한 국가가 2026년 상반기 전 세계 크립토 생태계에서 도난당한 달러의 3분의 2를 가져갔다.
이건 반올림 오차가 아니다. 한 번의 초대형 해킹이 만들어낸 통계적 착시도 아니다.
거의 10년에 걸친 방법론 정교화 끝에 구축된, 산업화된 해킹 작전의 산물이다. 지금은 이 공간의 다른 모든 위협 행위를 합친 것보다 더 빠르게 움직이고 있다.
크립토 범죄의 기준으로 보더라도, 이 규모는 엄청나다. 크립토는 애초에 ‘숫자 드라마’가 끊이지 않는 영역이기 때문이다.
블록체인 보안 연구자들이 이번 주 내놓은 수치에 따르면, 북한 연계 그룹은 2026년 상반기 전 세계 디지털 자산 해킹 손실의 66.2%를 차지했다.
이렇게 단일 위협 클러스터에 손실이 집중됐다는 것은, 업계 전체의 리스크 프로파일이 질적으로 바뀌었음을 의미한다. 마침 기관 자금이 2021년 이후 가장 빠른 속도로 크립토로 유입되는 시점에 이런 변화가 나타났다.
요약(TL;DR)
- 북한 연계 해커들은 2026년 상반기 전체 암호화폐 해킹 손실의 66.2%를 차지하며, 국가 지원 크립토 도난 집중도의 새로운 정점을 세웠다.
- 라자루스 그룹과 연계된 북한 단위들은 기회주의적 거래소 해킹에서, 디파이 프로토콜·크로스체인 브리지·개발자 대상 사회공학을 겨냥하는 고도로 구조화된 작전으로 진화했다.
- 이 자금은 북한의 무기 프로그램을 직접적으로 재원 조달하고 있어, 크립토 보안은 워싱턴·브뤼셀·서울 규제 당국이 긴급 사안으로 다루는 지정학적 이슈가 되었다.
66%라는 숫자와 그것이 실제로 의미하는 것
전략적 그림을 풀어보기 전에, 이 숫자가 어떻게 나왔는지 방법론부터 짚어볼 필요가 있다.
66.2%라는 수치는 2026년 상반기 검증된 전체 크립토 해킹 손실 가운데, 온체인 포렌식을 통해 탈취 시점에서 믹서 사용, 최종 현금화에 이르기까지 자금 흐름을 추적한 결과 북한(조선민주주의인민공화국, DPRK) 연계 지갑에 귀속된 비중을 뜻한다.
크립토 범죄에 대해 가장 포괄적인 장기 데이터를 축적해 온 Chainalysis는 2024년 범죄 보고서에서, 북한 연계 그룹이 2023년 한 해 동안 47건의 사건을 통해 약 13억 4천만 달러를 탈취했으며, 이는 그 해 전체 도난 가액의 61%라고 밝혔다.
2026년 상반기 수치는 이 집중도가 더 높아졌음을 보여준다. 북한의 역량과 다른 위협 행위자들 사이의 격차가 줄어드는 것이 아니라 오히려 벌어지고 있음을 시사한다.
66.2%라는 비중은, 6개월 단위로 집계된 기록 가운데 국가 차원의 디지털 자산 도난이 차지한 가장 높은 집중도다.
66%라는 숫자가 ‘포착하지 못하는 것’도 중요하다.
이 수치에는 엑싯 스캠, 러그풀, 사기 등은 포함되지 않는다. Chainalysis는 통상 이들을 해킹과 별도의 카테고리로 분류한다. 분모는 ‘검증된 해킹 손실’에 한정된다.
크립토 범죄의 모든 카테고리를 포함하면, 북한이 차지하는 퍼센트 비율은 낮아질 것이다. 하지만 절대적인 도난 금액이 줄어드는 것은 아니다.
함께 읽기: XRP 현물 수요는 오르는데, 바이낸스 무기한 선물은 7억 8,300만 달러 경고를 보낸다
라자루스 그룹은 어떻게 크립토 ‘초강대국’이 되었나
미국 정보 기관과 민간 연구자들이 가장 강력한 북한 사이버 부대를 통칭해 부르는 이름인 라자루스 그룹은, 처음부터 크립토에 특화된 조직은 아니었다.
초창기 프로필은 파괴적 공격, SWIFT 네트워크를 악용한 은행 강탈, 랜섬웨어에 가까웠다.
