북한, 대리 면접자에 월 500달러 암호화폐 지급 — 비트코인(BTC) 탈취 피해 확대

면접석에 앉는 제3국 대리자들

북한이 가짜 취업 공작의 범위를 넓히고 있다. 금요일 공개된 보도에 따르면 북한은 이란, 레바논, 시리아, 남아프리카공화국, 사우디아라비아 등 제3국에서 원격 IT 노동자를 모집해, 미국 기업과의 화상 면접에 북한 요원을 대신해 앉히는 방식으로 전환했다. 외국인 대리자가 계약을 따내면 이후 실제 업무는 북한 요원이 몰래 이어받는 구조다. 미국 정부기관과 사이버보안 연구자들은 북한 관련 노동자 수천 명이 미국 기업 수백 곳에 지원한 것으로 추산하며, 미국의 신원 심사가 강화될수록 이 수법은 더욱 정교해지고 있다. 모집 과정 자체는 의외로 평범하다. 요원들은 LinkedIn에서 후보자를 물색하는 등 서구 채용 관행을 그대로 복제하고, 일부 지원자에게는 온보딩 이후에도 조작된 신원을 유지하는 요령까지 훈련시킨다. 보상 체계는 특히 눈에 띈다. 위협 인텔리전스 기업 Flare가 유출된 북한 통신을 분석한 결과, 파트타임 ‘면접 협력자’에게는 월 500달러 안팎이 암호화폐로 지급되며 월렛 주소로 송금됐다. Flare는 2024년 이후 북한 IT 조직이 직접 모집한 이란인 최소 14명을 추적했고, 이 중 최소 2명은 대리 면접에 합격해 미국 고용주로부터 정식 오퍼를 받았다. 유출된 북한 관리 문서에는 한 요원이 이란 엔지니어 50명 이상에게 접촉한 기록도 남아 있다. Flare 연구원 Chris Dion은 이란이 모집지로 매력적인 이유를 국제 제재로 고액 연봉의 해외 취업이 대부분 차단된 반면, 고학력 STEM 인력은 풍부하게 배출되기 때문이라고 분석한다.

20억 달러 암호화폐 피해와 정부 경보

이 공작의 재정적 발자국이 커지면서 미국 국무부와 법무부가 여러 외국 기관과 함께 7월 발행한 공동 권고문은 북한 IT 노동자가 “본국 북한 기관에 급여를 송금할 목적으로 계약을 노린다”고 경고하고, 데이터 유출, 암호화폐 절도, 민감 정보 탈취를 통한 내부자 위협도 함께 지적했다. 원격 근무 침투 플레이북은 COVID-19 팬데믹 이후 비대면 채용이 보편화되면서 가속화됐다. 유엔 추산으로 북한은 이런 활동에서 연간 최대 6억 달러를 확보하며, 미국 주도 제재 모니터링 평가는 2024년 유입액을 최대 8억 달러로 잡았다. 이 자금은 제재 회피와 대량살상무기 및 탄도미사일 프로그램 재원으로 쓰인다. 암호화폐 시장에 미친 피해도 가늠된다. 사이버보안 기업 CrowdStrike 데이터에 따르면 북한 계열 해커와 위협 행위자는 2025년 디지털 자산 20억 달러 이상 손실 사건에 연루됐으며, 이는 전년 대비 51% 증가다. 북한 전체 경제도 이 자금을 흡수하는 양상이다. 한국은행은 글로벌 제재에도 불구하고 2025년 북한 GDP가 3.5% 성장한 것으로 추정했다. 시장을 실시간으로 추적하려는 독자는 Binance에서 현물·선물 가격을 실시간으로 확인할 수 있다.

약점은 프로토콜이 아니라 채용 파이프라인

COINOTAG의 분석으로는 이번 공작은 체인 레벨의 익스플로잇이 아니다. 리플레이 어택이나 서명 결함이 개입하지 않으며, SegWit 같은 프로토콜 강화는 정당한 시스템 권한을 가진 가짜 직원에게는 아무런 방어가 되지 못한다. 거래소 측 방어 수단인 커스터디 통제, 주문 유형, 출금 검열 역시 애초에 실존하지 않는 후보였던 내부자는 적발하지 못한다. 7월 공동 권고문은 핵심 위험을 명확히 짚는다. 채용된 요원이 내부에서 급여를 송금하고 데이터를 반출한다는 것이다. 2025년 북한 계열 행위자와 연루된 20억 달러 이상의 암호화폐 손실을 고려할 때, 시장에서 가장 깊은 유동성 풀인 비트코인(Bitcoin, BTC)이 탈취 자금의 중심 목적지로 남아 있으며, 그만큼 채용 단계의 신원 검증이 업계에서 가장 과소평가된 보안 통제라는 것이 우리의 판단이다.