Yellow.com

2026년 상반기, 전 세계 암호화폐 생태계에서 도난당한 1달러 중 3분의 2가 사실상 한 국가의 금고로 빨려 들어갔다.

단순한 통계 오차가 아니다. 단일 대형 해킹 사고 하나로 설명되는 숫자도 아니다.

거의 10년에 걸친 기술 축적과 조직 개편을 통해 고도화된, ‘산업화된 해킹 체계’가 만들어낸 결과다. 이제 이 체계는 암호화폐 영역의 다른 모든 위협 행위자를 합친 것보다 더 큰 규모로 작동하고 있다.

암호화폐 범죄사에 익숙한 이들조차 놀랄 수준의 수치다. 극단적인 숫자가 끊이지 않았던 이 시장에서조차 그렇다.

블록체인 보안 연구자들이 최근 공유한 분석에 따르면, 북한 연계 해커 조직들은 2026년 상반기 전 세계 디지털 자산 해킹 피해액의 66.2%를 차지했다.

특정 위협 클러스터에 피해가 이 정도로 집중됐다는 것은, 업계 전체의 리스크 구조가 ‘질적으로’ 달라졌다는 뜻이다. 마침 기관 자금이 2021년 이후 가장 빠른 속도로 암호화폐 시장으로 유입되고 있는 시점에 이런 변화가 겹쳤다.

핵심 요약

2026년 상반기 전 세계 암호 해킹 피해액의 66.2%를 북한 연계 해커가 가져가며, 국가 차원 암호 탈취 집중도가 사상 최고치를 경신했다.

라자루스(Lazarus)와 그에 연계된 북한 부대들은 단순 거래소 털이에서 디파이(DeFi) 프로토콜·크로스체인 브리지·개발자 대상 사회공학을 조직적으로 겨냥하는 체계적 작전으로 진화했다.

탈취 자금은 북한의 무기·핵 프로그램 재원으로 직접 연결되고 있어, 미국·EU·한국 감독당국은 암호 보안을 더 이상 기술 이슈가 아닌 ‘안보 현안’으로 다루고 있다.

‘66%’가 의미하는 것과 의미하지 않는 것

이 충격적인 수치가 어떻게 산출됐는지, 방법론부터 짚어볼 필요가 있다.

66.2%라는 비중은 2026년 상반기 발생한 ‘검증된 암호화폐 해킹 피해액’ 중, 온체인 포렌식 결과 북한 연계 지갑으로 귀속된 금액이 차지하는 몫을 의미한다. 자금 흐름을 초기 탈취 지갑에서 믹서, 중간 지갑, 최종 오프램핑(off-ramping) 지점까지 추적한 결과다.

암호 범죄 데이터를 가장 장기간·체계적으로 축적해 온 **체이널리시스(Chainalysis)**는 2024년 크라임 리포트에서, 북한 연계 조직이 2023년 한 해 동안 47건의 사건을 통해 약 13억4,000만 달러를 탈취했다고 분석했다. 당시에도 전체 해킹 피해액의 약 61%에 달하는 규모였다.

2026년 상반기 수치는 이 집중도가 더 높아졌음을 보여준다. 북한의 사이버 역량과 나머지 위협 행위자들 사이 격차가 좁혀지기는커녕 오히려 벌어지고 있음을 시사한다.

66.2%라는 수치는, 단일 반기 기준으로 집계된 ‘국가 주도 디지털 자산 탈취’ 가운데 가장 높은 집중도다.

다만 이 66%가 ‘포착하지 않는 것’도 중요하다.

이 수치는 이른바 러그풀(rug pull)·엑싯 스캠, 기타 사기성 프로젝트를 포함하지 않는다. 체이널리시스는 이런 유형을 해킹과 별도 분류한다. 이번 수치의 분모는 ‘검증된 해킹 피해액’에 한정된다.

