바이낸스 8조 해킹부터 국내 기업 첩보전까지…北 해킹 수법 ‘다변화’[크립토360]

입력 2026-11-01 10:14:37

FBI, 바이낸스 탈취 배후로 ‘북한’ 지목

20분 새 63억달러 가상자산 빠져나가

카스퍼스키, 별도 ‘플래시홀’ 작전 분석

산부인과학회 주소도 악성코드 C2 지표에

[헤럴드경제=이정환 기자]북한 연계 해킹조직의 공격이 가상자산 탈취와 국내 기업 대상 첩보전으로 확산하고 있다. 미 연방수사국(FBI)은 최근 바이낸스에서 63억달러(약 8조4000억원) 상당의 가상자산을 빼낸 배후로 북한의 ‘TraderTraitor’를 지목했다. 별도로 카스퍼스키는 라자루스의 국내 기업 표적 작전에서 산부인과학회 등 국내 웹사이트 주소가 악성코드 통신 지표에 포함된 사실을 공개했다. 두 보고서가 두 사건의 직접적인 연계를 확인한 것은 아니다.

바이낸스 해킹에서는 약 63억달러 규모의 자산이 여러 블록체인 지갑에서 빠져나갔다. 블록체인 분석업체 TRM랩스는 대부분의 자산이 약 20분 사이 이동했다고 분석했다. FBI는 탈취 자산이 주로 이더리움으로 전환됐으며, 이후 탈중앙화금융(DeFi)과 즉시 교환 서비스를 거쳐 추가 세탁될 가능성이 있다고 밝혔다.

FBI가 이번 해킹을 ‘TraderTraitor’로 명명한 가운데, 이 조직은 지난해 15억달러 규모의 바이비트 해킹에도 연루된 것으로 지목된 바 있다. 당시보다 피해 규모가 크게 늘어난 바이낸스 사건은 북한 연계 해킹이 가상자산 탈취를 통해 거액의 자금을 노리는 양상을 보여준다.

카스퍼스키가 공개한 ‘오퍼레이션 플래시홀’은 목적과 수법이 다른 국내 기업 대상 사이버 첩보 작전이다. 보고서의 침해지표(IOC)에는 대한산부인과학회 홈페이지의 하위 주소를 비롯해 국내 언론사와 건설사 등 웹사이트 주소가 포함됐다. 카스퍼스키는 해당 주소 일부를 악성코드 ‘클라이언트허브(ClientHub)’의 명령제어(C2) 통신 주소로 분류했다.

C2는 공격자가 감염된 컴퓨터에 명령을 전달하고 정보를 주고받는 통신 거점이다. 정상 웹사이트를 통신 경로로 이용하면 악성 통신이 일반적인 웹 접속처럼 보여 탐지가 어려워질 수 있다. 다만 주소가 IOC에 포함됐다는 사실만으로 해당 웹사이트 서버가 침해됐거나 개인정보가 유출됐다고 단정할 수는 없다. 카스퍼스키 보고서에는 각 사이트의 침해 시점과 범위, 정보 유출 여부가 구체적으로 제시되지 않았다.

카스퍼스키는 플래시홀 작전이 2025년 7월부터 이어졌으며, 국내 소프트웨어·건설·유선통신장비 제조 분야에서 최소 3개 조직이 영향을 받은 것으로 파악했다. 공격자들은 표적의 업무에 맞춘 가짜 이력서나 포트폴리오 사이트 링크를 이메일로 보내 접속을 유도한 뒤, 국내에서 널리 쓰이는 금융 보안 프로그램 ‘크로스웹 EX(CrossWeb EX)’를 감염 과정에 악용했을 가능성이 제기됐다. 카스퍼스키는 이 작전을 라자루스의 활동으로 중간에서 높은 수준의 신뢰도로 평가했다.

바이낸스 사건은 대규모 가상자산 탈취, 플래시홀은 국내 기업을 겨냥한 첩보 활동으로 분석됐다. 공격 목적과 구체적인 침투 경로는 다르지만, 북한 연계 조직이 돈과 정보라는 서로 다른 표적을 놓고 공격 수법을 바꾸고 있다는 점에서 국내 기업의 보안 점검 필요성이 커지고 있다.