본문으로 건너뛰기

Ketman Project: 100명의 북한 공작원들이 Web3에 잠입한 방법

· 약 8 분
Dora Noda
Dora Noda
Software Engineer

100 명의 북한 공작원. 53 개의 암호화폐 프로젝트. 6 개월간의 끈기 있는 정보 활동 — 그리고 Web3 에 대한 가장 위험한 북한(DPRK)의 공격은 다음 익스플로잇(exploit)이 아니라, 지난 분기에 이미 당신의 main 브랜치에 코드를 병합한 엔지니어라는 불편한 결론.

이것이 바로 ETH Rangers 보안 프로그램 하에 운영되는 이더리움 재단(Ethereum Foundation) 후원 이니셔티브인 Ketman Project 의 주요 조사 결과입니다. 2026 년 4 월의 이 폭로는 단순한 해킹 사건을 설명하는 것이 아닙니다. 이는 하나의 노동력, 즉 암호화폐 급여를 통해 북한의 수익을 조용히 빼돌리는 동시에, 15 억 달러 규모의 바이비트(Bybit) 강탈 사건과 같은 일을 가능케 하는 내부자 접근 권한을 심어두는 장기적인 노동 파이프라인을 묘사하고 있습니다.

북한의 위험을 멀티시그(multisig)에서 발생하는 일 정도로 생각하는 데 익숙해진 업계에게 있어, 이것은 범주의 변화입니다. 위협은 더 이상 "그들이 침입할 것이다"가 아닙니다. "그들은 이미 내부에 있으며, 빌드 스크립트를 작성했다"는 것입니다.

약탈에서 급여로​

수년 동안 북한 암호화폐 범죄의 대외적인 모습은 익스플로잇이었습니다. 로닌(Ronin), 아토믹 월렛(Atomic Wallet), 와지르X(WazirX) 및 라자루스 그룹(Lazarus Group)의 소행으로 추정되는 수많은 브릿지 자금 유출 사건들이 그 예입니다. 수치는 경이적입니다. 체이널리시스(Chainalysis)에 따르면 2025 년에만 북한과 연결된 행위자들이 약 20 억 2 천만 달러를 훔쳤으며, 이는 알려진 공격 횟수가 74 % 감소했음에도 불구하고 전년 대비 51 % 급증한 수치로, 누적 절도액은 67 억 5 천만 달러를 넘어섰습니다. 더 적은 시도로 더 큰 수익을 낸 것입니다.

2025 년 2 월에 발생한 바이비트 사건(개발자 컴퓨터에서 악성 자바스크립트가 주입된 손상된 세이프 월렛(Safe Wallet) UI 를 통해 15 억 달러 상당의 ETH 유출)은 이 사태가 어디로 향하고 있는지를 보여주는 가장 명확한 증거였습니다. 그것은 스마트 컨트랙트 버그가 아니었습니다. 공급망 공격(supply chain compromise)이었습니다. 상류(upstream) 어딘가에 있는 누군가가 가져서는 안 될 접근 권한을 가지고 있었던 것입니다.

Ketman Project 의 공헌은 그 경제의 노동 측면을 지도로 그려낸 것입니다. 6 개월간의 조사 끝에, 이 프로젝트는 Web3 조직 내부에서 활동하는 약 100 명의 뚜렷한 북한 IT 인력을 식별했으며 약 53 개의 피해 프로젝트에 통보했습니다. 이들 공작원 중 다수는 수개월, 어떤 경우에는 수년 동안 잠입해 있었으며, 계약직 엔지니어 자리부터 높은 저장소(repository) 접근 권한을 가진 커뮤니티 리드에 이르기까지 다양한 직책을 맡고 있었습니다.

