바이낸스 63억 달러 해킹 배후로 지목된 북한…엘리트 해커 양성과 AI 활용

63억 달러 규모의 바이낸스(Binance) 가상자산 해킹 사건이 북한의 엘리트 해커 양성 체계와 인공지능(AI) 활용 실태를 드러냈다. 탈북민과 전문가들에 따르면 북한은 어린 학생 중 우수 인재를 선발해 해커로 키우고, 성과에 따라 평양 아파트와 외화 보상을 제공한다. 미 연방수사국(FBI)과 바이낸스는 북한을 공격 배후로 지목했지만 북한은 이를 부인했다.

블록체인 조사 업체들은 이번 공격을 북한 해킹 조직 트레이더트레이터(TraderTraitor)의 소행으로 판단했다. 바이낸스는 해커들이 가짜 채용 면접과 광고에 숨긴 소프트웨어로 직원 컴퓨터를 침해한 뒤 내부 AI 도구를 이용해 시스템 통제권을 확보했다고 설명했다. 북한은 과거에도 사이버 공격 배후라는 지적을 조작된 정치적 도발이라며 일축해 왔다.

북한의 AI 활용은 해킹에만 국한되지 않는다. 서방 기업의 원격 기술직에 취업해 정권 자금을 버는 북한 IT 인력과 접촉한 이들은 이들이 조직적으로 움직이며 AI를 적극 활용한다고 전했다. 북한 IT 인력의 근무 모습을 감시하는 카메라를 해킹했다고 주장한 유튜버 Deeveeaar는 유료 ChatGPT 계정과 Claude Code, Cursor 등을 사용한다며 “AI를 ‘많이 사용한다’는 말로는 부족하다. AI는 이들의 활동을 떠받치는 중추”라고 말했다. 이어 “그것으로 코드를 작성하고 이력서를 수정하며 새 이력서를 만드는 데도 도움을 받는다. 문서와 신분까지 위조한다”고 덧붙였다. 2025년 유엔 회원국 11개국으로 구성된 제재 감시팀도 트레이더트레이터가 ChatGPT와 DeepSeek 계정을 확보했다고 보고했다.

해커 육성은 중학교 때부터 시작된다. 북한에서 국가를 위해 해커를 가르치다 2004년 한국으로 탈출한 김흥광 씨와 IT 분야에서 일했던 탈북민 2명에 따르면 당국은 이르면 11~12세 학생 중 매년 약 150~200명을 뽑아 컴퓨터과학을 가르친다. 17세가 되면 성적이 우수한 학생을 북한의 최상위 대학에 보내고, 추가 선발을 거쳐 소수만 군 사이버 부대의 해커로 배치한다.

교육에는 고급 수학과 외국어뿐 아니라 가상자산 프로토콜, 외국 하드웨어 기기의 역공학도 포함된다고 탈북민 중 한 명은 설명했다. 해커로 선발되지 않은 인력은 원격 근무를 통해 서방 기업에 소프트웨어나 앱을 공급하도록 훈련받는다. 김흥광 씨는 “가장 똑똑한 아이들을 체계적으로 찾아 오로지 공작원으로 만들기 위해 이처럼 해커를 육성하는 나라는 없다”며 “해커가 되고 싶은지 아닌지는 중요하지 않다”고 말했다.

북한은 1998년 사이버 부대를 설치했다. 김정은 집권 뒤 위상이 높아졌고, 김정은은 2013년 사이버전을 핵무기·미사일과 함께 타격 역량에 중요한 ‘만능의 보검’으로 규정했다. 10년 넘게 이어진 인재 육성 체계 아래 북한 해커들은 불법 도박 사이트를 운영하던 초기 단계에서 대규모 자금 탈취로 활동을 넓혔다. 한국 국가정보원은 2024년 북한의 사이버전 인력을 약 8400명으로 추산했다.

성과를 낸 해커들에게는 외화와 주거 혜택이 주어진다. 김흥광 씨에 따르면 해킹에 성공하면 소속 군부대가 탈취 수익의 최대 30%를 미 달러로 받을 수 있고, 해커 본인은 부모와 함께 살 수 있는 평양 아파트를 받을 수도 있다. 임종인 고려대 정보보호대학원 명예교수는 “성과를 낸 사이버 인력에게 평양 아파트를 준다는 증언이 있다”며 아파트 면적이 최대 132㎡(1420제곱피트)에 이를 수 있다고 설명했다.

탈북민들은 노동당 입당과 엘리트 가문과의 혼인 기회도 혜택으로 꼽았다. 인터넷에 더 자유롭게 접속할 수 있는 중국(China) 등 우방국으로 나갈 기회도 주어진다. 북한 내 해커의 공식 명칭은 ‘과학자’나 ‘연구원’이라고 탈북민 한 명은 전했다. 북한 관영매체는 해커의 성과를 공개적으로 기리지는 않지만 프로그래밍에 재능을 보이는 학생들을 자주 소개한다. 관영매체에 따르면 김정은이 건설에 깊이 관여한 평양 미래과학자거리는 2015년 문을 열었다.

국가의 지원은 공격을 반복하고 수법을 다듬는 기반이 된다. 미국(US)은 2022년 APT38로도 알려진 북한 연계 라자루스 그룹(Lazarus Group)이 로닌(Ronin) 블록체인 네트워크에서 수억 달러 상당의 가상자산을 탈취했다고 지목했다. FBI는 트레이더트레이터가 라자루스와 연계돼 있다고 밝혔다. 전문가들은 북한 해커들이 공격을 거듭해도 처벌을 피할 수 있어 대응이 더 어렵다고 설명했다.

블록체인 분석업체 체이널리시스(Chainalysis)의 알렉 제브릭 아시아·태평양 글로벌 서비스 부문 선임 매니저는 “사이버 범죄 세계에서는 실수 한 번이 수사기관에 붙잡히는 데 필요한 전부일 때가 많다”고 말했다. 그는 북한 해커들에 대해 “실패하더라도 계속할 것이다. 국제사회가 이들에게 조치를 취하기가 매우 어렵기 때문”이라고 덧붙였다.

특권의 이면에는 장시간 노동과 상시 감시가 있다. 인권단체 PSCORE가 2025년 보고서를 위해 인터뷰한 전직 북한 IT 노동자들은 비좁은 거처, 하루 10시간을 넘기는 근무, 지속적인 감시와 엄격한 목표를 어려움으로 꼽았다. 남바다 PSCORE 사무국장은 “돈을 계속 벌어야 한다는 압박이 항상 있다”며 “스트레스가 극심하고 심리적 부담 때문에 이전에는 없던 건강 문제가 생긴다”고 말했다. 그는 IT 노동자들이 매달 달러 수입 목표를 채우지 못하면 모욕과 다른 처벌을 받는다고 설명했다.

전문가들은 해커들의 성공이 김정은을 더욱 대담하게 만들 수 있다고 봤다. 제브릭은 더 많은 자금이 모여 있을 수 있는 대형 조직을 노리는 이른바 ‘대어 사냥’으로 공격이 기울고 있다고 말했다. 그는 “그러나 바이낸스 사례에서 볼 수 있듯이 보상은 분명 그만큼 시간을 들일 가치가 있을 수 있다”고 밝혔다.