조선 해커가 '풍년'을 맞이했습니다: 2025년 기록적인 자금 도난, 자금 세탁 주기는 약 45일입니다

원문 제목: 북한, 사상 최대 20억 달러 암호화폐 탈취로 사상 최대 총액 67억 5000만 달러 달성

원문 출처: Chainalysis

원문 번역: Felix, PANews

연이은 북한 해커들의 암호화폐 산업 공격에 대응하여, Chainalysis는 2025년 해커 공격 보고서에서 북한 해커의 공격 경로에 중점을 두었습니다. 아래는 내용 상세입니다.

주요 포인트:

· 북한 해커들은 2025년에 202억 달러 상당의 암호화폐를 탈취했으며, 전년대비 51% 증가했으며, 공격 횟수가 감소했지만 누적 도난 총액은 이미 675억 달러에 이릅니다.

· 북한 해커들은 더 적은 공격 횟수로 보다 많은 암호화폐를 훔치며, 종종 IT 직원을 암호화폐 서비스 내부에 침투하거나, 경영진을 대상으로 한 정교한 위장 전략을 사용하여 이루어집니다.

· 북한 해커들은 중국어 세탁 서비스, 크로스체인 브릿지 서비스, 그리고 믹싱 프로토콜을 확실히 선호하며, 대규모 탈취 사건 이후, 세탁 주기는 약 45일입니다.

· 2025년에 개인 지갑 도난 사건이 15.8만 건으로 급증했으며, 8만 명의 사용자가 피해를 입었으나, 총 탈취 금액(71.3억 달러)은 2024년 대비 하락했습니다.

· DeFi의 총 잠금 가치(TVL)는 증가했지만, 2024년부터 2025년까지 해커 공격 손실은 여전히 낮은 수준을 유지하며, 이는 보안 조치의 개선이 상당한 효과를 나타냄을 시사합니다.

2025년에 암호화폐 생태계는 재차 심각한 도전을 마주했으며, 탈취된 자금은 계속해서 증가했습니다. 분석 결과, 암호화폐 탈취 패턴은 네 가지 주요 특징을 나타냄: 북한 해커는 여전히 주요 위협 출처; 중앙화 서비스 개인 공격이 더욱 심각해짐; 개인 지갑 도난 사건 급증; DeFi 해커 공격 트렌드 예상외로 분화됨.

전반적인 상황: 2025년 탈취 금액이 34억 달러 넘음

2025년 1월부터 12월 초까지, 암호화폐 산업은 34억 달러를 넘는 금액을 탈취했으며, 이 중 2월에만 Bybit이 겪은 공격이 150억 달러를 차지했습니다.

데이터는 이러한 해킹 사건들의 중요한 변화를 보여줍니다. 개인 지갑 해킹 사건이 크게 증가했으며, 2022 년에 전체 해킹 금액의 7.3%를 차지했던 것이 2024 년에는 44%로 상승했습니다. Bybit 공격 사건의 영향이 크지 않았다면, 2025 년이면 이 비율이 37%에 이를 것으로 예상됩니다.

한편, 개인 키 기반 인프라와 서명 프로세스를 향한 복잡한 공격으로 인해 중앙화된 서비스는 점점 더 큰 손실을 입고 있습니다. 이러한 플랫폼들은 기관의 자원과 전문적인 보안 팀을 보유하고 있음에도 냉지갑(Cold Wallet) 제어를 우회할 수 있는 위협을 받고 있습니다. 이러한 침입 사건은 빈발하지는 않지만(아래 그림 참조), 발생 시 대규모 금액이 탈취되며, 2025 년 제1분기에는 이러한 사건으로 인한 손실이 총 손실의 88%를 차지했습니다. 많은 공격자들이 서명자가 악의적인 거래를 승인하도록 유도하는 제3자 지갑 통합을 활용한 방법을 개발했습니다.

암호화폐 보안이 일부 영역에서 개선되고 있다 할지라도, 여전히 높은 탈취 금액은 공격자들이 다양한 수단으로 성공을 거두고 있다는 것을 보여줍니다.

