미 재무부가 북한을 탈중앙화 금융을 악용하는 주요 행위자로 지목했습니다. 북한 해커들이 불법 수익 자금을 송금하고 세탁하는데 탈중앙화 금융을 이용하고 있다는 겁니다. 조상진 기자가 보도합니다.
미국 재무부가 북한이 탈중앙화 금융(DeFi·디파이)의 취약점을 이용해 암호화폐 자산 탈취 관련 각종 사이버 범죄를 벌이고 있다고 밝혔습니다.
재무부는 6일 세계 최초로 발간한 ‘탈중앙화 금융 관련 불법 금융 위험 평가’보고서에서 “북한과 사이버 범죄자, 랜섬웨어 공격자, 절도범, 사기꾼과 같은 행위자들은 불법 수익 자금을 송금하고 세탁하기 위해 디파이 서비스를 이용하고 있다”고 지적했습니다.
[재무부 보고서] “Actors like the Democratic People’s Republic of Korea (DPRK), cybercriminals, ransomware attackers, thieves, and scammers are using DeFi services to transfer and launder their illicit proceeds. They are able to exploit vulnerabilities, including the fact that many DeFi services that have anti-money laundering and countering the financing of terrorism (AML/CFT) obligations fail to implement them.”
그러면서 이들은 많은 디파이 서비스들이 ‘자금세탁방지 및 테러 자금 조달 방지’ 이행 의무를 다하지 못하고 있는 것을 포함한 취약점들을 악용할 수 있다고 경고했습니다.
디파이(DeFi)는 ‘탈중앙화 금융(Decentralized Finance)’의 영어 약자로, 은행이 중개자가 돼 서비스를 제공하는 기존 금융 산업과 달리 암호화폐 블록체인 기술을 이용해 거래소와 중개인의 개입 없이 컴퓨터 코드만으로 통제되는 스마트 계약을 맺고 진행하는 각종 금융 거래를 뜻합니다.
기존 금융 체계의 통제와 규제에서 벗어나 자유롭게 금융 서비스를 이용할 수 있는 반면 중앙 집중형 금융 시스템과 달리 보안이 취약한 것으로 알려져 왔습니다.
보고서는 악성 행위자들이 가상 자산 탈취를 위해 디파이 서비스를 손상시키고 사이버 보안 취약점을 이용했다고 지적했습니다.
[재무부 보고서] “They take advantage of cybersecurity weaknesses, compromising DeFi services to steal virtual assets. In particular, the DPRK, under pressure from U.S., European, and United Nations (UN) sanctions regime, increasingly steals virtual assets from both centralized VASPs and DeFi services. Under pressure from robust U.S. and UN sanctions, the DPRK has resorted to illicit activities, including cyber-enabled heists from VASPs and other financial institutions, to generate revenue for its unlawful weapons of mass destruction (WMD) and ballistic missile programs.”
특히 “미국과 유럽, 유엔의 제재 체제의 압박을 받고 있는 북한은 중앙집중형 ‘가상자산서비스 제공업체(VASP)’와 디파이 서비스 모두에서 점점 더 많은 가상 자산을 훔치고 있다”고 지적했습니다.
그러면서 미국 정부는 북한의 사이버 행위자들이 가상 자산 산업을 표적으로 삼아 해킹을 벌이는 것을 주목해왔다면서, 북한이 디파이 서비스 등을 악용해 가상 자산 탈취에 나선 사례를 언급했습니다.
재무부가 6일 발간한 ‘탈중앙화 금융 관련 불법 금융 위험 평가’보고서
보고서는 북한 정권의 후원을 받고 있으며 미국의 제재 대상에 오른 해킹조직 라자루스가 지난해 3월 블록체인 기반 비디오 게임 ‘엑시 인피니티’에서 약 6억 2천만 달러 상당의 암호화폐를 탈취했다며, 이는 현재까지 가장 많은 액수의 가상 자산 탈취로 남아 있다고 지적했습니다.
또한 라자루스는 지난해 6월 서로 다른 암호화폐를 거래하도록 돕는 ‘하모니’의 ‘호라이즌 브리지’에서 1억 달러의 암호화폐를 탈취한 것을 비롯해, 암호화폐 탈취를 위한 랜섬웨어 공격과 악성코드 유포 등 불법 활동에도 깊이 연루돼 있다고 평가했습니다.
아울러 북한은 가상 자산과 관련된 프로젝트를 자주 수행하는 수천 명의 고도로 숙련된 정보기술(IT) 근로자들을 전 세계에 파견했다고 덧붙였습니다.
그러면서 이들은 북한의 무기 프로그램에 기여하기 위해 수익을 창출하고 있으며, 악의적인 사이버 침투를 가능하게 하고 자금 세탁 활동을 지원할 수 있다고 경고했습니다.
보고서는 북한 등에 대한 금융제재를 총괄하는 브라이언 넬슨 테러 금융범죄 담당 차관의 발언을 인용해 북한이 불법 자금 세탁 과정에서 디파이 서비스를 사용하고 있다는 평가를 거듭 강조했습니다.
[재무부 보고서] “Our assessment finds that illicit actors, including criminals, scammers, and North Korean cyber actors are using DeFi services in the process of laundering illicit funds. Capturing the potential benefits associated with DeFi services requires addressing these risks. The private sector should use the findings of this assessment to inform their own risk mitigation strategies and to take clear steps, in line with AML/CFT regulations and sanctions obligations, to prevent illicit actors from abusing DeFi services.”
이어 “디파이 서비스와 관련된 잠재적 이득을 취하기 위해서는 이러한 위험을 해결해야 한다”며 “민간 부문은 이 평가 결과를 활용해 자체 위험 완화 전략을 통보하고 자금세탁방지 규정 및 제재 의무에 따라 불법 행위자들이 디파이 서비스를 남용하지 못하도록 분명한 조치를 취해야 한다”고 말했습니다.
그러면서 불법 행위자들이 악용하는 주요 취약점은 디파이 서비스가 자금세탁방지 규정과 제재 의무를 준수하지 않는 것에서 비롯되는 만큼 재무부는 미국 은행보안법(BSA)에 따라 민간 부문에 대한 규제를 강화하고 ‘디지털 자산에 대한 책임 있는 개발 보장’에 대한 대통령 행정명령 14067호에 설명된 감독권을 강화할 것이라고 강조했습니다.
VOA 뉴스 조상진입니다.