크립토로의 피벗은 점진적으로 이뤄졌다. 본격적인 전환은 2017년 무렵, 이 그룹이 한국 거래소를 공격하기 시작하면서 비롯됐고, 2022년 로닌 네트워크 침해 이후 급격히 고도화됐다.
라자루스 그룹이 Axie Infinity 사이드체인에서 약 6억 2,500만 달러를 탈취한 로닌 해킹은 전략적 변곡점이었다.
이 사건은 스마트컨트랙트 복잡성, 크로스체인 브리지 의존성, 개발자 대상 사회공학 취약성이 뒤엉킨 디파이 인프라가, 10년에 걸친 침해 끝에 방어를 강화한 중앙화 거래소보다 훨씬 수익성이 큰 공격 표면을 제공한다는 점을 보여줬다.
2022년 3월 발생한 이 6억 2,500만 달러 탈취는 여전히 단일 디파이 해킹으로는 최대 규모 기록이다. 이후 북한의 크립토 작전은 이 사건을 운영 템플릿으로 삼아 전개됐다.
2022년 이후, 이 그룹은 세 가지 공격 벡터를 체계적으로 정교화해 왔다.
첫째는 개발자 자격 증명 탈취다. 주로 가짜 링크드인 구인 제안을 보내, 대상자가 문서를 열거나 리포지토리를 실행할 때 악성코드를 설치하는 방식이다.
둘째는 크로스체인 브리지 익스플로잇이다. 서로 다른 네트워크 간 자산 전송을 검증하는 스마트컨트랙트 로직을 노린다.
셋째는 크립토 프로토콜이 사용하는 소프트웨어 의존성에 대한 공급망 공격이다. 전통 사이버 보안에서 먼저 정립된 기법을, 블록체인 표적에 맞게 변형한 것이다.
함께 읽기: Eng vs Ind는 더 이상 예측시장 트레이더에겐 ‘그저 크리킷’이 아니다
공격 표적, 거래소에서 디파이로 이동했다
주요 크립토 해킹의 초기 역사는 중앙화 거래소 침해가 썼다. 2014년 Mt. Gox, 2016년 Bitfinex, 2018년 Coincheck가 대표적이다. 이 공격들은 핫월렛 인프라를 침해하거나, API 취약점을 악용하거나, 내부자를 매수하는 방식에 의존했다. 가해자는 대개 국가의 후원을 받지 않는 기회주의적 범죄 조직이었다.
현재 북한의 플레이북은 근본적으로 다르다. TRM Labs는 2024 Crypto Threat Intelligence 보고서에서, 북한의 크립토 도난 중 중앙화 거래소 해킹이 아닌 디파이 프로토콜 익스플로잇이 차지하는 비중이 2021년 약 30%에서 2024년에는 70%를 넘어섰다고 밝혔다. 이 변화는 온체인 유동성 자체의 성장 궤적과 맞물린다.
전 세계 디파이 프로토콜에 예치된 총 가치는 2021년 말 1,800억 달러를 넘으며 정점을 찍은 뒤, 2022년 약세장에서 급락했다가, 다시 매력적인 공격 표면을 제공하는 수준까지 회복했다. 2026년 중반 기준 DefiLlama 데이터에 따르면, 전 체인 합산 디파이 TVL은 1,100억 달러를 웃돌며, 이 가운데 상당 부분이 크로스체인 브리지에 풀 형태로 묶여 있다.
디파이 브리지 컨트랙트는, 대규모 유동성을 단일 스마트컨트랙트에 집약하는 구조적 특성과, 완전한 감사가 어려운 복잡한 크로스체인 메시지 검증 메커니즘 때문에 고급 공격자에게 매력적인 표적이다.
크로스체인 브리지는, 특유의 리스크 구조 때문에 북한 유닛의 집착 대상이 됐다. 브리지 컨트랙트는 스스로 검증할 수 없는 원격 체인의 주장을 신뢰해야 한다. 검증 로직은 복잡하고, 다중서명 커미티나 라이트 클라이언트 증명에 의존하는 경우가 많다. 두 접근 모두 exploitable한 전제를 내포한다. 로닌 브리지는 9-of-9 멀티시그를 사용했지만, 사회공학을 통해 사실상 5-of-9 임계치로 전락했다. 공격자는 이 5개 서명을 확보해 브리지 자산을 인출하는 트랜잭션을 승인받았고, 결과적으로 브리지를 완전히 비웠다.
함께 읽기: Opus 4.8이 여전히 잘 돌아가는데, Fable 5는 두 배 가격을 받을 가치가 있을까?