공작원 1 인당 연봉을 보수적으로 15 만 달러로 가정하면, 급여 흐름만 해도 연간 1,500 만 달러 규모입니다. 이는 단일 라자루스 강탈 사건에 비하면 미미한 항목이지만, 구조적으로 다른 수익원입니다. 그것은 반복적입니다. 피해 기업에 의해 사전 자금이 조달됩니다. 그리고 대규모 강탈을 가능하게 하는 접근 권한의 대가를 지불합니다.

Ketman 이 다른 점​

Web3 에서의 이전 북한 노출 사례들(2024 년 6,200 만 달러 규모의 뭉쳐블스(Munchables), 스시스왑(Sushi) 관련 계약자 사건, 액시 인피니티(Axie Infinity) / 로닌 침해 등)은 대부분 사후 대응적이었습니다. 프로토콜이 공격을 받으면, 조사관들이 실마리를 추적했고, 패턴이 드러났습니다.

Ketman 은 워크플로우를 뒤집습니다. 단일 사건을 한 명의 공작원에게 역추적하는 대신, 프로젝트는 공작원 그들을 먼저 식별한 다음 그들이 접촉한 프로젝트로 나아갔습니다. 방법론은 완전히 공개되지 않았지만, 2024 년 크라우드스트라이크(CrowdStrike) 북한 보고서 이후 온체인 포렌식 커뮤니티가 다듬어 온 일련의 기술들을 활용합니다.

  • 연결된 지갑 클러스터링. 스테이블코인으로 지급된 급여는 결국 하나로 모입니다. 북한 수익 클러스터에서 지갑 하나를 찾으면 나머지도 찾게 됩니다.
  • 커밋 타임존 분석. 리스본에 거주한다고 주장하면서 평양 업무 시간에만 코드를 커밋하는 개발자는 통계적으로 리스본에 있는 것이 아닙니다.
  • OPSEC 패턴 매칭. GitHub 계정 간의 중복된 아바타 사용, "일본인" 엔지니어의 IDE 에 설정된 기본 러시아어 설정, 화면 공유 중 실수로 유출된 이메일 등, 높은 신뢰도의 식별로 이어지는 작은 실수들.
  • 신원 문서 포렌식. Ketman 은 위조된 일본 신분증이 암호화폐 기업의 원격 엔지니어링 채용에서 특히 흔한 경로임을 확인했습니다.

그 결과는 FBI 의 2024 년 IT 노동자 권고안이나 OFAC 의 2026 년 3 월 제재 조치만으로는 만들어낼 수 없었던 결과물입니다. 현재 고용되어 있고, 현재 코드를 배포하고 있는, 고용되어서는 안 될 사람들의 명단입니다.

이제 공급망이 공격 표면입니다​

여기서부터 CTO 들이 밤잠을 설쳐야 합니다. 9 개월 동안 급여 명부에 있는 공작원은 아무것도 해킹할 필요가 없습니다. 그저 기다렸다가, 코드를 병합하기만 하면 됩니다.

그 경로는 화려하지 않으며 지난 3 년 동안의 사후 분석 보고서를 읽어본 사람이라면 누구나 잘 알고 있는 것들입니다.

  • 악성 포스트 설치(post-install) 스크립트와 함께 조용히 다시 게시된 npm 패키지.
  • 누구도 검토한 적 없는 광범위한 권한을 가진 GitHub Action.
  • 추가 레이어가 포함된 버전으로 업데이트된 Docker 베이스 이미지.
  • 특정 트랜잭션 형태를 감시하고 이를 수정하는 "무해한" UI 종속성.

바이비트 공격은 대규모의 개념 증명(PoC)이었습니다. 손상된 개발자 환경, 지갑 UI 에 주입된 페이로드, 그리고 적법한 트랜잭션처럼 보이는 것을 승인하는 서명자들. 그 특정 침해가 북한 내부자로부터 시작되었는지 아니면 외부에서 피싱당한 계약자로부터 시작되었는지는 논쟁의 여지가 있지만, 인내심을 갖고 상류(upstream)를 공략하며 가치가 최대화되는 순간에만 작동시키는 공격의 구조는 Ketman 의 조사 결과가 업계 전반에 시사하는 수법(playbook)입니다.

