북한 해커 조직 ‘라자루스(Lazarus)’의 비트코인 탈취 수법 분석

서론: 북한 해커 조직 라자루스와 비트코인 해킹의 실체

북한은 국제 사회의 경제 제재로 인해 정상적인 금융 시스템을 이용하는 것이 어려운 국가 중 하나다. 이러한 상황에서 북한 정부는 암호화폐, 특히 비트코인을 활용한 자금 확보 전략을 적극적으로 사용하고 있다. 그중에서도 가장 주목받는 방식이 바로 해킹을 통한 비트코인 탈취다.

이러한 공격의 중심에는 북한 정부가 직접 지원하는 해커 조직 '라자루스 그룹(Lazarus Group)'이 있다. 라자루스는 2017년 워너크라이(WannaCry) 랜섬웨어 공격, 2014년 소니픽처스 해킹 사건, 그리고 다수의 암호화폐 거래소 공격에 연루된 것으로 알려져 있다. 이들은 비트코인을 포함한 다양한 암호화폐를 대량으로 탈취하여 북한의 불법 자금 조달에 활용하는 것으로 분석된다.

이번 글에서는 라자루스 그룹이 어떤 방식으로 비트코인을 해킹하는지, 그들이 사용하는 최신 공격 기법, 그리고 이에 대한 보안 대응책까지 심층적으로 살펴보겠다.

---

1. 라자루스 그룹(Lazarus Group) 개요

라자루스 그룹은 2009년부터 활동을 시작한 것으로 알려진 북한 연계 해커 조직으로, 주로 금융 기관 및 암호화폐 거래소를 목표로 한 사이버 공격을 수행한다.

라자루스 그룹의 주요 특징

✅ 북한 정부의 지원을 받는 국가 해킹 조직
✅ 금융 기관 및 암호화폐 거래소를 주요 타겟으로 삼음
✅ 랜섬웨어, 피싱, 악성 코드 등을 활용한 다각적인 해킹 기법 사용
✅ 익명성을 유지하기 위해 다크웹, 믹싱 서비스(코인 세탁) 등을 적극 활용

 

라자루스 그룹은 단순한 금전적 해커 집단이 아니라 북한 정부의 군사 및 외교적 전략을 수행하는 도구로도 활용된다. 탈취된 비트코인은 북한의 핵 개발, 미사일 연구 자금 등으로 사용될 가능성이 높다는 분석이 있다.

---

2. 라자루스 그룹의 주요 비트코인 탈취 수법

라자루스 그룹은 일반적인 해커들과는 달리, 정교하고 체계적인 방식으로 비트코인을 탈취한다. 최근 몇 년 동안 사용된 주요 해킹 기법을 분석해보자.

1) 피싱(Phishing) 공격을 이용한 거래소 계정 탈취

라자루스는 암호화폐 투자자와 거래소 직원들을 노린 피싱 공격을 주요 전략으로 사용한다.

🔹 이메일 피싱: 투자자를 대상으로 가짜 암호화폐 투자 정보를 제공하며 악성 링크 클릭을 유도
🔹 소셜 엔지니어링: 가짜 SNS 계정(트위터, 링크드인 등)으로 거래소 관계자에게 접근해 신뢰를 구축 후 악성 파일 전송
🔹 피싱 웹사이트 제작: 실제 거래소와 똑같은 웹사이트를 만들어 로그인 정보를 입력하게 함

 

📌 실제 사례:

• 2020년, 라자루스 그룹은 유럽의 한 암호화폐 거래소 직원들에게 가짜 구인 제안을 보내고, 첨부 파일을 통해 악성코드를 감염시켜 내부 네트워크를 해킹한 바 있다.

2) 거래소 및 핫월렛(Hot Wallet) 해킹

암호화폐 거래소는 많은 양의 비트코인을 보유하고 있기 때문에 라자루스 그룹의 주요 목표다.

🔹 서버 취약점 공격: 거래소의 보안 취약점을 찾아내어 관리자 권한을 탈취
🔹 핫월렛 해킹: 거래소의 온라인 지갑을 직접 공격하여 비트코인을 탈취
🔹 내부자 매수: 내부 직원을 매수해 거래소 보안 정보를 빼돌림

 

📌 실제 사례:

• 2018년, 일본 암호화폐 거래소 '코인체크(Coincheck)'에서 5억 3천만 달러(약 6,000억 원) 상당의 암호화폐가 탈취되었으며, 이 공격의 배후에 라자루스 그룹이 있다는 분석이 있다.

3) 랜섬웨어를 이용한 비트코인 강탈

라자루스 그룹은 워너크라이(WannaCry) 랜섬웨어를 포함한 다양한 악성코드를 사용해 비트코인을 요구하는 방식도 활용한다.

🔹 공격 방식

• 피해자의 컴퓨터를 감염시키고 파일을 암호화
• 복구를 원할 경우 비트코인으로 몸값(ransom)을 지불하도록 강요
• 몸값을 받은 후에도 복구하지 않는 경우도 있음

📌 실제 사례:

• 2017년 워너크라이 랜섬웨어 사태에서 전 세계 150여 개국, 20만 대 이상의 컴퓨터가 감염되었으며, 피해 기업들에게 비트코인 지불을 요구함

4) 믹싱 서비스와 다크웹을 이용한 비트코인 세탁

라자루스 그룹은 훔친 비트코인을 직접 현금화하는 것이 아니라, 추적을 어렵게 만들기 위해 여러 단계를 거쳐 세탁한다.

🔹 믹싱 서비스 사용: 비트코인을 여러 개의 지갑을 거쳐 이동시키면서 추적을 어렵게 만듦
🔹 다크웹을 통한 판매: 다크웹에서 익명 거래를 통해 현금화
🔹 탈중앙화 거래소 활용: 신원 확인(KYC)이 필요 없는 DEX(탈중앙화 거래소)를 이용

 

📌 실제 사례:

• 2022년, 미국 정부는 라자루스 그룹이 탈취한 암호화폐를 '토네이도 캐시(Tornado Cash)' 믹싱 서비스를 사용해 돈세탁한 정황을 확인하고 이를 제재했다.

---

3. 라자루스 해킹에 대한 보안 대응책

라자루스 그룹의 공격을 막기 위해서는 다음과 같은 보안 조치가 필요하다.

 

✅ 2단계 인증(2FA) 활성화 – 거래소 및 개인 지갑 로그인 시 필수 적용
✅ 의심스러운 이메일 및 링크 주의 – 피싱 공격 예방
✅ 콜드월렛 사용 – 핫월렛보다 보안이 뛰어난 오프라인 지갑 사용
✅ 거래소 및 기업의 보안 강화 – 내부자 매수를 막기 위한 강력한 보안 프로토콜 적용
✅ 거래소 KYC 강화 – 비정상적인 거래 감시 시스템 도입

---

결론: 라자루스 그룹과 비트코인 해킹의 위협은 계속된다

라자루스 그룹은 북한의 금융 생존 전략의 핵심 중 하나이며, 앞으로도 계속 진화할 것이다. 기존의 금융 제재를 우회하기 위해 더욱 정교한 해킹 기술을 사용할 가능성이 크다.

비트코인과 암호화폐의 보안은 이제 개인뿐만 아니라 국가 안보 차원에서도 중요한 이슈가 되었다. 투자자와 거래소는 보다 철저한 보안 관리를 통해 이러한 공격에 대비해야 할 것이다.

라자루스 그룹의 위협이 사라지지 않는 한, 비트코인 보안도 끝없는 전쟁이 될 것이다.