상위 3대 해킹 공격으로 인한 손실이 총 손실의 69%를 차지하며, 극단적인 값은 중간 값의 1000배에 이르렀습니다

자금 탈취 사건은 일반적으로 극단적인 사건에 의해 주도되며, 대부분의 해킹 공격은 상대적으로 소규모입니다. 그러나 2025 년에는 상황이 악화되었습니다: 최대 규모의 해킹 공격과 모든 사건의 중간 값 간의 비율이 처음으로 1000배의 장벽을 넘었습니다. 현재 최대 규모 공격에서 탈취된 자금은 일반 사건에서 탈취된 자금의 1000배이고, 심지어 2021 년의 상승추세를 초과했습니다. 이러한 계산은 탈취 당시의 달러 가치에 기초합니다.

이러한 점점 더 커지는 격차로 인해 손실은 높은 집중도를 갖추게 됩니다. 2025 년에는 상위 3대 해킹 공격으로 인한 손실이 전체 손실의 69%를 차지하며, 개별 사건이 연례 총 손실에 미치는 영향은 유독 큽니다. 공격 빈도가 변동할 수는 있지만, 자산 가격이 상승하면 중간 값 손실도 증가할 것이며, 개별 주요 취약점으로 인한 잠재적 손실은 더 빠른 속도로 증가하고 있습니다.

확인된 공격 사건은 감소했지만, 북한은 여전히 주요 위협이 됩니다

공격 빈도는 크게 감소했지만, 북한은 여전히 암호화폐 보안에 가장 심각한 위협으로 남아 있으며, 2025 년에 유출된 암호화폐 자금은 새로운 기록을 세웠으며, 최소한 20.2 억 달러(2024년 대비 6.81 억 달러 증가)에 이르렀으며, 51% 증가했습니다. 탈취된 금액을 기준으로, 이는 북한 암호화폐 탈취 사건이 기록된 가운데 가장 심각한 해입니다. 북한의 공격으로 인한 사건은 모든 침입 사건의 76%를 차지하며, 역사적인 최고치를 기록했습니다. 전반적으로, 북한의 암호화폐 탈취 누적 총액은 최소한 67.5 억 달러에 달합니다.

북한 해커들은 점차적으로 IT 직원(주요 공격 수단 중 하나)을 내부 암호화 서비스에 배치하여 특권 액세스를 얻고 대규모 공격을 수행합니다. 올해 역대급의 공격 사건은 북한이 거래 플랫폼, 호스팅 기관 및 Web3 기업에 대한 침투에서 IT 직원에 더 의존하고 있음을 일부 반영할 수 있으며, 이는 초기 액세스 및 측면 이동을 가속화시키고 대규모 스틸링을 위한 조건을 마련할 수 있습니다.

그러나 최근 북한과 관련된 해커 그룹은이 IT 작업자 모델을 완전히 뒤바꾸었습니다. 그들은 더 이상 직책을 신청하여 직원 신분으로 침투하는 것이 아니라, 점점 더 유명한 Web3 및 AI 기업의 채용 담당자로 위장하여 정교하게 계획된 가짜 채용 프로세스를 통해 최종적으로 「기술 선발」을 광고함으로써 피해자의 로그인 자격 증명, 소스 코드 및 현재 고용주의 VPN 또는 SSO 액세스 권한을 획득합니다. 경영진 수준에서는 이와 유사한 사회 공학 기술이 가짜 전략적 투자자 또는 인수자의 접촉 형태로 나타나며, 그들은 소개 회의와 가짜 신중한 조사를 사용하여 민감한 시스템 정보 및 잠재적으로 고가치 기반 인프라를 조사합니다. ─이러한 발전은 북한 IT 직원의 사기 행위에 직접적으로 근간을 두며, 전략적 중요성을 갖는 AI 및 블록체인 기업에 초점을 맞추고 있습니다.

과거 몇 년 동안 얻는 것을 보면 북한이 계속해서 가장 높은 가치의 네트워크 공격을 수행하고 있음을 알 수 있습니다. 아래 그림에서 볼 수 있듯이, 2022 년부터 2025 년까지 북한 해커 공격이 가장 높은 가치 구간을 차지하며, 비북한 해커 공격은 모든 스틸 킷 규모에서 비교적 정상적으로 분포됩니다. 이러한 패턴은 북한 해커가 공격할 때 대형 서비스를 겨냥하고 최대한 영향을 미치기 위해 노력한다는 것을 더욱 명확히 보여줍니다.