가짜 구인 제안 벡터와 개발자 타깃팅
2026년 상반기 북한 작전에서 가장 일관되면서도 과소평가된 요소는, 개별 개발자와 프로토콜 직원들을 겨냥한 사회공학 인프라다. 이는 전통적 의미의 기술 해킹이라기보다는, 결국 코드 실행으로 이어지는 인내심 강한 관계기반 정보 작전이다.
이 플레이북은 Mandiant의 APT38 금융 위협 분석과 미국 **사이버보안·인프라 보안국(CISA)**의 CISA Alert AA22-108A에 자세히 문서화돼 있다. 북한 공작원들은 AI로 생성한 프로필 사진을 활용해 그럴듯한 링크드인 전문 프로필을 만들고, 크립토 프로토콜에서 일하는 개발자에게 접근해 프리랜서 계약, 채용 인터뷰, 코드 리뷰 기회 등을 제안한다.
문서화된 사례들에 따르면, 북한 공작원은 표적이 되는 크립토 개발자와 몇 주에서 수개월에 걸쳐 링크드인 관계를 유지하며, 대상자의 구체적인 코드베이스를 주제로 기술적으로 설득력 있는 대화를 나누면서 신뢰를 쌓은 뒤에야 악성 페이로드를 전달한다.
표적이 응하면, 공격자는 실행이 필요한 파일을 보낸다. 이는 악성 페이로드가 삽입된 PDF일 수도 있고, 악성 의존성을 포함한 GitHub 리포지토리일 수도 있으며, 백도어를 설치하도록 설계된 가짜 기술 테스트 과제일 수도 있다. 일단 공격자가 개발자의 머신에 발판을 마련하면, 프라이빗 키, 내부 시스템 세션 토큰, 프로토콜 배포를 관리하는 클라우드 인프라 자격 증명을 수집할 수 있다.
이런 공작술의 정교함은, 민간 범죄 조직이 흉내 내기 어려운 수준의 역량 개발에 제도적으로 투자해 왔음을 보여준다. 북한 사이버 유닛은 전일제로 훈련받는 국가 공무원이며, 엄격한 작전 보안 규율 아래 활동하고, 어떤 프로토콜이 가장 취약한지, 어떤 개발자가 접근이 쉬운지에 대해 수년간 축적된 조직적 지식을 보유하고 있다.
함께 읽기: TeraWulf 주가 급등…Anthropic 딜로 190억 달러 규모 AI 피벗에 비트코인 채굴사가 편입됐다
도난 규모 뒤에 있는 세탁 인프라
암호화폐를 훔치는 것은 첫 단계에 불과하다. 이를 정권이 실제로 쓸 수 있는 수익으로 전환하려면, 그 자체로 치열한 온체인 연구 대상이 된 정교한 자금 세탁 체인이 필요하다. 도난 이후 자금 이동 구간은, 북한이 저지른 공격을 가장 신뢰도 높게 귀속할 수 있는 영역이기도 한데, 이는 이 그룹이 식별 가능한 행동 패턴을 가지고 있기 때문이다.
patterns in how it moves and obscures funds.
자금을 이동시키고 은폐하는 방식에서 드러나는 패턴.
Chainalysis는 표준적인 북한(DPRK)의 자금 세탁 흐름을 다단계 프로세스로 문서화했다. 탈취된 자산은 먼저 온체인 탈중앙화 거래소를 이용해 이더리움 (ETH) 또는 비트코인 (BTC)으로 스왑되며, 유동성이 낮은 프로토콜 특화 토큰을 유동성이 높은 자산으로 전환한다. 이후 이 자산들은 믹싱 서비스를 거치는데, 이 그룹은 과거에는 **토네이도 캐시(Tornado Cash)**를 주로 사용했으나, 2022년 8월 OFAC 제재 이후 Sinbad와 Yomix와 같은 대체 혼합 도구로 전환해야 했다. 이들 역시 이후 미국 제재 대상이 되었다.
OFAC는 2023년 11월 Sinbad 믹서를, 2025년 4월 Yomix 믹서를 제재 대상으로 지정했는데, 이는 북한의 각 세탁 도구가 결국 제재 조치를 맞고 그룹이 새로운 인프라로 옮겨가는 ‘쫓고 쫓기는’ 역학을 보여준다.
