국내 비트코인 해킹, 북한 시도 확인···"경제난 때문 추정"

비트코인 거래소 4곳 해킹 시도···경찰, 검찰, 시청 등 사칭 메일
평양 류경동 등 단골 IP주소··악성프로그램 감염 안돼 피해 없어
"경제제재 심해 국내뿐 아니라 해외 비트코인 거래소도 해킹"

【서울=뉴시스】박준호 기자 = 최근 핵실험으로 국제사회의 제재를 받고 있는 북한이 경제난이 심화되자 돈벌이 수단으로 국내 비트코인까지 가로채려 한 사실이 드러났다.

 국내 비트코인 거래소들을 상대로 악성메일을 통해 해킹을 시도한 사건이 적발된 건 이번이 처음이다.

 경찰청 사이버안전국은 최근 북한 당국이 국내 비트코인 거래소 4곳에 대해 경제적 이득을 목적으로 한 해킹을 시도한 사실이 적발됐다고 27일 밝혔다.
 
 경찰에 따르면 북한 당국은 지난 7월5일부터 8월8일까지 국내 비트코인 거래소 4개 업체 직원 등 25명에게 악성프로그램이 첨부된 전자우편을 10차례 발송, 여러번 해킹을 시도했지만 실제 비트코인을 탈취하지는 못했다.

 북한은 비트코인 거래소 4개사 대표 계정 또는 해당업체 직원 등 25명에게 정교하게 제작한 스피어 피싱 전자우편을 발송하는 수법을 썼다. 비트코인 거래소 직원의 PC를 악성프로그램에 감염시킨 후 회사 내부망을 해킹해 비트코인을 빼내려 한 것이다.

 악성메일 발송에 이용한 국내외 이메일 계정 9개 중 4개는 도용된 계정, 5개는 직접 생성한 계정으로 확인됐다.

 북한은 경찰·검찰·금융보안원·서울시청·농협 등 주요 금융기관과 국가기관 등을 사칭하며 주로 기관 간 협조를 구하는 공문 형태의 한글파일을 첨부해 악성프로그램을 심었다.

  예를 들면 경찰청 수사관을 사칭한 메일에서는 '지갑 주소 확인부탁드립니다'라는 제목으로 수사상 필요한 자료를 제출할 것을 요구하며 협조문을 한글파일로 첨부했다. '지갑'은 비트코인이 보관된 계좌번호를 의미한다. 만약 비트코인 거래소 직원이 한글파일을 열어보고 답신으로 계좌번호를 전달했다면 국내 비트코인이 북한 당국에 대량으로 넘어갔을 수도 있다.

 경찰이 북한의 소행으로 판단한 근거는 북한발 해킹 사건에 자주 등장하는 IP가 발견됐기 때문이다. 또 악성메일 발송 테스트 목적으로 사용한 전자우편 접속지가 북한으로 확인됐다.

 특히 북한은 미국과 일본 소재 서버를 경유해 침투했지만, 경유서버·명령제어서버에서 과거 한수원 해킹사건이나 청와대 사칭 전자우편 발송사건과 동일한 대역의 IP주소가 확인됐다. 북한의 해킹에 자주 이용되는 IP는 평양 류경동, 조선 체신성, 중국 요년성(중국 선양)에 할당된 것이다.
 
 경찰청은 북한의 비트코인 해킹 목적이 최근 경제난과 무관치 않은 것으로 보고 있다. 비트코인 시세는 얼마 전 1비트코인 당 500만원까지 올라갔다가 현재 420만원~430만원선에 거래되고 있다.

 과거에는 해킹의 주된 목적이 단순 개인정보 유출이었다면 근래 들어 ATM기기나 신용카드 복제·도용 등 금전적인 이익을 염두한 해킹이 늘고 있다. 특히 지난해에는 인터파크 회원 1030만명의 개인정보를 유출하겠다고 협박해 30억원어치의 비트코인을 요구한 바 있다.

 경찰청 관계자는 "이번에 악성메일에 의해 감염된 비트코인 거래소 PC는 현재까지 없는 것으로 확인했다"며 "경제 제재가 워낙 심해서 금전적 이익을 목적으로 국내 뿐만 아니라 해외 비트코인 거래소를 상대로 비슷한 공격을 한 것으로 파악된다"고 말했다.

 [email protected]