올해의 역대적인 손실은 알려진 사건의 크게 감소한 것에서 비롯되었습니다. 이러한 변경(사건 감소 및 손실 대폭 증가)은 2025 년 2 월 바이빗 대규모 해커 공격 사건의 영향을 반영합니다.

북한의 독특한 세탁 모델

2025 년 초에 대규모로 도난당한 자금은 북한 해커가 어떻게 대규모로 암호화폐를 세탁하는지 밝혀냈습니다. 그들의 모델은 다른 사이버 범죄자들과는 완전히 다르며 시간이 흐름에 따라 변화하고 있습니다.

북한의 세탁 활동은 명백한「분할」모델을 나타냅니다. 거래량의 60% 이상이 50 만 달러 미만에 집중되어 있습니다. 반면, 기타 해커가 체인 상에서 이체한 자금 중 60% 이상이 100 만 달러에서 1000 만 달러 이상의 범위 내에서 일괄적으로 이루어지고 있습니다. 북한은 각각의 세탁에 더 많은 금액을 사용하지만 체인 상 이체를 더 작은 일괄로 나누어, 세탁 수단의 복잡성을 강조하고 있습니다.

다른 해커들과 비교하여, 북한은 특정한 자금 세탁 단계에서 명확한 선호도를 보여줍니다:

북한 해커들은 주로 다음을 선호합니다:

· 중국어 자금 이체 및 담보 서비스 (+355% 이상)：이것은 가장 두드러진 특징으로, 중국어 담보 서비스에 심하게 의존하며 규제 감시가 상대적으로 취약한 다수의 자금 세탁 운영자로 구성된 자금 세탁 네트워크에 의존합니다.

· 크로스체인 브리지 서비스 (+97%)：다른 블록체인 간 자산 이전에 높은 의존성이 있으며, 추적을 어렵게 하려고 시도합니다.

· 혼합 서비스 (+100%)：자금 이동을 숨기기 위해 더 많은 혼합 서비스를 사용합니다.

· Huione과 같은 전문 서비스 (+356%)：전략적으로 특정 서비스를 사용하여 자금 세탁 활동을 지원합니다.

다른 자금 세탁 활동에 참여하는 해커들은 주로 다음을 선호합니다:

· 대출 프로토콜 (-80%)：북한은 이러한 DeFi 서비스를 피하며, 더 광범위한 DeFi 생태계와의 통합이 제한되어 있음을 보여줍니다

· KYC 없는 거래 플랫폼 (-75%)：놀랍게도, 다른 해커들은 북한보다 더 많이 KYC 없는 거래 플랫폼을 사용합니다

· P2P 거래 플랫폼 (-64%)：북한은 P2P 플랫폼에 관심이 제한됩니다

· CEX (-25%)：다른 해커들은 전통적 거래 플랫폼과 직접 상호 작용이 더 많습니다

· DEX (-42%)：다른 해커들은 DEX 사용을 더 선호하며, 이는 높은 유동성과 강력한 익명성을 가지고 있기 때문입니다

이러한 패턴은 북한의 활동이 비국가 지원 네트워크 범죄자와는 다른 제약과 목표의 영향을받는다는 것을 보여줍니다. 그들은 전문적인 중국어 자금 세탁 서비스와 장외 거래소(OTC)와 밀접한 관련이 있다는 것을 보여줍니다.

북한 해커 공격 후 도난당한 자금의 세탁 타임라인

2022년부터 2025년까지 북한에 귀속된 해커 이벤트 후 체인 상 활동 분석에 의하면, 이러한 이벤트는 암호 생태계에서 자금 도난 후의 흐름과 일관된 패턴을 보여줍니다. 중대한 도난 사건 이후, 도난한 자금은 구조화되고 다단계적인 자금 세탁 경로를 따르며, 이 프로세스는 약 45일 동안 지속됩니다:

제 1 단계：즉시 레이어링(0-5 일)

해커 공격 발생 후 초기 몇 일 동안, 일련의 활동이 비정상적으로 활발하게 관찰되었으며, 주로 훔쳐진 자금을 즉시 이동시키는 데 중점을 두었습니다:

· DeFi 프로토콜의 훔쳐진 자금 이동량이 가장 크게 증가했습니다 (+370%), 주요 침입점이 되었습니다.