믹싱 이후 자금은 중첩된 거래소 계정 네트워크, 효과적인 자금세탁방지(AML) 집행이 이뤄지지 않는 관할권에서 활동하는 OTC 브로커, 그리고 P2P 플랫폼을 통해 라우팅된다. 최종 오프램프는 역사적으로 KYC 집행이 느슨한 동아시아·동남아시아 소재 거래소가 가장 흔하게 사용되어 왔다. 2024년 **유엔 전문가 패널(United Nations Panel of Experts)**의 북한 관련 보고서는 암호화폐 절도 수익을 북한 탄도미사일 프로그램의 주요 자금원으로 지목하며, 대량살상무기 개발을 위한 외화 수요의 약 40%가 암호화폐 수익으로 충당된다고 추산했다.
함께 읽기: Ethereum Could Go Near-Zero State Under Buterin’s Most Radical Lean Chain Plan
규제 대응과 그 한계
미국 정부는 OFAC의 지갑·믹싱 서비스 제재 지정, 특정 해킹 사건에 대한 FBI의 배후 지목 공지, 동맹 정보기관들과의 공동 권고문 등, 북한의 암호화폐 작전에 대응하기 위한 상당한 도구 세트를 동원해 왔다. **법무부(Department of Justice)**는 여러 명의 북한 소속 작전 요원을 기소했지만, 송환 경로가 없어 실질적인 처벌은 사실상 불가능하다.
미국 대응의 한계는 구조적이다. 지갑 주소에 대한 제재는 규제된 금융 인프라를 오프램프로 사용하는 행위자에게만 실효성을 갖는다. 미국 AML 영향권 밖 관할권을 경유하는 고도 행위자들에게는 영향이 미미하다. 토네이도 캐시에 대한 OFAC 조치는 중대한 사건이었고 논란도 컸지만, 북한은 수개월 내에 대체 인프라로 이동하며 적응해 버렸다.
법무부는 암호화폐 절도 작전과 관련해 이름이 공개된 북한군 해커 7명을 기소했지만, 누구도 재판을 받지 않았다. 기소는 주로 배후 지목 수단이자, 자금 이동을 도울 수 있는 제3자 서비스들에 대한 억지 수단으로 기능한다.
정부 간 AML 기준 기구인 **자금세탁방지기구(FATF, Financial Action Task Force)**는 북한을 최고 위험 카테고리로 격상했으며, 북한과 연관된 거래에 대해 회원국들이 상시적으로 강화된 실사를 적용할 것을 촉구하고 있다. 그러나 FATF 권고는 법적 구속력이 없으며, 북한이 오프램프로 활용하기에 가장 유용한 관할권들은 대체로 FATF 비회원이거나 이행 실적이 미흡한 회원국들이다.
2024년 말 전면 발효된 EU의 **암호자산시장규제(MiCA, Markets in Crypto-Assets Regulation)**는 특정 기준금액을 넘는 암호화폐 이전에 상대방 식별을 의무화하는 트래블룰 요건을 포함한다. 지지자들은 이 조치가 일부 OTC 오프램프 경로를 차단한다고 주장한다. 반면 비판자들은 북한 작전이 비보관 지갑과 EU 영향권 밖 관할권을 활용해 KYC 요구를 우회할 만큼 정교하다고 지적한다.
함께 읽기: Meta’s Muse Image Turns Instagram Into The Raw Material For AI Art
온체인 포렌식이 실제로 보여주는 것
암호화폐 절도의 북한 배후설은 정치적 주장에 기반하지 않는다. 이는 누구든 공공 블록체인 데이터와 지갑 클러스터링 도구에 접근할 수 있다면 독립적으로 재현 가능한 온체인 검증 데이터에 근거한다. 이러한 배후 지목이 어떻게 이뤄지는지 이해하는 것은 그 신뢰성을 평가하는 데 필수적이다.
북한이 한 프로토콜을 해킹하면, 초기 트랜잭션은 즉시 온체인에 드러난다. 탈취된 자금은 공격자 지갑으로 이동한 뒤, 일련의 스왑, 브리지 거래, 믹싱 작업을 수행한다. 또 다른 블록체인 분석 기업인 Elliptic은 북한 지갑이 특정 시점 패턴, 선호하는 스왑 경로, 중간 지갑에 남겨지는 특징적인 소액(dust) 잔고, 자금을 장기간 클러스터 지갑에 보관했다가 이동시키는 경향 등, 행태적 시그니처를 중심으로 클러스터링된다는 점을 보여주는 상세한 방법론을 공개했다.
