북한 해커들이 AI로 전환, 북한이 암호화폐 해킹 손실의 66%를 차지

북한 해커들은 사이버 작전을 확대하기 위해 인공지능을 활용하고 있으며, 이미 전 세계 암호화폐 해킹 손실의 대부분을 차지하는 위협에 새로운 정교함을 더하고 있습니다.

북한과 연결된 해킹 그룹들은 2026년 상반기 전 세계 암호화폐 해킹 손실의 66%에 해당하는 약 6억 4,300만 달러의 암호화폐를 훔쳤습니다. 이는 블록체인 인텔리전스 기업 TRM Labs의 보고서 내용입니다.

이 수치는 해당 기간 동안 207건의 해킹 사건으로 9억 7,200만 달러의 손실을 입은 산업에서 북한 관련 행위자의 부상하는 지배력을 강조합니다.

이러한 발전은 사이버 보안 연구원들이 북한 정찰총국과 연결된 사이버 위협 그룹인 킴스키가 해킹 캠페인을 지원하기 위해 생성형 AI를 무기로 사용하고 있다는 사실을 발견한 시점과 맞물립니다. 한국 사이버 보안 기업 지니언스(Genians)의 새로운 보고서에 따르면 이 그룹은 Ollama, GPT4All, Msty와 같은 AI 도구 및 대규모 언어 모델 플랫폼을 검색 증강 생성(RAG) 기술과 함께 배포했습니다.

수년 동안 북한 해커들은 주로 실제 업무 연락처를 사칭한 가짜 이메일을 사용하여 외교, 학계, 보안 분야 사람들을 표적으로 삼았습니다. 그들은 국제 행사 자료, 연구 보고서, 초대장, 용역비 지급, 조사 협력 요청, 재무 및 법적 문서로 위장한 악성 파일을 발송했습니다.

그러나 보안 기업 지니언스에 따르면 킴스키가 이제 다음 파도의 공격을 위해 생성형 AI 도구를 테스트 중입니다. 이미 로컬 대규모 언어 모델(LLM), 검색 증강 생성(RAG) 환경, AI 지원 개발 환경을 구축했습니다. 

AI 사용은 북한 사이버 작전이 단순한 피싱 지원을 넘어 더 넓은 자동화 및 정보 수집 능력으로 이동하고 있음을 시사합니다. 연구원들은 AI 지원 코딩 도구, 음성-텍스트 시스템, 그리고 정당한 재무 및 암호화폐 자료를 모방하도록 설계된 AI 생성 문서의 증거를 발견했습니다.

킴스키는 Ollama, GPT4All, 그리고 Cursor AI를 활용 중입니다

지니언스는 킴스키가 무기화한 가상 자산 및 재무 관련 AI 생성 문서를 사용하여 표적을 기만했습니다. AI 콘텐츠는 톤과 디자인 모두에서 실제 기업 문서를 밀접하게 복제하여 사용자를 유인했습니다.

또한 보안 기업은 위협 행위자가 Ollama, GPT4All, Msty를 사용하여 로컬 AI 모델, RAG 시스템, AI 에이전트 및 음성-텍스트 도구를 실행하고 있음을 발견했습니다. 포렌식 분석은 또한 그들이 Base64 인코딩, 분할된 문자열 및 사용자 정의 디코딩 루틴을 통해 코드를 숨기면서 Cursor AI 코딩 소프트웨어에 크게 의존하고 있음을 보여주었습니다. 

주요하게 킴스키는 사용자가 이메일이나 기타 경로를 통해 악성 ZIP 아카이브를 다운로드하고 포함된 LNK 바로 가기를 열 때 공격 체인을 시작합니다. 이러한 바로 가기는 공식 연구, 용역비 요청, 미디어 보고서 또는 대사관 서한과 같은 속임수 아이콘과 전문적인 파일명을 사용하여 정당한 비즈니스 문서를 모방합니다.

소견을 밝힌 지니언스 보안 센터(GSC) 소장 문종현은 “이 분석은 국가 지원 해킹 그룹이 로컬 LLM과 AI 개발 환경을 구축하여 실제 공격 프레임워크에 AI를 통합함으로써 공격 능력을 발전시키고 있음을 보여줍니다.”라고 말했습니다. 

북한 관련 해킹은 2025년 전체 절도 사건의 60%를 차지

블록체인 보안 기업 CertiK 추정 북한 해커들이 2025년 디지털 자산 20억 6천만 달러를 훔쳐 연 전체 암호화폐 절도의 60%를 차지했다고 밝혔습니다. 2025년 단일 공격에서 북한 해커들은 2025년 기록상 최대 암호화폐 절도를 저질러 바이비트(Bybit)로부터 15억 달러를 훔쳤습니다.

CertiK는 또한 북한이 암호화폐 절도를 국가의 주요 재무 엔진으로 확대했으며, 약 $6.75억 2016년부터 2026년까지 263건의 기록된 사건을 통해 훔쳤다고 밝혔습니다. 또한 사회 공학이 그들의 국가 해커 작전의 핵심이며, 대부분의 주요 북한 절도 사건은 어떤 형태의 인간 조작으로 시작된다고 지적했습니다.

또한 2026년에는 사회 공학에서 AI 사용이 증가하고, IT 근로자를 표적으로 삼는 시도가 더 많아지며, 새로운 세탁 방법이 등장할 수 있다고 경고했습니다. 심지어 위험에 처한 조직들이 AI 생성 또는 도용된 신원을 대응하기 위해 생체 인증 비디오 인터뷰와 엄격한 신원 조사를 구현할 것을 권장했습니다. 또한 기업들에게 원격 계약자에 대한 제로 트러스트 정책을 시행하고, 직원 보안 인식 교육을 실시하며, 출금에 대한 냉각 기간을 의무화하고, 브리지 및 핫 월렛과 같은 핵심 인프라를 보호할 것을 조언했습니다.

전반적으로 해커들은 2026년 초부터 전 세계적으로 9억 달러 이상을 훔쳐갔습니다. 그러나 새로운 TRM Labs 연구 보여줍니다 2026년 초 사이버 공격 횟수와 실제 탈취된 현금 규모 사이에 큰 격차가 있음을 보여줍니다. 해커들은 시스템 207회에 침입했지만, 2025년 상반기에 탈취된 23억 달러에 비해 훨씬 적은 9억 7,200만 달러만 훔쳐갔습니다.

그럼에도 공격은 더욱 정교해지고 있습니다. 207건의 사건 중 125건은 스마트 계약 취약점 공격으로, 공격자들은 이제 단일 결함이 아닌 여러 코드 취약점을 함께 활용합니다. 그러나 탈취된 자금은 여전히 금융 기관과 암호화폐 프로젝트에서 유출되고 있습니다.