암호화폐 범죄 전체(사기·폰지·러그풀 포함)를 대상으로 비중을 계산하면 북한의 퍼센트는 낮아지겠지만, 실제 달러화 기준 탈취 규모가 줄어드는 것은 아니다.

참고 기사: XRP 현물 수요↑, 바이낸스 무기한 선물엔 7.83억달러 경고등

라자루스, 어떻게 ‘암호 해킹 강국’이 됐나

미국 정보당국과 민간 보안업계가 북한 최정예 사이버 부대를 통칭해 부르는 이름이 **라자루스 그룹(Lazarus Group)**이다. 출발점은 암호화폐가 아니었다.

이들의 초기 작전은 대형 파괴형 공격, SWIFT 네트워크를 노린 은행 강도, 랜섬웨어 등 전통 금융·IT 인프라를 겨냥한 것이었다.

암호화폐로의 ‘피벗’은 2017년 전후, 한국 거래소를 표적으로 삼으면서 서서히 본격화됐다. 그리고 2022년 로닌 네트워크 공격 이후 기울기 자체가 바뀌었다.

라자루스가 게임 ‘엑시 인피니티(Axie Infinity)’의 사이드체인인 로닌 브리지에서 약 6억2,500만 달러를 빼낸 사건은 사실상 전략적 분기점이었다.

이 사건은 디파이 인프라, 특히 스마트컨트랙트 복잡성·크로스체인 브리지 의존 구조·개발자 대상 사회공학 등으로 인해, 보안이 강화된 중앙화 거래소보다 훨씬 ‘수익성 높은’ 공격 표적이라는 사실을 입증했다.

2022년 3월 발생한 그 6억2,500만 달러 탈취는 여전히 단일 사건 기준 최대 디파이 해킹 기록이다. 이후 북한발 암호 작전의 ‘운영 매뉴얼’로 자리잡았다.

2022년 이후 라자루스는 세 가지 축을 중심으로 공격 벡터를 고도화하고 있다.

첫째는 개발자 계정 탈취다. 대개 ‘가짜 링크드인(LinkedIn) 구인 제안’을 미끼로 삼는다. 이력서 검토나 과제 형태 문서를 열어보게 하거나 깃허브 레포지터리를 실행하게 만들어, 악성코드를 설치한다.

둘째는 크로스체인 브리지 취약점 공략이다. 서로 다른 네트워크 간 자산 이전을 검증하는 스마트컨트랙트 로직을 정교하게 노린다.

셋째는 프로토콜이 의존하는 서드파티 라이브러리·빌드 체인 등을 겨냥한 소프트웨어 공급망 공격이다. 기존 IT 보안에서 악명이 높았던 방식이, 이제 블록체인으로 옮겨붙은 셈이다.

참고 기사: 잉글랜드 vs 인도, 예측시장에선 더 이상 ‘크리켓’만이 아니다

공격 표적, 거래소에서 디파이로 중심 이동

암호화폐 해킹의 초창기 역사는 중앙화 거래소 침해로 채워져 있다. 2014년 마운트곡스(Mt. Gox), 2016년 비트피넥스(Bitfinex), 2018년 코인체크(Coincheck) 등이 대표적이다. 당시엔 핫월렛 인프라 해킹, API 취약점 악용, 내부자 매수 등 비교적 전통적인 수법이 주를 이뤘고, 배후도 국가보다는 기회주의적 범죄조직이 많았다.

지금 북한이 구사하는 교본은 완전히 다르다. 블록체인 분석업체 **TRM 랩스(TRM Labs)**는 2024 Crypto Threat Intelligence 보고서에서, 북한발 암호 탈취 중 디파이 프로토콜 취약점이 차지하는 비중이 2021년 약 30%에서 2024년 70%를 넘겼다고 지적했다. 온체인 유동성 자체의 성장 궤적을 그대로 따라간 셈이다.