· 혼합 서비스의 거래량도 크게 증가했습니다 (+135-150%), 첫 번째 단계의 혼란을 구성했습니다.

· 이 단계는 긴급한 "첫 번째 단계" 조치를 나타내며, 초기 도난 행위와의 경계를 명확히 하려는 것입니다.

두 번째 단계: 초기 통합 (6-10일)

두 번째 주에 진입하면서, 자금 세탁 전략은 더 넓은 생태계 서비스로 자금을 유입시키는 데 초점을 맞췄습니다:

· KYC 제한이 적은 일반 거래일 (+37%) 및 CEX (+32%)이 자금 유동성을 받기 시작했습니다.

· 두 번째 단계 혼합 서비스 (+76%)가 자금 세탁 활동을 상대적으로 낮은 강도로 계속했습니다.

· XMRt와 같은 크로스체인 브리지 (+141%)는 자금의 블록체인간 이동을 분산하고 은폐하는 데 도움이 되었습니다.

· 이 단계는 핵심적인 이행 기간으로, 자금이 잠재적인 탈출 경로로 이동하기 시작합니다.

세 번째 단계: 장맛비통한 통합 (20-45일)

마지막 단계는 최종적으로 현금 또는 다른 자산으로 교환 가능한 서비스에 명백히 치우칩니다:

· KYC가 필요없는 일반 거래일 (+82%) 및 보증 서비스(예: 감자 보증, +87%)의 사용량이 크게 증가했습니다.

· 즉시 거래일 (+61%) 및 중국어 플랫폼(예: 훼왕, +45%)이 최종 교환 지점이 되었습니다

· CEX(+50%)도 자금을 받아, 자금을 합법적 자금과 섞으려는 복잡한 시도가 있음을 나타냈습니다.

· 중국어 자금 세탁 네트워크(33%)와 Grinex(+39%)와 같은, 보다 감시가 적은 사법 관할지역은 이 패턴을 정리하는 데 기여하였습니다.

이 사태는 45일로 보통 한 자금 세탁 조작 창이 법 집행 및 규정 준수 팀에게 중요한 정보를 제공했습니다. 이러한 패턴은 수년에 걸쳐 지속되었으며, 북한 해커가 운영상 제한으로 직면하고 있음을 보여줍니다. 이는 특정 중간인과의 조정 및 재정 인프라 획득 경로가 제한되어 있으며, 특정 규정을 준수해야하는 이유일 수 있습니다.

이들 해커들이 이 정확한 시간표를 항상 준수하는 것은 아니지만 - 일부 훔쳐진 자금은 수개월 또는 수년간 휴면 상태일 수 있습니다 - 이러한 패턴은 그들이 암호화폐를 세탁할 때의 전형적인 on-chain 행동을 대표합니다. 또한, 이 분석에서 발생할 수있는 결함에 대해 인식해야 합니다. 특정 활동(예: 프라이빗 키 이전 또는 오프체인으로 암호화폐를 현금으로 교환)은 근거를 기반으로하지 않은 상황에서는 블록체인 상에서 보이지 않을 수 있습니다.

개인 지갑 해킹: 개인 사용자에 대한 위협이 심각해지고 있음

블록체인 패턴 분석 및 피해자 및 산업 협력자 보고를 통해 개인 지갑 해킹의 심각성을 이해할 수 있습니다. 실제 피해액은 훨씬 더 많을 수 있지만, 최저 추정치에 따르면 2025년 개인 지갑 해킹으로 발생한 가치 손실은 총 손실의 20%를 차지하며, 이는 2024년의 44%보다 낮습니다. 이는 규모와 패턴이 모두 변화했음을 보여줍니다. 2025년의 해킹 사건 총 수는 15.8만 건으로 급증하여, 거의 2022년의 5.4만 건의 3배에 해당합니다. 피해자 수는 2022년 4만 명에서 2025년 최소 8만 명으로 증가했습니다. 이러한 현저한 성장은 암호화폐의 보급 증가로 인한 것으로 보입니다. 예를 들어, 가장 활발한 개인 지갑을 보유한 블록체인 중 하나인 Solana의 경우, 해킹 사건 수가 압도적으로 많습니다(약 2.65만 명의 피해자).

