위협 인텔리전스 연구원들은 가짜 디파이(DeFi) 스타트업을 만들고, 북한 IT 인력으로 의심되는 개발자들을 고용한 뒤 내부에서 관찰하였습니다.
이 작전은 일반적인 침투 방식의 반대였습니다. 연구원들은 침입 시도를 포착하는 대신, 면접을 통과한 뒤 이들의 실제 근무 모습을 지켜보았습니다.
가짜 스타트업이 북한 IT 인력을 어떻게 드러냈습니까
이 조사는 BCA LTD의 마우로 엘드리치, 노스스캔의 하이너 가르시아, 그리고 ANY.RUN의 공동 작업이었습니다. 연구원들은 반려나 아줄 LTD를 암호화폐 고래를 대상으로 하는 프로토콜로 등록하였습니다.
연구원들은 이 회사에 웹사이트, 기업 브랜드, 그리고 영국법상 실제 회사 등록까지 더해 합법적으로 보이게 하였습니다. 그리고 본인들이 창립자와 팀 리더로 위장하였습니다.
연구진은 ANY.RUN 샌드박스 플랫폼을 업무 환경으로 활용했습니다. 이는 작업자들의 모든 행동을 기록하였습니다. 연구팀이 GitHub에서 만난 채용 담당자 앙헬로 크루즈가 첫 번째 개발자를 소개하였습니다.
이 첫 개발자가 두 번째 지원자를 추천했고, 두 번째가 세 번째를 소개하였습니다. 세 명 모두 면접을 통과하였고, 실제로는 감시가 가능한 가상 데스크톱 환경에 접근권한을 받았습니다.
보고서 전반에서 이 작업자들은 페이머스 촐리마 소속으로 의심되는 인물로 설명됩니다. 이 조직은 북한 라자루스 그룹과 연관되어 있으며, 서방 기업에 가짜 IT 직원을 심는 데 능숙합니다.
X에서 저희를 팔로우하시면 최신 뉴스를 실시간으로 받아보실 수 있습니다
연구진이 밝혀낸 사실
이 개발자들은 온보딩 과정에서 미국 신분증을 위조해 제출하였습니다. 여기에는 운전면허증, 도용된 사회보장번호, 리드뱅크와 씨티뱅크, 와이즈 계좌가 포함됐습니다.
운전면허증 한 건의 메타데이터에는 구글 제미니로 가공했다는 기록과 함께 내장된 SynthID 워터마크가 있었습니다. 이로 인해 위조 사실이 즉시 드러났습니다.
“이 시점에서 우리는 가짜 신분, 도용된 사회보장번호, 뮬용 은행계좌, 중개자 안전가옥, 거래내역이 있는 암호화폐 지갑 등을 확보했습니다.” – 연구원 일동
이 근무자들은 AI에 상당히 의존하였습니다. 자신이 이해하지 못하는 코드도 ChatGPT로 작성하게 하거나 과제를 처리했습니다. 면접과 데일리 스탠드업 때에도 실시간 번역 도구가 사용되었습니다.
조사에서는 지원 인프라도 드러났습니다. 연구진은 AstrillVPN 종료 노드, Vultr와 Gorilla Servers에서 운영되는 서버, 그리고 거래내역이 남아있는 암호화폐 지갑 등을 기록하였습니다. 해당 인원 중 일부 서버는 이미 위협 인텔리전스 피드에 태깅되어, 이전 캠페인에서 재활용된 흔적이 나타났습니다.
“이 조사 결과는 조선민주주의인민공화국 IT 인력 채용이 단순 위험을 넘어선다는 것을 보여줍니다. 내부 침투시, 이들은 코드, 시스템, 지적재산, 신뢰받는 업무 절차 등에도 합법적 접근권한을 얻게 됩니다.” – 보고서 내용
북한 해커들은 암호화폐 업계에 지속적으로 위협이 되고 있습니다. TRM Labs에 따르면, 2026년 4월까지 발생한 암호화폐 해킹 피해 금액의 76%가 북한 조직에 기인하였습니다. 2025년에는 도난이 20억 달러까지 이르렀습니다.
이 침투 방식은 다릅니다. 북한 인력은 엔지니어로 위장해 원격 직장을 얻고, 이후 기밀을 탈취하거나 재침입용 통로를 심어둡니다. 이더리움(ETH)으로 자금 지원을 받은 한 프로젝트에서는 53개 암호화폐 프로젝트에서 북한 IT 인력으로 의심되는 100명이 확인된 바 있습니다.
유튜브 채널을 구독하시면 업계 리더와 기자들의 전문 해설을 시청하실 수 있습니다