글로벌 디파이 예치자산(TVL)은 2021년 말 1,800억달러를 넘긴 뒤, 2022년 약세장에서 급감했다가 다시 회복해 다시금 매력적인 공격 표적으로 부상했다. DefiLlama 데이터에 따르면 2026년 중반 기준 모든 체인을 합친 디파이 TVL은 1,100억달러를 웃돌며, 이 가운데 상당 부분이 브리지에 집적된 상태다.

디파이 브리지 컨트랙트는 단일 스마트컨트랙트에 막대한 유동성이 쌓이면서도, 완전한 검증이 어려운 복잡한 크로스체인 메시지 검증 로직에 의존한다는 점에서, 고도의 공격자에게 구조적으로 매력적인 표적이다.

브리지는 북한 조직의 ‘집착 대상’이 됐다. 브리지 컨트랙트는 스스로 검증할 수 없는 외부 체인의 상태를 ‘믿어야’ 한다. 이 검증은 다중서명 위원회나 라이트 클라이언트 방식 등에 의존하는데, 어느 쪽이든 공격 가능한 가정(assumption)이 숨어 있다. 로닌 브리지는 9-of-9 멀티시그 구조를 운영하다가, 사회공학을 통해 실질적으로 5-of-9로 취약해졌고, 이후 공격자들이 5개 키를 확보하면서 브리지가 보유한 자산이 한 번에 빠져나갔다.

참고 기사: Fable 5, Opus 4.8이 건재한데 두 배 값 지불할 이유 있나

‘가짜 구인’ 사회공학, 개발자가 주요 표적

2026년 상반기 북한발 작전에서 가장 일관되면서도 저평가된 요소는, 개별 개발자·프로토콜 내부 인력을 향한 사회공학 인프라다. 전통적인 의미에서의 ‘기술 해킹’이 아니라, 정보기관식 인맥 관리와 신뢰 구축 끝에 이루어지는 코드 실행에 가깝다.

**맨디언트(Mandiant)**가 APT38 금융 위협 분석에서, 또 미국 **사이버 보안·인프라 보안국(CISA)**이 CISA Alert AA22-108A에서 상세히 정리했듯, 전형적인 시나리오는 다음과 같다. 북한 측 요원이 AI로 만든 사진 등으로 신뢰도 높은 프로필을 꾸며 링크드인에 등장하고, 암호화폐 프로젝트 소속 개발자에게 프리랜서 계약·이직 제안·코드 리뷰 의뢰 등을 제시하는 식이다.

실제 사례에서는, 북한 측이 특정 프로토콜 코드베이스를 깊이 있게 언급하며 수주간·수개월에 걸쳐 대화를 이어가다가, 완전히 신뢰를 얻은 시점에 악성 파일을 건네는 경우가 반복적으로 포착됐다.

일단 개발자가 응하면, 상대는 결국 실행을 요구하는 파일을 보내온다. 악성 PDF, 숨겨진 의존성을 담은 깃허브 레포지터리, 혹은 ‘기술 과제’라며 배포되는 설치형 파일 등 형태는 다양하다.

일단 개발자 PC에 발판을 마련하면, 공격자는 개인 키, 내부 시스템 세션 토큰, 클라우드 인프라 접근 권한 등 프로토콜 운영 핵심 자격증명을 수집할 수 있다.

이러한 작전은 단순 범죄조직이 흉내 낼 수 없는 집요함과 체계성을 보여준다. 북한 사이버 부대는 정규 인력으로, 전일제 훈련을 받고, 엄격한 보안 규율 아래 작전하며, 어떤 프로토콜이 취약하고 어떤 개발자가 공략하기 쉬운지에 대한 집단적 경험을 축적해 왔다.

참고 기사: 테라울프, 앤트로픽 딜에 비트코인 채굴주서 190억달러 AI 피벗주로 점프

탈취 이후: 북한식 ‘세탁 인프라’의 진화

암호화폐를 훔치는 것은 시작에 불과하다. 이를 실제 정권 재원으로 전환하기 위해서는 복잡한 자금세탁 사슬이 필요하고, 이 과정 자체가 이미 온체인 연구의 핵심 대상이 되고 있다. 탈취 이후 자금 이동 패턴은 북한 배후를 특정할 수 있는 가장 신뢰도 높은 단서다. 북한 조직 특유의 행동 양식이 반복적으로 드러나기 때문이다. 북한이 탈취 자금을 움직이고 흔적을 가리는 방식에는 일정한 패턴이 뚜렷하다.