그러나 사건 및 피해자 수가 증가함에도 불구하고, 2025년에 개인 사용자로부터 각각 빼앗은 달러 총액은 2024년의 최고치인 15억 달러에서 7.13억 달러로 감소했습니다. 이는 공격자가 대상 사용자를 늘리지만 각 피해자 당 절도 금액은 감소했음을 나타냅니다.

특정 네트워크의 피해 데이터는 암호화폐 사용자에게 가장 큰 위협을 제공하는 영역에 대해 더 많은 통찰력을 제공합니다. 다음 그래프는 각 네트워크의 활성 개인 지갑에 대한 조정된 피해 데이터를 보여줍니다. 2025년에 대한 각 10만 개 지갑당 범죄율을 기준으로, 이더리움과 트론의 해킹 비율이 가장 높습니다. 이더리움의 대규모 사용자 규모는 해킹 비율과 피해자 수가 모두 높음을 보여주며, 트론의 순위는 활성 지갑 수가 적지만 여전히 높은 해킹 비율을 보여줍니다. 반면, Base와 Solana는 사용자 기반은 크지만 해킹 비율은 비교적 낮음을 보입니다.

이는 암호화 생태계에서 개인 지갑의 보안 위험이 균일하지 않음을 보여줍니다. 기술 구조가 유사하더라도 다양한 블록체인의 해킹 비율에는 차이가 있으며, 기술적 요소 외에도 사용자 인구 통계, 인기 애플리케이션 및 범죄 인프라와 같은 요소가 해킹 비율 결정에 중요한 역할을 합니다.

DeFi 해커 공격: 변화 모델이 시장 변화를 시사

2025년 DeFi 분야의 범죄 데이터는 역사적 추세와는 극명히 다른 패턴을 보여주고 있습니다.

데이터는 세 가지 근본적으로 다른 단계를 보여줍니다:

· 첫 번째 단계 (2020-2021 년): DeFi TVL 및 해커 공격 손실이 동시에 증가

· 제2 단계 (2022-2023 년) : 두 지표가 동시에 하락합니다.

· 제3 단계 (2024-2025 년) : TVL이 회복되지만, 해커 공격 손실은 안정적으로 유지됩니다.

첫 두 단계는 직관적인 패턴을 따릅니다: 직면한 위험 가치가 클수록 도난당할 수 있는 가치가 많아지며, 해커는 고가치 프로토콜에 대해 더 강력한 공격을 가합니다. 은행 강도범 Willie Sutton이 말했던 대로: "돈이 거기에 있기 때문에."

이로 인해 제3 단계의 차이가 더욱 두드러집니다. DeFi TVL은 2023년의 최저점에서 상당히 회복되었지만, 해커 공격으로 인한 손실은 증가하지 않았습니다. 이러한 프로토콜로 수십 억 달러가 다시 흐르더라도, DeFi 해킹 사건은 여전히 상대적으로 낮은 수준을 유지하며, 이는 중요한 변화를 의미합니다.

다음 두 가지 요인이 이러한 차이를 설명할 수 있습니다:

· 보안 강화: TVL이 계속 증가하더라도 해커 공격 비율은 지속적으로 감소함을 의미하며, 이는 DeFi 프로토콜이 2020-2021년보다 효과적인 보안 조치를 시행하고 있을 수 있다는 것을 나타냅니다.

· 타깃 이동: 개인 지갑 도난 및 중앙화 서비스 공격 사건의 증가는 공격자들의 주의가 다른 대상으로 이동하고 있음을 시사합니다.

