북한 해커, 러시아 IP로 암호화폐 해킹…웹3 기술자 노렸다

북한 해커들이 러시아의 인터넷망을 통해 해외에서 암호화폐를 탈취해온 정황이 드러났다.

보안업체 트렌드마이크로는 이러한 내용이 담긴 보고서를 24일(현지시간) 발표했다. 이들은 러시아 내 여러 IP 주소가 북한과 연계된 사이버범죄에 사용됐다고 밝혔다.

이들 주소 중 상당수는 VPN(가상사설망), 프록시 서버, RDP(원격 데스크톱 프로토콜)를 품은 가상 서버에 숨어 있었다. 특히 하산과 하바롭스크 지역 인터넷이 주로 활용됐다.

트렌드마이크로는 북한 해킹 활동이 러시아 인터넷망을 거쳐 이뤄졌다고 보고 있다. 관계자들은 해당 인프라가 2017년 구축됐고, 2023년부터 확대된 것으로 추정했다.

또한 북한은 러시아와 북한 IP 주소 각각 두 개씩을 연결해 IT 인력을 투입한 것으로 보인다. 이들은 중국, 러시아, 파키스탄 등에서 활동하는 것으로 분석된다.

해커들은 러시아 IP를 이용해 구인 사이트와 암호화폐 관련 웹페이지에 접근했다. 미국과 독일, 우크라이나 IT 전문가들을 대상으로 가짜 기업을 내세워 면접을 진행하고 이들을 속여 정보를 빼내려 한 것으로 전해졌다.

이들의 주요 목표는 웹3.0과 블록체인 관련 기술자들을 해킹해 암호화폐를 훔치는 것이었다. 심지어 무작위 숫자를 입력해 지갑 비밀번호를 푸는 시도에도 러시아 IP가 활용됐다.

북한은 그동안 거래소 해킹 등으로 천문학적인 규모의 암호화폐를 탈취하고 이를 현금화해 핵 개발 자금으로 활용했다는 의혹을 받아왔다.

한미일 3국은 지난 1월, 6억6천만달러 상당의 코인 탈취가 북한 소행이라고 공식 발표한 바 있다. 지난 2월에도 글로벌 암호화폐 거래소 바이비트에서 14억6천만달러(약 2조900억원) 규모 코인이 탈취돼 북한 해킹조직 '라자루스'가 배후로 지목됐다.