체포는 7월 12일 밤에 발생했으며, 국가정보원 요원들이 수도의 안전가옥을 급습하여 출처에 따르면 수억 달러를 세탁하는 과정에서 컴퓨터 앞에서 도모자들을 적발했습니다. 요원들은 수백만 달러 상당의 일회용 휴대폰 및 기타 장비를 압수했습니다.

그 후 무장 요원들은 외국무역은행 본부와 현지 통화를 발행하는 조선중앙은행의 컴퓨터 센터를 고립시켜 외부와의 접근을 차단했습니다. 출처는 rogue 전파를 추적할 수 있는 장비를 갖춘 차량들이 평양을 뒤졌다고 덧붙였습니다.

체포는 외화 송금 승인 discrepancies와 이상한 외국 IP 주소 발견과 연결되었습니다.

rogue 사이버 베테랑들이 북한을 배신하다

The 보고서 외화 송금 승인 시 발견된 불일치와 이상한 해외 IP 주소와 연루되었다고 밝혔다.

북한을 향한 악의적인 사이버 베테랑들

출처에 따르면 관료들을 분노하게 만든 점은, 이 사건의 주모자들이 북한 군사 정보 기관인 총정치국 소속 사이버 부대 출신의 전직 요원들이라는 점이었다. 이들은 해외 작전에 관여한 경력이 있었으며, 제대 후 김책공업종합대학과 평양과학기술대학의 젊은 기술 전문가들을 모집해 국가 안보 기구의 눈치를 보지 않고 자금을 빼돌리는 비밀 네트워크를 형성했다.

출처에 따르면 이 범죄의 동기는 정치적 또는 이념적 신념이 아닌 개인적 이득이었다. 이 사건은 평양 자체의 사이버 도구가 그 시스템에 대해 사용되었다는 점에서 독특하다. 한 관료는 표준적인 징계 조치 외에도 관련자들의 가족들이 영구적인 공포 속에서 살아야 할 것이라고 언급하며, 처벌이 “전 가족 계통이 감당하기 어려울 것”이라고 말했다.

수법(state-sponsored)은 중국에서 국가 후원 해커들이 보통 암호화폐 수익을 세탁하는 방식과 유사했다. 해커들의 네트워크는 내부 은행 계좌에서 해외 암호화폐 지갑으로 외화 및 국영 무역 회사 자금을 소량씩 이체했다.

그곳에서 디지털 자산은 중국의 암호화폐 거래 브로커를 통해 중국 위안화 및 미국 달러로 교환되었다. 현금 이체는 평안북도 신의주와 량강도 혜산의 국경 도시에서 현지 중개인을 통해 이루어졌다. 이 사기에 참여한 신원을 숨기기 위해 암호화 메신저, 미등록 휴대전화 및 중국산 위성 통신 장치가 사용되었다.

북한은 이번에는 구매자이자 피해자다

최신 사건의 중요성은 북한이 일반적으로 이러한 사기 schemes에서 반대편에 서는 경우가 많다는 점에 있다. TRM Labs에 따르면 데이터, 국가 후원 해커들은 76%의 모든 암호화폐 절도 사건의 배후에 있다. 암호화폐 절도 사건은 2026년 4월까지 약 5억 7,700만 달러에 달하는 금액 중 대부분이 두 가지 작전으로부터 발생했다. 4월 1일 2억 8,500만 달러 규모의 익스플로잇과 4월 18일 KelpDAO에 대한 2억 9,200만 달러 규모의 익스플로잇이 있었다. 

TRM은 정권의 누적 암호화폐 절도액을 Drift Protocol 스마트 계약에서 인출된 60억 달러 이상, 그리고 2017년 이후 총 60억 달러로 추정한다. 블록체인 인텔리전스 회사 체인alysis(Chainalysis)에 따르면 북한 해커들은 지난 회계연도에 기록적인 20억 달러의 암호화폐를 절도했다.

북한에 대한 제재 모니터링을 위한 다국적 협의체는 중국 장외 외환 딜러들이 북한 해커들의 암호화폐 수익을 현금으로 전환하는 데 중요한 역할을 했다고 결론지었다. 이는 이번 범죄 schemes에서도 시사하는 바가 있다.