블록체인 분석업체 체이널리시스(Chainalysis)는 보고서에서 북한의 전형적인 자금 세탁 흐름을 다단계 구조로 정리했다. 우선 해킹으로 빼낸 자산을 온체인 탈중앙화 거래소(DEX)를 통해 이더리움 (ETH)이나 비트코인 (BTC)으로 교환해, 유동성이 떨어지는 개별 프로토콜 토큰을 보다 거래가 잘 되는 자산으로 바꾼다. 이후 이 자산들은 믹싱 서비스로 넘어가는데, 과거에는 **토네이도캐시(Tornado Cash)**를 주로 이용했다. 그러나 2022년 8월 미국 재무부 해외자산통제실(OFAC) 제재 이후 신밧(Sinbad), 요믹스(Yomix) 등 다른 자금 세탁 도구로 빠르게 갈아탔고, 이들 역시 이후 미국 제재 대상에 올랐다.

OFAC는 2023년 11월 신밧 믹서를, 2025년 4월 요믹스 믹서를 각각 제재 대상으로 지정했다. 북한이 쓰는 세탁 인프라가 결국 제재에 걸리고, 그러면 다시 새로운 기반 시설로 갈아타는 ‘쫓고 쫓기는’ 구도가 반복된다는 점을 보여준다.

믹싱 이후 자금은 다중 계좌 구조를 가진 거래소, 자금세탁방지(AML) 규제가 느슨한 관할지역의 장외(OTC) 브로커, 그리고 P2P 플랫폼을 거치며 세탁된다. 최종 출구(off-ramp)로는 KYC(고객확인의무) 규제가 약한 동아시아·동남아시아 소재 거래소가 전통적으로 많이 활용돼 왔다. 2024년 유엔 대북제재 전문가패널 보고서는 암호화폐 탈취 수익을 북한 탄도미사일 프로그램의 핵심 재원으로 지목하며, 대량살상무기(WMD) 개발에 필요한 외화 수요의 약 40%가 암호화폐 관련 수입으로 충당된 것으로 추산했다.

규제 대응과 그 한계

미국 정부는 북한의 암호화폐 활동에 맞서 지갑·믹싱 서비스에 대한 OFAC 제재, FBI의 개별 해킹 사건 귀속 발표, 동맹 정보기관과의 공동 권고문 등 다양한 수단을 총동원하고 있다. **미 법무부(Department of Justice)**는 여러 북한 해킹 조직 인사를 기소했지만, 실제 송환·재판 가능성이 거의 없어 실질 처벌로 이어지기는 어렵다.

미국식 대응의 근본적 한계는 구조적이다. 특정 지갑 주소에 대한 제재는 규제권 안에 있는 금융 인프라를 출구로 쓰는 행위자에게는 효과가 있지만, 미국 AML 관할 밖의 지역을 경유하는 고도화된 조직에는 타격이 제한적이다. 토네이도캐시에 대한 OFAC 조치가 상징적으로나 법적으로 큰 사건이었지만, 북한은 불과 몇 달 만에 다른 인프라로 갈아타며 적응해 버렸다.

미 법무부는 지금까지 북한 군 소속 해커 7명을 암호화폐 탈취 관련 혐의로 기소했지만, 단 한 명도 법정에 서지 않았다. 이 기소는 사실상 ‘책임 귀속’과 제3자 서비스에 대한 억지 효과를 노린 상징적 수단에 가깝다.

