북한 해킹 2026 상반기 — 전 세계 가상자산 탈취의 3분의 2

TRM Labs 집계로 2026년 상반기 북한 연계 해커의 가상자산 탈취액은 약 6억 4,300만 달러, 전 세계 탈취액의 약 3분의 2입니다. 그런데 그중 90%가 단 두 건의 공격에서 나왔습니다.

2026년 상반기 — 총액은 줄고 점유율은 올랐다

        TRM Labs 집계 (2026년 상반기)

        · 북한 연계 탈취액 약 6억 4,300만 달러

        · 전 세계 가상자산 탈취액의 약 3분의 2

        · 전 세계 총 피해 9억 7,200만 달러 (2025년 상반기 23억 달러 → 대폭 감소)

        · 북한 자체 탈취액도 2025년 상반기 약 17억 달러에서 크게 감소

        · 상반기 가상자산 해킹 건수는 207건으로 역대 최다

중요한 해석 포인트가 있다. 전체 피해액은 줄었지만 북한의 점유율은 올랐다. 업계 전반의 보안이 개선되는 가운데 특정 행위자만 성공률을 유지하고 있다는 뜻이다.

90%가 두 건에서 나왔다

탈취 수익의 거의 90%(약 5억 7,700만 달러)가 4월의 두 건의 DeFi 공격에서 발생했다.

4월 1일 — 솔라나 기반 선물 거래소 Drift에서 2억 8,500만 달러
4월 중 — KelpDAO에서 2억 9,200만 달러

207건 중 2건이 전체의 90%라는 분포가 말해주는 것은 명확하다. 방어의 목표는 "모든 공격을 막는 것"이 아니라 대형 자금 풀에 도달하는 경로를 끊는 것이다.

누적 규모

2025년 한 해 — 약 20억 2,000만 달러 (전년 대비 약 51% 증가)
역대 누적 — 약 67억 5,000만 달러
2026년 4월까지 전체 가상자산 해킹 피해액의 76%가 북한 연계
단일 최대 사건 — 2025년 2월 Bybit 약 15억 달러

IT 워커 — 수법이 뒤집혔다

2026년 3월 12일, OFAC은 북한 IT 워커 프로그램과 연계된 신규 제재 대상을 지정했다.

        수법의 전환

        이전 — 공작원이 가상자산 기업에 원격 채용을 지원

        현재 — 가짜 채용 절차를 직접 운영.
        Web3 · AI 기업 리크루터를 사칭해
        자격증명 · 소스코드 · VPN 접근 권한을 수집한다.

방향이 반대가 됐다는 점이 핵심이다. 지원자를 심사하는 절차만으로는 막을 수 없다. 이제는 채용 제안을 받는 쪽이 위험에 노출된다. 개발자에게 전달되는 "과제 파일", "기술 면접용 리포지터리"가 감염 경로가 된다.

호주는 정찰총국 산하 해킹 조직들(Lazarus Group 포함)을 제재했고, 2026년 6월 G7 정상은 공동 지정학 성명에서 북한의 불법 사이버 활동을 처음으로 명시했다.

수치를 읽을 때의 주의

TRM은 6억 4,300만 달러가 "전체 가상자산 수익의 일부만을 나타낸다"고 명시했다. 해킹은 그림의 일부이며, IT 워커 임금 등 다른 수입원이 별도로 존재한다.

        ⚠️ 자료 출처의 변화

        UN 전문가패널은 2024년 러시아의 거부권 행사 이후 해체됐다.
        따라서 최근 데이터는 새로운 UN 보고서가 아니라
        TRM Labs · Chainalysis · 미 재무부/OFAC에서 나온다.


        (해체 전 2024년 UN 패널 보고서는 불법 사이버 활동이
        북한 무기 프로그램 자금의 약 40%를 차지한다고 추정했다.)
      

실무 대응

☐ 개발자 대상 채용 사칭 경고 — 외부에서 받은 코드 실행 금지 정책
☐ 기술 과제 · 면접용 리포지터리는 격리 환경에서만 실행
☐ LinkedIn 등 채용 플랫폼 경유 접촉에 대한 사내 인식 교육
☐ [가상자산 사업자] 대형 자금 풀 접근 경로 최소화 — 멀티시그 · 콜드월렛 비중 확대
☐ [DeFi] 스마트컨트랙트 감사 및 업그레이드 권한 분산
☐ 제재 대상 주소 스크리닝 (OFAC SDN 리스트 연동)
☐ macOS · Linux 개발자 단말에도 EDR 적용