공작원을 1 년 동안 고용할 때, 당신은 그들에게 15 만 달러를 지불하는 것이 아닙니다. 당신은 지금부터 6 개월 뒤, 그 금액의 만 배 가치가 있는 트랜잭션에 대한 단 한 번의 클릭에 대한 비용을 지불하고 있는 것입니다.

이더리움 재단이 왜 공격적 활동에 자금을 지원했는가​

켓맨(Ketman) 공개 보고서에서 가장 눈에 띄는 제도적 신호는 인원수가 아닙니다. 바로 자금 지원 주체입니다.

이더리움 재단은 역사적으로 프로토콜 연구, 클라이언트 다양성, 공공재, 그리고 개발자 도구에 보조금을 지원해 왔습니다. 제재 대상 국가와 연계된 특정 개인을 식별하고 민간 기업에 경고하는 사실상의 공세적 정보 작전(Offensive intelligence operation)에 자금을 대는 것은 "공공재"의 정의를 눈에 띄게 확장한 행보입니다.

켓맨이 소속된 더 넓은 프로그램인 ETH Rangers는 일반적인 재단보다는 보안 기업에서나 볼 법한 지표들을 보고하고 있습니다. 1,700만 달러의 자금을 지원받은 17명의 연구원, 580만 달러의 탈취 자금 회수 또는 동결, 785개 이상의 취약점 추적, 36건의 사고 대응 등이 그것입니다. 이는 보조금 프로그램으로 위장한 보안 운영 센터(Security Operations Center)와 다름없습니다.

이러한 행보는 이더리움 재단이 이제 방어적 정보 보안(Infosec)을 클라이언트 다양성과 유사한 성격으로 취급하고 있음을 시사합니다. 즉, 개별 프로토콜이 스스로 해결할 수 없는 조율 문제(Coordination problem)이자, 로드맵에 명시되어 있든 아니든 생태계 전체가 공동으로 자금을 투입해야 하는 문제로 보고 있는 것입니다. 북한(DPRK) 관련 행위자들이 누적으로 67억 5천만 달러 이상을 탈취했으며 그 규모가 계속 커지고 있다는 점을 고려하면, 이러한 프레임워크에 반박하기는 어렵습니다.

프로토콜이 지금 즉시 실행해야 할 사항들​

Web3 프로젝트를 운영, 투자 또는 기여하고 있다면, 켓맨의 공개 내용은 막연한 위협을 즉각적인 운영 체크리스트로 바꾸어 놓습니다. 이 중 생소한 것은 없으나, 문제는 이러한 사항들이 아직 보편화되지 않았다는 점입니다.

고객 확인(KYC)뿐만 아니라 직원 확인(KYE)을 실시하십시오. 지갑 레이어에서의 제재 대상 스크리닝은 기본 중의 기본입니다. 이제는 급여 지급(Payroll) 레이어에서도 스크리닝을 수행해야 합니다. 모든 계약자의 지급 주소를 OFAC(미국 재무부 해외자산통제국) 연계 리스트와 대조하는 작업이 반드시 필요합니다. 북한이 일관되게 사용하는 45일간의 탈취 후 세탁 주기를 고려할 때, 사후 지갑 매칭조차도 충분한 가치를 지닙니다.

원격 채용 시 신원 확인을 까다롭게 하십시오. 여러 통신 채널을 사용하여 실시간 화상 인터뷰를 진행하십시오. 일본, 한국, 동유럽 신분증이 위조의 주요 타겟이 될 수 있음을 전제로 문서를 정밀하게 검토해야 합니다. 통화 중에 AI 기반 딥페이크 흔적이 있는지 능동적으로 탐지하십시오. 실제 공작원이라면 카메라 앞에서 눈에 띄게 당황할 수밖에 없는 북한 정권에 대한 직설적인 질문을 던지는 소위 "김정은 테스트"는 생각보다 높은 적중률을 보입니다.