국제 자금세탁방지 표준기구인 **자금세탁방지기구(FATF)**는 북한을 최고 위험군으로 분류하고, 회원국들에게 북한 연계 거래에 대해 상시적인 고강도 실사를 요구하고 있다. 다만 FATF 권고는 법적 구속력이 없고, 북한이 실제로 자금 출구로 활용하는 관할지역 상당수는 FATF 비회원이거나 이행 수준이 매우 낮은 회원국들이다.

2024년 말 전면 시행된 EU의 **암호자산시장규정(MiCA)**에는 일정 금액 이상 암호화폐 이체에 대해 송·수신자 정보를 의무화하는 ‘트래블 룰’이 포함됐다. 찬성론자들은 이를 통해 일부 OTC 출구 경로가 차단된다고 본다. 반면 비판론자들은 북한이 이미 비수탁(언호스티드) 지갑과 EU 규제권 밖 관할지역을 이용해 KYC를 우회할 정도로 세련된 운영 역량을 갖고 있다며, 실효성에 의문을 제기한다.

온체인 포렌식이 실제로 보여주는 것

암호화폐 탈취를 북한 소행으로 보는 건 정치적 주장이라기보다, 누구나 검증 가능한 온체인 데이터를 기반으로 한 분석이다. 퍼블릭 블록체인 데이터와 지갑 클러스터링 도구에만 접근할 수 있다면, 어떤 연구자든 독립적으로 동일한 결론에 도달할 수 있다.

북한이 특정 프로토콜을 해킹하면, 초기 탈취 트랜잭션은 곧바로 온체인에 찍힌다. 이후 자금은 공격자 지갑으로 이동한 뒤, 일련의 스왑·브리지·믹싱 과정을 거친다. 또 다른 블록체인 분석업체인 **엘립틱(Elliptic)**은 북한 지갑들의 행동 패턴을 기반으로 한 클러스터링 방법론을 공개했다. 특정 시간대에 반복되는 이동, 선호하는 스왑 경로, 중간 지갑에 미량(dust)을 남기는 특유의 습성, 장기간 지갑 클러스터 내에서 자금을 머물게 하는 경향 등이 대표적인 특징이다.

엘립틱의 지갑 클러스터링 분석은 북한 탈취 작전에 연관된 주소 1만5,000개 이상을 식별해, 믹싱 이후에도 자금 흐름을 추적할 수 있는 거대한 지갑 네트워크 그래프를 구축했다.

FBI의 해킹 사건 귀속 공지, 예컨대 알파포(Alphapo) 해킹과 2023년 아토믹 월렛(Atomic Wallet) 탈취 사건 등은 이러한 온체인 포렌식과 기밀 신호정보(SIGINT)를 결합해 나온 결과다.

퍼블릭 블록체인 데이터와 정부 정보자산의 결합 덕분에, 전통 금융·사이버범죄 수사와 비교해도 훨씬 높은 수준의 귀속 신뢰도가 확보되고 있다는 평가가 많다. 전통 범죄 수사에는 애초에 이 정도의 ‘디지털 족적’이 존재하지 않는다.

별도로 작동하는 IT 노동자 수익 채널

해킹 조직과는 별개로, 북한은 2024~2025년 들어 사법 당국의 주목을 크게 받은 또 하나의 암호화폐 수익 프로그램을 운영 중이다. 수천 명 규모로 추정되는 북한 국적 IT 인력이 AI 생성 문서와 딥페이크 영상으로 위장 신원을 만들어, 북미·유럽의 암호화폐 회사와 웹3 스타트업에 원격 개발자로 취업한 뒤 급여를 북한으로 송금하고 있는 것이다.

미국 **법무부(Department of Justice)**는 2024년 5월, 이 같은 위장 IT 노동자 스킴을 통해 북한 인력을 300곳 넘는 미국 기업에 취업시킨 혐의로 14명을 기소했다.

