서로 분절돼 있기 때문이다. 은행은 가상자산사업자(VASP)의 실제 고객이 누구인지 파악하기 어려운 경우가 많고, 거래소 자료도 수정이 가능한 엑셀이나 CSV 파일 형태로 제공되기도 한다. 저자들은 이러한 정보의 단절이 북한 자금세탁 조직이 활용할 수 있는 구조적 취약점이라고 지적했다.

따라서 은행의 고객확인 절차도 가상자산 거래를 전제로 바뀌어야 한다고 조언했다. 특히 암호화폐 등을 통해 형성된 자산의 경우 거래소 출금내역과 지갑주소, 거래 해시(식별번호), 블록체인 분석자료 등을 통해 자금의 출처를 반드시 확인해야 한다는 것이다. 이밖에 반복적인 소액 송금, 여러 거래소로의 빈번한 입금, 단시간 내 이뤄지는 자금 유출입, 고객의 소득수준과 맞지 않는 거래 등을 함께 감시해야 한다고 덧붙였다.

가상자산사업자 역시 거래 직전의 지갑만 확인해서는 충분하지 않다고 봤다. 북한은 여러 지갑과 블록체인을 연속적으로 거쳐 자금 흐름을 복잡하게 만들기 때문에 고위험 사건에서는 거래 이력을 더 깊게 추적해야 한다는 것이다. 여기에 IP주소와 기기 ID, 이메일, 자동화 거래 여부 등 블록체인 밖의 정보까지 결합해 분석해야 한다고 강조했다.

저자들은 북한의 사이버 범죄를 실질적으로 차단하려면 '누가 코인을 훔쳤는가'를 밝히는 데서 한 걸음 더 나아가 '누가 그것을 현금으로 바꿔주고, 어느 금융망을 통해 이동시키는가'를 추적해야 한다고 주장했다. 보고서는 "결국 북한의 가상자산 범죄를 차단하는 핵심은 개별 기관의 감시 능력을 높이는 것뿐 아니라 서로 단절돼 있는 정보를 연결하는 데 있다"며 "특히 금융기관과 규제당국, 가상자산사업자가 각각 보유한 정보를 서로 공유하는 체계를 구축해야 한다"고 밝혔다.