CI/CD 파이프라인을 자산 금고처럼 취급하십시오. 릴리스를 위한 코드 서명(Code-signing)과 재현 가능한 빌드(Reproducible builds)를 도입하십시오. GitHub Actions, 배포 스크립트, 또는 종속성 매니페스트에 대한 모든 변경 사항에는 2인 이상의 검토를 의무화해야 합니다. 버전을 고정(Pin)하고 전이적 의존성(Transitive dependencies)을 감사하십시오. 바이비트(Bybit) 공격은 누군가, 어딘가에서 서명자가 신뢰하는 UI에 대한 쓰기 권한을 가졌기 때문에 발생했습니다.

관리자 키 작업을 에어갭(망 분리) 처리하십시오. 단 한 대의 개발자 노트북이 해킹당해 15억 달러의 손실이 발생할 수 있다면, 그것은 위협 모델 설정 자체가 잘못된 것입니다. 하드웨어로 분리된 서명 흐름, 블라인드 사이닝(Blind-signing) 탐지, 서명 전 트랜잭션 시뮬레이션은 과대망상이 아니라 대규모 비즈니스를 운영하기 위한 최소한의 비용입니다.

악의적인 행위자가 이미 내부에 있다고 가정하십시오. 켓맨의 조사 결과 최소 53개 프로젝트에서 이 가정이 사실로 드러났습니다. 심층 방어(Defense in depth)란 모든 커밋이 적대적일 수 있고 모든 계약자가 위장 포섭된 인물일 수 있다는 전제하에 설계하는 것을 의미하며, 이러한 가정이 실제 상황이 되었을 때 파국이 아닌 생존이 가능하도록 만드는 것입니다.

조용한 전쟁이 진짜 전쟁이다​

제재 집행은 보통 세간의 이목을 끄는 사건들을 뒤쫓습니다. 2024년에만 북한 정권에 약 8억 달러를 벌어다 준 북한 IT 노동자 사기 수법과 연계된 개인 6명과 단체 2곳에 대한 2026년 3월 OFAC의 제재 지정은 의미 있는 진전이었습니다. ETH Rangers가 회수를 도운 580만 달러의 자금도 마찬가지입니다. 두 가지 모두 꼭 필요한 조치들입니다.

하지만 켓맨 프로젝트(Ketman Project)가 기여한 바는 바이비트, 로닌(Ronin), 먼치블(Munchables)과 같은 대형 사건들이 실제로는 훨씬 더 조용하게 진행된 사전 작업의 결과물이라는 점을 일깨워준 것입니다. 침투 자체가 캠페인이며, 익스플로잇(Exploit)은 단지 수익을 실현하는 단계일 뿐입니다.

Web3의 보안 경계는 이제 이동했습니다. 보안은 더 이상 스마트 컨트랙트 경계나 지갑 UI에 머물지 않습니다. 보안은 채용 지원서, GitHub 커밋, npm 배포 단계에 존재합니다. 이를 외면하는 대가는 이제 매년 수십억 달러로 책정되고 있습니다.

향후 10년 동안 살아남을 프로토콜은 "코드가 곧 돈이고 원격 근무가 기본인 산업에서, 당신의 채용 깔때기(Hiring funnel)가 곧 공격 표면(Attack surface)이다"라는 냉혹한 진실을 내면화하는 곳들이 될 것입니다.

BlockEden.xyz는 Sui, Aptos, Ethereum, Solana를 포함한 수십 개의 체인을 위해 프로덕션 등급의 RPC 및 인덱싱 인프라를 운영합니다. 이는 공급망 무결성, 서명된 릴리스, 격리된 키 운영이 선택이 아닌 필수인 인프라입니다. 업계가 실제로 직면한 위협 모델에 맞춰 설계된 인프라 위에서 빌드하고 싶다면 우리의 API 마켓플레이스를 살펴보십시오.

Share on Twitter