기소장에 따르면 개별 IT 노동자들은 연간 25만~30만 달러 수준을 벌어들였고, 수년에 걸쳐 누적 수익은 수천만 달러에 이른 것으로 추정된다. 2024년 5월 기소 문건은, 일부 북한 IT 인력이 미국 내 암호화폐·테크 기업에서 연 30만 달러에 달하는 급여를 받았으며, 이 자금이 미국·영국·중국 내 중개 네트워크를 통해 북한으로 송금됐다고 적시했다.

이 IT 노동자 스킴은 암호화폐 산업 입장에선 특히 위협적이다. 외부 공격자가 방어선을 뚫는 것과 달리, 개발팀 내부에 ‘합법적 자격을 갖춘 인사’로 침투하는 방식이기 때문이다. 내부 권한과 저장소 접근 권한을 갖춘 개발자는, 외부 해커보다 훨씬 치명적인 공격 지점을 쥐고 있다.

여러 보안 연구자들은 분석에서 의심스러운 커밋 패턴, 설명되지 않는 저장소 접근, 상식 밖의 근무 시간대 등이 북한 IT 노동자일 수 있는 신호로 간주되고 있으며, 보안에 민감한 암호화폐 기업들은 이런 징후들을 면밀히 모니터링하고 있다고 지적한다.

IT 노동자 스킴과 개발자 대상 사회공학(가짜 채용 제안 등) 공격이 맞물리면서, 북한의 암호화폐 산업 공격 면(surface)은 입체적으로 확장됐다. 외부 해커, 속아 넘어간 개발자, 그리고 조직 내부에 심어진 공작 인력이 동시에 작동하는 다중 위협 벡터가 형성된 셈이다.

산업 전반의 보안 대응

암호화폐 업계의 북한 대응은 양적으로는 상당하지만, 질적으로는 불균형하다.

자금 여력이 충분한 상위 프로토콜들은 배포 전 광범위한 보안 감사를 진행하고, 6자리(달러) 규모의 상금이 걸린 버그 바운티 프로그램을 상시 운영하며, 공격 연구(오펜시브 리서치) 백그라운드를 가진 전담 보안팀을 내부에 두고 있다. 이 같은 보안 투자 집중 현상 자체가, 자본과 유동성이 상위 소수 프로토콜에 쏠리는 암호화폐 시장의 파워 법칙(power law)을 그대로 반영한다.

웹3 대표 버그 바운티 플랫폼인 **이뮤니파이(Immunefi)**는 2025년 중반까지 누적 버그 바운티 지급액이 1억 달러를 넘어섰다고 집계했다. 이를 통해 잠재적으로 수십억 달러 손실을 야기할 수 있었던 취약점들이 사전에 식별·제거됐다. 이뮤니파이가 지금까지 지급한 단일 최고 보상액은 한 대형 디파이(DeFi) 프로토콜의 치명적 결함을 사전에 발견한 화이트햇 리서처에게 지급된 1,000만 달러였다.

하지만 이런 보안 투자 대부분이 소수 상위 프로토콜에 집중되면서, 여전히 수십억 달러 상당의 총 예치 자산(TVL)을 보유한 중소형 디파이 프로젝트들은 구조적으로 방어력이 취약한 상태에 놓여 있다.

수많은 대형 해킹의 진원지가 된 ‘크로스체인 브리지’ 문제는, 이제 자체적인 아키텍처 혁신을 낳는 단계에 접어들었다.

핵심 흐름은 검증인 위원회(validator committee)에 의존하는 기존 구조 대신, 제로 지식증명(ZKP)을 활용해 소스 체인 상태를 검증하는 ‘신뢰 최소화(trust-minimized)’ 브리지로의 전환이다.

**석싱트 랩스(Succinct Labs)**와 **폴리헤드라 네트워크(Polyhedra Network)**와 같은 프로젝트는, 로닌처럼 위원회 구조의 취약점을 드러낸 브리지들을 대체하기 위해, 신뢰된 위원회 가정(trusted committee assumption)을 제거하는 ZK 라이트 클라이언트 인프라 구축에 주력하고 있다.

