미 재무부, 북한 IT 노동자 암호화폐 현금화 조직 11건 제재

OFAC 신규 제재 11건

미 재무부는 10월 28일 수요일, 북한 정부가 운영하는 IT 노동자 조직의 미국 기업 침투와 임금 유출 행위에 연루된 개인 10명과 법인 1곳을 제재했다. 북한 조직은 미국 기업 내부에 요원을 배치해 급여를 북한의 무기 개발로 흘려보낸다. 이번 조치는 재무부 보도자료에서 공식 발표됐으며, 외국자산통제국(OFAC)의 결정이다. OFAC는 지정된 대상이 미국 내에 보유한 자산을 동결하고, 미국인이 이들과 거래하는 행위를 전면 금지한다. 재무부는 북한이 위조 문서, 도용된 신원, 가상 인물로 IT 노동자를 파견해 임금 대부분을 거둬들인다고 밝혔다. 이렇게 마련된 수억 달러 규모의 자금은 대량살상무기와 탄도미사일 프로그램으로 흘러간다. 자금 이동에는 정교한 암호화폐 거래, 자금세탁, 인공지능 도구가 동원됐다. 스콧 베선트 재무장관은 북한 정부가 해외 파견 IT 요원의 사기 행위로 미국 기업을 계속 겨냥하고 있으며, 이들이 민감한 데이터를 무기화해 기업으로부터 거액을 갈취한다고 지적했다. 이번 지정은 3월의 별도 북한 IT 노동자 조직 제재에 이은 조치이며, 재무부는 호주와 유럽연합도 이번 달 자체 조치에 나섰다고 전했다.

격주 스테이블코인 급여에서 Garantex까지

암호화폐 현금화 작업의 중심에는 러시아 국적자 두 명이 있었다. 제재 명단에 따르면 일리야 보이코프는 2024년부터 350만 달러 상당의 암호화폐를 교환·환전했으며, 거래 상대는 OFAC가 2024년에 제재한 북한 IT 노동자 회사인 유한책임회사 알리스(Limited Liability Company Alis)다. 북한 금융 거래의 중개자로 지목된 비톨트 오베르타스는 2025년 1월 이후 거의 200만 달러 상당의 암호화폐 환전과 최소 125만 달러의 기타 통화 거래를 북한 관리들을 위해 수행했다. 명단에는 두 사람의 지갑 주소도 실렸다. 보이코프에게는 이더리움 주소 2개와 트론 주소 2개, 오베르타스에게는 이더리움 주소 1개와 트론 주소 3개가 기재됐고, 한 개의 이더리움 주소는 두 항목에 모두 등장한다. OFAC는 또한 러시아 블라디보스토크에 거점을 둔 북한 통제 법인인 제1금융기술개발센터(First Financial and Technical Development Center)를 지정했으며, 이 단체가 고도로 훈련된 IT 노동자를 파견해 AI 도구와 복잡한 암호화폐 전송으로 수익을 창출한다고 설명했다. 이 센터 산하 러시아 소속 노동자 6명은 2025년 이후 75만 달러 이상을 벌어들였다. 대표급 인사 두 명도 제재됐다. 김기혁은 2024년 이후 자기 단을 위해 약 50만 달러의 암호화폐를 이체했고, 김효동은 10만 달러 이상의 송금에서 제재 회피를 도왔다. 두 사람 모두 2023년부터 재무부 제재 대상인 친영정보기술협동회사에 소속돼 있다.

Chainalysis가 공개한 온체인 추적은 한 조직의 작동 방식을 보여준다. 블록체인과 DeFi 프로토콜용 코드를 작성하던 북한 개발자는 격주 단위로 스테이블코인 입금을 받았고, 분석 업체는 이 흐름이 월급 지급과 흡사하다고 평가했다. 스테이블코인은 이더로 환전된 뒤 통합 지갑 주소를 거쳐 보이코프에게 넘어갔고, 최종 현금화에 앞서 미국의 제재를 받고 있는 러시아 거래소 Garantex로 전송됐다. Chainalysis는 오베르타스의 활동이 적어도 2023년부터 시작됐다고 추정하며, 이는 OFAC가 제시한 2025년 1월 시작 시점보다 앞선다. 기만은 결제 흐름을 넘어섰다. 취업 지원자들은 AI로 만든 이력서와 얼굴 사진을 제출했고, 면접에서는 가짜 영상으로 신원을 감췄다. 단속 압력도 여러 방면에서 커지고 있다. 이번 달 초 법무부는 텍사스에서 수십 곳의 노트북 팜(해외 노동자가 미국 내에서 접속한 것처럼 보이도록 회사 지급 컴퓨터를 보관하는 장소)을 폐쇄하고 2명을 체포했다. 유엔 전문가 패널은 IT 노동자 프로그램이 북한에 연간 2억 5,000만 달러에서 6억 달러의 자금을 가져다주며, 이 자금이 무기와 미사일 프로그램으로 흘러든다고 추산한다. 북한 해킹 조직은 암호화폐 기업을 직접 공격하기도 한다. 솔라나 기반 거래소 Drift Protocol은 4월에 발생해 약 2억 8,500만 달러가 인출된 해킹을 국가 연계 조직의 6개월에 걸친 작업으로 규정했다.

지갑 명단 공개의 의미

지정 문서 자체를 보면 이번 조치는 압류가 아니라 선별 조치다. OFAC는 지명된 이더리움과 트론 주소를 감시 목록에 올리고 미국인의 거래를 금지하지만, 해당 지갑의 자금은 개인 키를 보유한 누군가 서명해야만 움직인다. 자금이 콜드 월렛에 있든 핫 월렛에 있든 원리는 같다. 거래소와 결제 기업에게 OFAC 명단 대비 지갑 노출 검증이 곧 실효성 있는 컴플라이언스 절차가 되는 이유다. 이 수법은 일회성 사기나 러그풀과도 다르다. 요원들은 수개월간 정상 팀 안에 잠입하기 때문에, 상대방 검증은 이제 코드가 아니라 신원까지를 범위로 삼아야 한다. 신규 토큰에 투자자들이 적용하는 DYOR 원칙이 원격 채용에서도 요구되는 국면이다.