보고서 ID
CTI-2026-0726-DPRK-BANK-HACKERS|발행일2026-07-26 |분류TLP:GREEN|심각도 MEDIUM
저자 Dennis Kim (HoKwang Kim) | [email protected] | @gameworkerkim
주의본 보고서는 Daily NK 익명 소식통 기반 공개 보도를 재구성한 OSINT 브리프이며,독립 검증되지 않았다.
들어가며
북한이 가상자산·한국·일본 등을 가리지 않고 수익·혼란 목적의 해킹 작전을 전개해 온 것은 주지의 사실이다. 그런데 그 ‘창’이 주인을 찌른다는 보도가 나왔다. 정권이 양성한 정예 해커가 자국 중앙은행과 대외무역은행을 해킹해 자금을 빼돌렸고, 당국이 이들을 체포했다는 것이다. 사이버 안보·제재·내부 통제 관점에서 전말을 정리한다.
1. 사건의 개요 — 누가, 무엇을, 어떻게 했나?
2026년 7월 12일, 평양의 한 은신처에서 국가정보국 요원이 긴급 체포 작전을 펼쳤다는 서술이다. 검거 대상은 정권이 양성한 정예 해커 집단으로 보도됐다.
남한 매체 Daily NK가 평양 내 익명 소식통을 인용한 바에 따르면, 이들은 북한 중앙은행(조선민주주의인민공화국 중앙은행)과 대외무역은행의 내부 네트워크에 침투했다. 두 기관은 각각 국가 자금의 발행·관리와 대외 외환·무역 결제를 담당하는 금융 시스템의 핵심이다.
조직 핵심은 군사 사이버 정보 부대 출신 전직 군인으로 서술되며, 김책공업종합대학·평양과학기술대학 우수 IT 인력을 포섭해 확장했다고 한다. 군사급 해킹 기술과 텔레그램 등 암호화 메신저, 중국산 무선 장비 등을 동원했다는 보도가 있다.
자금 세탁 경로 — 중국 브로커와 국경 현금
빼돌린 자금은 해외 암호화폐 지갑으로 이체된 뒤 중국 브로커를 통해 달러·위안화로 현금화되고, 신의주·혜산 등 국경 도시 연락책을 거쳐 다시 북한으로 밀반입되는 방식으로 세탁됐다는 서술이다. 소액 분할 송금, 암호화 메신저, 미등록 휴대전화 등 탐지 회피 수법도 함께 언급된다.
2. 어떻게 발각되었나? — ‘불일치’의 흔적
당국이 외화 결제 승인 과정의 불일치와 의심스러운 해외 IP 접근 기록을 포착했다는 설명이다. 북한은 외부 해킹 위협을 의식해 온라인 데이터뿐 아니라 수기 검증 감사를 병행한다는 맥락이 제시된다. 국가정보국이 암호화폐 거래의 암호화 트래픽을 추적해 평양 은신처를 특정했고, 체포 현장에서는 수십만 달러 상당 장비와 가짜 신분 휴대전화가 압수됐다는 보도다.
사건 직후 두 은행에 무장 경비를 배치하고 평양 전역에 무선 감청 차량을 투입하는 등 초비상 태세에 돌입했다는 후속 서술이 있다.
3. 맥락과 의미 — ‘20억 달러’의 오해와 내부 붕괴 신호
일부 헤드라인의 “20억 달러 탈취 해커”표현은 이번 단일 사건 피해액이 아니다. Chainalysis 기준2025년 한 해 북한 연계 해커의 전 세계 암호화폐 탈취 총액이 약 20억 달러로 집계되며, TRM Labs는 2026년 4월까지 북한 연계 행위자가 전 세계 암호화폐 해킹·사기 피해액의 약 76%를 차지한다고 추정했다. 이번 사건의 탈취 규모는 미확인이다.
그럼에도 함의는 크다. 김수키·라자루스 등 해외 표적(로닌 브리지 약 6.2억 달러, 하모니 브리지 약 1억 달러 등)에 집중해 온 패턴과 달리, 정권이 훈련시킨 요원이 자국 금고를 털었다는 서술은 내부 통제 균열을 시사한다.
Daily NK 인용 소식통:
"그들은 국가를 지키기 위해 기술을 배웠지만, 국고를 약탈했다."
가혹한 형량이 예상된다는 전망이 나오는 이유다.
4. 한계와 시사점 — 미검증 단보, 그러나 의미 있는 신호
본 보도는 Daily NK 익명 소식통에 의존하며 독립적으로 검증되지 않았다. 북한 정보 통제 하에서 내부 소식 확인은 상시 어렵다. 다만 7월 12일경부터 약 일주일간 북한 인터넷 사용이 부분적으로 막히고, 북한발 해킹 시도가 급감했다는 관측이 함께 거론되면 부수 시그널로 볼 여지는 있다.
세계적으로 가장 활동적인 국가 해킹 세력의 ‘아킬레스건’이 내부에 있을 수 있다는 질문을 던진다. ‘창’이 ‘주인’을 겨누기 시작했다면, 체제 내부 균열을 가늠하는 바로미터가 된다.