사례 연구: Venus Protocol의 보안 대응

2025년 9월 발생한 Venus 프로토콜 사건은 강화된 보안 조치가 실질적인 효과를 나타내고 있음을 보여줍니다. 당시 공격자는 침입당한 Zoom 클라이언트를 이용하여 시스템 액세스 권한을 얻었으며, 한 사용자로 하여금 1300만 달러 가치의 계정 위임 권한을 부여하도록 유도했습니다. 이러한 상황은 재앙적인 결과를 초래할 수 있었으나, Venus는 정확히 한 달 전 Hexagate의 보안 모니터링 플랫폼을 활성화했습니다.

해당 플랫폼은 공격이 발생하기 18시간 전에 의심스러운 활동을 감지하고, 악의적 거래 발생 시 즉시 다른 경보를 발생시켰습니다. 20분 내에 Venus는 프로토콜을 일시 중지시켰으며, 어떠한 자금 이체도 막아냈습니다. 이러한 조직적인 대응은 DeFi 보안의 진보를 보여주었습니다:

· 5시간 내: 보안 점검 완료 후 일부 기능 복구

· 7시간 내: 공격자의 지갑 강제청산

· 12시간 내: 도난당한 자금 전액 환수 및 서비스 복원

가장 강조할 만한 점은, Venus 가 제안된 거버넌스를 통해, 공격자가 여전히 통제하는 300만 달러의 자산을 동결했음을 의미합니다; 공격자는 이득을 볼 수 없을 뿐 아니라 자금을 손실했습니다.

이 사건은 DeFi 보안 인프라가 실질적으로 향상되었음을 보여줍니다. 적극적인 모니터링, 신속한 대응 능력, 그리고 결단하여 행동을 취할 수 있는 거버넌스 메커니즘이 결합되어 전반적인 생태계를 더 유연하고 탄력적으로 만들었습니다. 공격은 여전히 발생하지만, 공격을 감지, 대응 및 심지어 되돌릴 수 있는 능력은 초기 DeFi 시대에서 성공적인 공격이 종종 영구적인 손실을 의미했던 상황과 비교해 근본적인 변화가 일어났습니다.

2026년 이후의 영향

2025년 데이터는 북한이 암호화 산업에 대한 가장 큰 위협으로 복합적으로 진화하는 모습을 보여주었습니다. 이 나라가 공격을 실행하는 횟수는 줄었지만, 파괴력은 크게 증가했으며, 이는 그들의 수단이 점점 더 교묘하고 더 많은 인내심을 갖고 있다는 것을 시사합니다. Bybit 사건이 그들의 연간 활동 양식에 미치는 영향은 북한이 중대한 도난을 성공적으로 수행할 때, 그들이 활동 속도를 낮추고 자금세탁에 집중하는 것을 나타냅니다.

암호화 산업에 대해, 이러한 발전은 고가치 대상에 대한 경계를 강화하고, 북한 특정 자금세탁 양식을 인식하는 능력을 향상시키는 것을 요구합니다. 그들은 특정 서비스 유형 및 이체 금액에 대한 지속적인 선호도로 감지의 기회를 제공하며, 다른 범죄자군과 구별되도록 도와주며 수사관들이 그들의 온체인 행위 양식을 인식하는 데 도움을 줍니다.

북한이 암호화폐 도난을 계속 활용하여 국가 우선 사항을 자금 지원하고 국제 제재를 회피함에 따라, 암호화 산업은 이제 북한의 운영 방식이 일반적인 사이버 범죄자와는 전혀 다르다는 것을 깨달아야 합니다. 2025년에 대한 북한의 기록적인 성과(알려진 공격이 74% 감소한 상황에서), 단순히 그들의 활동의 가장 눈에 띄는 부분만을 보았을 수도 있다는 점을 시사합니다. 2026년의 도전은, 북한이 Bybit 규모의 공격을 다시 실행하기 전에, 이러한 행동을 감지하고 막는 방법입니다.

Original Article Link

BlockBeats 공식 커뮤니티에 참여하세요:

Telegram 구독 그룹：https://t.me/theblockbeats

Telegram 토론 그룹：https://t.me/BlockBeats_App

Twitter 공식 계정：https://twitter.com/BlockBeatsAsia