북한, 지난 4년간 49차례 해킹으로 가상자산 탈취...세탁전 가상자산 1억 7천만 달러에 달해

체이널리시스, ‘2022 가상자산 범죄 보고서’ 전문 공개
2021년 가상자산 총 거래 금액 15조 8,000억 달러… 전년 대비 550% 증가

블록체인 데이터 플랫폼 기업 체이널리시스(한국지사장 백용기)는 오늘 가상자산 범죄를 분석한 ‘2022 가상자산 범죄 보고서’ 전문을 공개했다. 해당 보고서는 NFT, 랜섬웨어, 멀웨어, 자금세탁 등 가상자산과 관련된 범죄부터 다크넷 시장, 고위험 국가에 이르기까지 다양한 가상자산 범죄 정보를 다루고 있다.

이 보고서에 따르면, 2021년 가상자산 총 거래 금액은 15조 8,000억 달러로 전년 대비 550% 증가했다. 2021년 불법 거래 금액은 140억 달러 이상으로 2020년 78억 달러보다 증가했으며 사상 최고치를 기록했다. 하지만 불법 주소가 이용된 거래는 전체 가상자산 거래의 0.15%로 2020년 0.62%에서 크게 줄어들었다. 이에 대해 체이널리시스는 가상자산 총 거래 금액이 폭발적으로 증가하는데 비해, 가상자산 관련 범죄는 법집행기관의 수사 역량 향상으로 범죄 비율이 갈수록 줄어들고 있다고 분석했다.

보고서에 따르면, 법집행기관의 범죄자 가상자산 압류 역량 강화는 긍정적인 요소로, 이는 미국 법무부가 Bitfinex 해킹 사건과 연루된 36억 달러 상당의 비트코인을 압류한 사례 등을 통해 알 수 있다. 지난 5년 동안의 연말 기준으로 범죄자 잔고를 자금이 나온 불법 활동 유형을 살펴보면, 2021년 말 범죄자 잔고는 110억 달러로 2020년 말 30억 달러에서 대폭 증가했다. 또한 2021년 말 기준 도난 자금은 98억 달러로 총 범죄자 잔고의 93%를 차지하며, 다크넷 시장 자금이 4억 4,800만 달러, 스캠 1억 9,200만 달러, 사기 6,600만 달러, 랜섬웨어 3,000만 달러를 차지했다.

작년부터 관심도가 높아진 NFT 산업에서는 자전거래(wash trading)와 자금 세탁과 같은 불법 활동이 감지됐다. 자전거래는 판매자가 구매자인 척 자산의 가치와 유동성을 호도하는 거래로, NFT의 가치를 실제보다 높게 보이도록 만든다. 불법 주소에서 NFT 시장으로 전송한 금액은 작년 3분기 100만 달러, 4분기에는 140만 달러에 육박했다. 체이널리시스는 이러한 불법 활동이 NFT에 대한 신뢰를 훼손하고 미래 성장을 저해할 우려가 있다고 강조했다.

현재까지 파악된 2021년 랜섬웨어 피해액은 약 6억 200만 달러지만, 2020년 피해액이 초기 집계 이후 추가적으로 약 두 배 증가했던 것을 고려하면 2021년 피해액 역시 증가할 가능성이 있다. 랜섬웨어 공격은 대부분 재정적 동기에 의해 발생하지만, 지정학적 목적을 가진 공격도 있다. 이는 기만, 간첩 행위, 명예훼손, 적국 정보의 국정운영 교란에 초점을 맞춘 랜섬웨어 공격이다. 체이널리시스는 2021년 이란과 연루된 랜섬웨어의 수가 크게 증가했으며, 지난 1월 러시아 정부와 연계된 해커들이 우크라이나 정부 기관을 상대로한 랜섬웨어 공격을 통해서도 지정학적 목적을 가진 랜섬웨어 공격을 확인했다고 분석했다.

한편, 체이널리시스는 가상자산 범죄의 고위험 국가로 북한, 러시아 등을 분석했다. 북한은 2017년부터 2021년까지 49차례 해킹으로 가상자산을 탈취했으며, 아직 세탁하지 않은 가상자산은 1억 7,000만 달러를 기록했다. 러시아 사이버 범죄자들은 가상자산 범죄에서 랜섬웨어와 자금 세탁의 활동을 주도하고 있다. 체이널리시스는 2021년 랜섬웨어 수익 중 약 74%인 4억 달러 이상의 가상자산이 러시아와 연관된 랜섬웨어로 들어간 것으로 분석했다.

백용기 체이널리시스 한국 지사장은 “2022 가상자산 범죄 보고서 전문을 공개하게 되어 기쁘다”며 “보고서를 통해 법집행기관을 포함한 많은 사람들이 랜섬웨어, 멀웨어 등 다양한 유형의 가상자산 범죄를 이해하고 이에 대비하길 바란다. 특히 블록체인 분석 툴을 통해 자산 동결, 압수 기회 포착을 하기 위해서는 가상자산 범죄에 대한 꾸준한 공부가 필요하다”고 전했다.

2022 가상자산 범죄보고서는 데일리시큐 자료실에서 다운로드 가능하다.

[G-PRIVACY 2022 개최-보안교육7시간 이수]

◇행사명: 2022 공·공 금·융 기업 개인정보보호&정보보안 컨퍼런스(G-PRIVACY 2022 )

◇대상: 정부∙공공∙지자체∙교육기관∙금융기관∙의료기관∙일반기업 개인정보보호/정보보안 실무자(※학생, 프리랜서 그리고 현업 보안실무자가 아닌 분들은 참석대상이 아님을 미리 공지합니다.)

◇일시: 2022년 3월 29일 화요일 오전9시~오후5시

◇장소: 더케이호텔서울 2층 가야금홀

◇참가비: 무료

◇점심식사: 제공하지 않습니다.

◇주차: 1일 무료 주차권 지급

◇발표자료: 등록사이트에서 다운로드(3월 28일 오후 4시부터)

◇7시간 교육이수: 공무원·일반기업 보안교육 7시간(CPPG, CISSP 등 자격증도 7시간 인정)※참석 후 설문을 제출해 주신 분에 한해 이수증을 보내드립니다.

◇등록마감: 2022년 3월 28일 오후 5시까지