이 새로운 브리지 아키텍처가 실제 공격 압력 아래에서 어느 정도 성과를 낼 수 있을지는, 아직 검증이 진행 중이다.안보 인프라가 북한의 역량 고도화 속도를 실제로 앞지르고 있는지 여부는 여전히 매우 불확실하다.

2026년 상반기 기준 66%라는 비중은, 업계가 막대한 보안 투자를 이어가고 있음에도 공격자가 그 속도를 충분히 따라잡고 있음을 시사한다.

함께 읽기: SpaceXAI, 600억달러 딜 마무리 전 ‘커서 기반 클로드 킬러’ 선제 구축 노린다

지정학적 함의와 향후 시나리오

가상자산 탈취는 북한의 가장 중요한 대외 결제 수단이자 외화 조달 창구다.

이는 과장된 수사가 아니라, 미국 재무부·유엔·역내 정보당국이 공통으로 인정해 온 실제 작전 현실을 반영한다.

유엔 전문가 패널은 북한의 가상자산 탈취 수익을 2017년부터 2023년까지 약 30억달러로 추정했으며, 이후 그 속도가 더 빨라지고 있다고 평가했다.

이 자금은 전통적인 의미의 ‘국고’로 단순 귀속되는 것이 아니다.

직접적으로 각종 무기 개발 프로그램, 특히 평양 정권이 최우선 전략 과제로 삼는 탄도미사일 및 핵탄두 소형화 프로젝트로 흘러들어간다.

디파이(DeFi) 프로토콜에서 1달러가 도난당할 때마다, 이는 미·한·일 군 당국이 위협 평가 모델에 반영하는 무기체계의 물적·기술적 역량으로 전환될 잠재력을 갖는다.

유엔 전문가 패널은 2017~2023년 약 30억달러 규모의 탈취가 무기 프로그램 자금 조달과 직결된다고 지적하며, 블록체인 보안 자체를 동북아 안보 계산의 ‘실시간 변수’로 끌어올렸다.

이어 읽기: 더 저렴한 Fable 5 대안 5선: 일상형 AI 업무, 과금 폭탄 피하는 법

마무리: 숫자가 말하는 것

2026년 상반기 66.2%라는 수치는 단순한 통계상의 특이점이 아니다.

이는 세계에서 가장 정교한 국가 기반 사이버 조직 가운데 하나와, 전통적으로 ‘시장 선점’에 보안을 후순위로 둬온 가상자산 업계 간 경쟁 구도의 현주소를 보여주는 신호다.

2017년 기회주의적 거래소 해킹에서 2022년 로닌 브리지 사태, 그리고 현재 개발자·브리지·내부자를 동시다발적으로 겨냥하는 다중 벡터 공세에 이르기까지, 이 경쟁 구도의 궤적은 위협 주체가 학습·적응·규모 확장을 업계의 방어 투자 속도보다 빠르게 수행해왔음을 입증한다.

북한에 유리하게 작동하는 구조적 요인도 단기간에 사라질 기미가 없다.

북한은 민간 이탈 유인이 사실상 없고, 대외적 책임 추궁도 받지 않으며, “가용 수단을 총동원해 수익을 창출하라”는 국가적 임무를 부여받은 조직형 사이버 인력을 보유하고 있다.

반면 가상자산 업계의 보안 지형은 극도로 분산돼 있다. 가장 가치가 큰 프로토콜들은 방어력이 크게 강화됐지만, 장기 꼬리(Long Tail)에 해당하는 중소형 디파이 프로젝트 상당수는 구조적으로 인력·자본이 부족한 상태다.

그리고 생태계 곳곳의 유동성을 연결하는 크로스체인 브리지는 여전히 구조적 복잡성이 높아, 설계·운영 전반에 걸쳐 지속적으로 악용 가능한 취약 가정들이 남아 있는 인프라로 남아 있다.

북한, 전 세계 암호화폐 해킹 피해의 3분의 2 쓸어 담았다