북한 해커의 암호화폐 해킹 활동사(史): 기술 수단과 전략의 진화

Abstract

2010년대 후반 이후, 북한 정부의 지원을 받는 해커들은 암호화폐 산업을 지속적으로겨냥한 사이버 공격을 통해 막대한 불법 수익을 창출하며 글로벌 사이버 보안에 대한 지속적인 위협으로 부상해왔다. 본 연구는 2017년 이후 업비트, 바이낸스, Ronin 브리지, Horizon 브리지, Atomic Wallet 등 주요 해킹 사례를 중심으로 북한의 암호화폐 해킹활동을 역사적ㆍ제도적 관점에서 분석한다. 시계열적 사례 분석과 해킹 기법의 기술적 분류를 통해, 라자루스 그룹이 스피어피싱, 악성코드, 공급망 침투 등의 수단을 활용하여 블록체인 인프라, 중앙화 거래소, 지갑 서비스 등 다양한 취약 지점을 어떻게 공략했는지를 고찰하였다. 또한 탈취된 암호자산이 믹서와 크로스체인 환전을 통해 자금세탁 되는 경로를 추적하고, 이러한 행위가 글로벌 자금세탁방지(AML) 정책 및 제재 체계에 미친 영향을 평가하였다. 분석 결과, 이와 같은 반복적 사이버 공격은 역설적으로 암호화폐 산업의 내부 보안 강화 및 거버넌스 구조 정비를 촉진하며 제도화 과정을 가속화하였다. 특히 중앙화 거래소는 규제 수용 전략을, 탈중앙화 금융(DeFi) 프로토콜은 자율 거버넌스를 통한 규제 회피전략을 추구함으로써 이중 제도화 구조가 형성되었음을 확인하였다. 본 연구는 북한의 사이버 공격이 외생적 충격으로 작용하여 암호화폐 산업의 제도적진화를 유도한 경로를 분석하며, 사이버 위협과 제도적 대응의 공진화 과정을 통해 디지털 금융 시장의 규범 형성과 산업 구조 변화에 대한 경영사학적 통찰을 제시한다.

Since the late 2010s, state-sponsored North Korean hackers have increasingly threatened global cybersecurity by targeting the cryptocurrency sector. This study presents a historical and analytical overview of key incidents, including the Upbit, Binance, Ronin Bridge, Horizon Bridge and Atomic Wallet incidents. Using chronological and technical analysis, it explores how the Lazarus Group exploited vulnerabilities across blockchain systems, centralized exchanges, and wallets through spear phishing, malware, and supply chain attacks. It also examines laundering methods such as mixers and cross-chain swaps, assessing their implications for global anti-money laundering (AML) efforts. The findings reveal that repeated attacks have ironically accelerated crypto’s institutionalization, prompting stronger security and governance. The study identifies a dual structure: centralized exchanges move toward compliance, while DeFi protocols maintain regulatory avoidance through autonomous governance. By tracing the co-evolution of cyber threats and institutional responses, this paper contributes to the understanding of how external risks shape industry governance and regulatory development in emerging digital financial markets.