Elliptic의 지갑 클러스터링 분석은 북한 절도 작전과 연관된 1만 5,000개 이상의 주소를 식별해 냈으며, 이를 통해 포렌식 분석가들이 믹싱 이후에도 자금 흐름을 추적하는 데 활용하는 상호 연결된 지갑 그래프를 구축했다.
Alphapo 침해 사건과 2023년 Atomic Wallet 탈취를 포함한 특정 해킹에 대한 FBI의 배후 지목 공지는 이러한 포렌식 방법론과 기밀 신호 정보(SIGINT)를 결합해 작성된다.
공개 온체인 데이터와 정부 정보의 결합은, 온체인 증거가 존재하지 않는 전통적 사이버범죄 수사에서 통상적으로 달성되는 수준을 뛰어넘는 배후 지목 신뢰도를 만들어 냈다.
함께 읽기: Saylor Says 3.3% Bitcoin Growth Can Keep Strategy Dividends Alive
병행 수익 채널로서의 IT 인력 위장 취업 스킴
해킹 작전과는 별도로, 북한은 2024년과 2025년에 걸쳐 상당한 법 집행 관심을 받은 병렬 암호화폐 수익 창출 프로그램을 운영하고 있다. 수천 명의 북한 국적자가 AI 생성 문서와 딥페이크 영상 기술을 이용한 위장 신분으로, 북미와 유럽 전역의 암호화폐 기업 및 Web3 스타트업에서 원격 근무를 확보한 것이다.
**법무부(Department of Justice)**는 2024년 5월, 북한 IT 인력을 300개 이상 미국 기업에 취업시키고 그 수익을 북한으로 송금한 조직을 운영한 14명을 이 스킴과 관련해 기소했다.
기소장에 따르면 개별 근로자들은 연간 25만~30만 달러를 벌어들였고, 전체 스킴은 수년에 걸쳐 수천만 달러 규모의 수익을 창출한 것으로 추정됐다.
법무부의 2024년 5월 기소 문건은, 북한 IT 인력들이 미국의 암호화폐 및 기술 기업에서 1인당 연간 최대 30만 달러를 벌어들였으며, 이 자금이 미국, 영국, 중국에 위치한 중개인 네트워크를 통해 북한에 송금되었다고 문서화했다.
이 IT 인력 스킴이 암호화폐 업계에 특히 위험한 이유는 개발팀 내부에 인사이더 접근 권한을 심어 넣기 때문이다. 정당한 자격과 레포지토리 접근 권한을 가진 IT 인력은, 외부에서 경계선을 뚫고 들어오려는 공격자보다 훨씬 더 위험하다.
여러 보안 연구자들은 코드 커밋에서의 수상한 패턴, 설명되지 않는 레포지토리 접근, 비정상적인 근무 시간대 등이 이제 보안에 신경 쓰는 암호화폐 기업들에서 잠재적 북한 IT 인력 징후로 간주되고 있다고 지적한다.
IT 인력 스킴과 개발자 대상 사회공학 캠페인의 교차점 때문에, 북한의 암호화폐 업계에 대한 공격 면적은 다차원적이다. 외부 해커, 허위 구인 제안을 통한 개발자 계정 탈취, 내부에 심어진 인사이더가 모두 동시에 작동하는 위협 벡터다.
함께 읽기: OpenAI Wins GPT-5.6 Approval As Trump Clears Wider AI Rollout
보다 넓은 업계 차원의 보안 대응
업계의 북한 위협에 대한 대응은 상당하지만 고르게 분포되어 있지는 않다.
가장 자원이 풍부한 프로토콜들은 이제 배포 전 광범위한 보안 감사를 실시하고, 6자리(달러) 규모의 버그 바운티 프로그램을 운영하며, 공격형 연구 배경을 가진 내부 보안 팀을 유지한다.
이러한 최상위 프로토콜층에 대한 보안 투자 집중은, 암호화폐 전반을 지배하는 동일한 멱법칙(power law)을 반영한다.
선도적인 Web3 버그 바운티 플랫폼인 Immunefi는 2025년 중반까지 총 1억 달러 이상 규모의 바운티 지급을 보고했으며, 이는 잠재적으로 수십억 달러 규모 손실을 초래할 수 있었던 취약점들의 발견을 가능하게 했다.
Immunefi 역사상 가장 큰 단일 보상은, 한 대형 디파이(DeFi) 프로토콜에서 실제 악용이 이뤄지기 전에 치명적 결함을 발견한 화이트 해커에게 지급된 1,000만 달러였다.
