2019년 암호화폐 거래소 ‘업비트’에서 이더리움 34만2000개를 탈취한 사건에 대해 경찰이 “북한의 소행”이라고 결론내렸다. 북한 정찰총국 산하 해커 조직 라자루스 등이 코인 탈취에 가담했고, 해커들의 통신망에서 “헐한 일”(쉬운 일) 등 북한말을 사용한 흔적도 찾아냈기 때문이다. 가상자산거래소에 대한 사이버 공격이 북한 소행임이 밝혀진 건 이번이 처음이다.

경찰청 국가수사본부는 21일 “수사를 통해 확보한 북한의 아이피(IP) 주소와 탈취된 암호화폐의 흐름, 북한 어휘 사용 내용 등의 증거와 미국 연방수사국(FBI)과의 공조로 취득한 자료를 종합해 결론을 내렸다”며 이같이 밝혔다.

2019년 11월 업비트가 보관 중이던 암호화폐 ‘이더리움’ 34만2000개가 익명 계좌로 유출되는 일이 발생했다. 유출된 이더리움이 “당시 시세로 총 580억원, 현 시세로는 1조4700억원 상당”이라는 게 경찰 설명이다.

수사에 착수한 경찰은 유출된 이더리움이 절반 넘게 암호화폐 교환 사이트 3곳을 통해 시세보다 약 2.5% 싼 가격으로 다른 암호화폐 ‘비트코인’으로 바뀐 것을 확인했다. 경찰은 이 교환 사이트들 또한 북한이 만든 것으로 추정하고 있다. 빼돌려진 암호화폐의 57%가량이 이 3곳의 사이트로 한번에 보내졌기 때문이다. 나머지 43%가량은 중국·미국·홍콩 등 13개 국가 소재 거래소 51곳으로 분산 전송됐다고 한다.

미국 정부는 2020년 8월 업비트 암호화폐 탈취 사건의 배후로 북한 해커 조직 ‘라자루스’를 지목했다. 경찰 또한 수사를 거쳐 라자루스뿐 아니라 북한의 또 다른 해커 조직인 ‘안다리엘’이 범행에 관여하는 등 북한의 사이버 공격이 복합적으로 이뤄졌다고 파악했다.

특히 경찰은 수사 과정에서 사이버 공격자 측이 사용한 정보통신기계 분석을 통해 북한 어휘가 사용된 흔적을 확인했다. 조직 내부에서 오간 말 중 ‘헐한 일’(북한에선 쉬운, 만만한 일이란 뜻)이란 표현이 있었다고 한다.

경찰은 빼돌려진 코인 일부가 스위스 소재 암호화폐 거래소에 보관된 것을 확인하고 스위스와의 공조를 진행해 지난달 약 6억원 상당의 비트코인 4.8개를 환수했다. 그러나 경찰은 국가 간 공조가 쉽지 않고 해외 거래소 측의 비협조로 인해 추가 환수 절차가 진행될 가능성은 작다고 봤다. 경찰은 북한이 암호화폐를 섞어 여러 곳에 보내는 방식인 ‘믹싱(Mixing)’을 통해 출처 확인을 어렵게 하고, 자금 세탁을 한 것으로 보고 있다.