그러나 이러한 최상위 프로토콜 중심의 보안 지출 집중은, 여전히 총 TVL 기준 수십억 달러를 집단적으로 통제하고 있는 소규모 디파이 프로젝트들을 상당히 미보호 상태로 남겨 둔다.
수많은 대형 해킹의 중심에 서 있는 크로스체인 브리지 문제는, 나름의 아키텍처적 대응책들을 낳았다.
그 핵심은, 검증인 커미티에 의존하지 않고 소스 체인의 상태를 검증하기 위해 영지식 증명(zk-proof)을 사용하는, 보다 신뢰 최소화(trust-minimized)된 브리징으로의 이동이다.
Succinct Labs와 Polyhedra Network를 포함한 프로젝트들은 Ronin과 같은 브리지를 취약하게 만들었던 신뢰 기반 커미티 가정을 제거하는 것을 목표로 한 ZK 경량 클라이언트 인프라를 구축했다.
WhetherDPRK의 역량 개발 속도를 앞지를 수 있을 만큼 보안 인프라가 충분히 빠르게 개선되고 있는지는 실제로 확신하기 어렵다.
2026년 상반기(H1)의 66% 비중은 막대한 업계 투자가 이루어지고 있음에도 불구하고 공격자가 그 속도를 맞춰 따라가고 있음을 시사한다.
Also Read: SpaceXAI Wants A Cursor-Powered Claude Killer Before The $60B Deal Even Closes
지정학적 이해관계와 앞으로의 전개
암호화폐 절도는 북한의 가장 중요한 경화(하드 커런시) 조달 수단이다.
이는 수사적 표현이 아니다. 미국 재무부, 유엔, 동맹국 정보기관들이 모두 인정한, 문서로 확인된 작전 현실을 반영한다.
유엔 전문가 패널은 2017년부터 2023년까지 DPRK의 암호화폐 절도 수익을 약 30억 달러로 추산했으며, 이후 몇 년간 그 속도는 더욱 가속화되고 있다.
이 자금은 통상적인 의미에서의 정권 국고로 사라지는 것이 아니다.
무기 프로그램, 특히 평양의 최우선 전략 과제인 탄도미사일 및 핵탄두 소형화 노력에 직접 투입된다.
DeFi 프로토콜에서 훔친 1달러마다, 미국·한국·일본 방위 기획자들이 실제 위협 평가에서 모델링하는 무기 체계의 물적·기술적 역량으로 전환될 가능성이 있다.
유엔 전문가 패널은 2017~2023년 사이의 30억 달러 규모 절도가 무기 프로그램 자금 조달과 직접적으로 연결되어 있다고 판단했으며, 이로 인해 블록체인 보안은 동북아 지역 안보 계산에 실제로 반영되는 요소가 되었다.
Read Next: 5 Cheaper Fable 5 Rivals: Don’t Overpay For Daily AI Work
마무리 생각
2026년 상반기의 66.2% 비중 수치는 단순한 데이터의 흥밋거리가 아니다.
이는 세계에서 가장 역량 있는 국가 차원의 사이버 프로그램 중 하나와, 역사적으로 운영 보안보다 시장 선점 속도를 우선시해 온 산업 간 경쟁의 현재 상태를 보여주는 신호다.
이 경쟁의 궤적 — 2017년 기회주의적 거래소 해킹에서 2022년 로닌 브리지 침해, 그리고 현재 개발자·브리지·내부자를 동시에 겨냥하는 다중 벡터 캠페인에 이르기까지 — 는 위협 행위자가 학습하고, 적응하며, 업계의 방어 투자로는 억제하지 못할 정도의 속도로 규모를 키워왔음을 보여준다.
DPRK에 유리하게 작용하는 구조적 요인들은 단기간에 사라지지 않는다.
북한은 민간 부문으로의 이탈 유인도, 대중에 대한 책임도 없으며, 가능한 모든 수단을 동원해 수익을 창출하라는 국가적 임무를 부여받은 제도화된 사이버 인력을 보유하고 있다.
반면 암호화폐 업계의 보안 지형은 분산되어 있다. 가장 가치 있는 프로토콜은 점점 더 잘 방어되고 있지만, 규모가 작은 DeFi 프로젝트들로 이어지는 긴 후미는 체계적으로 자원이 부족한 상태로 남아 있다.
그리고 생태계의 유동성 섬들을 연결하는 인프라인 크로스체인 브리지는 구조적으로 복잡한 설계를 유지하고 있어, 지속적으로 악용 가능한 전제와 가정을 만들어낸다.