북한 AI 바이낸스 해킹, 세계 금융 재앙오나

커피 한 잔 마실 시간이었다. 2026년 10월 29일, 북한 소행으로 지목된 공격자가 10개 블록체인에 걸친 바이낸스 지갑에서 약 63억 6천만 달러를 빼냈고, 대부분은 단 20분 만에 빠져나갔다.

역대 최대 암호화폐 탈취이자 2025년 바이비트 해킹의 약 4배 규모로, 그 출발점은 직원 노트북 한 대였다. 공격자는 이를 통해 출금 승인 시스템에 침투했고, 준비는 최소 36시간 전부터 시작됐다.

바이낸스는 손실 전액 보전을 약속했지만, 63억 달러를 한 번에 메울 수 있는 금융회사가 세상에 몇이나 될까. 북한은 이번 사건 전에도 올해 탈취액 10억 달러를 9개월 만에 넘겼고, 이번 한 건은 2017년 이후 누적 탈취액에 맞먹는다.

악당이 AI를 손에 넣었다

더 무서운 소식은 바로 다음 날 나왔다. 마이크로소프트 분석에 따르면 북한 연계 해킹 조직 8곳 모두가 AI를 쓰고 있거나 늘리는 중이며, 그중 3곳은 이미 일상 업무에 정착했다.

AI는 표적 맞춤형 피싱 문서를 수분 만에 수십 개씩 찍어내고, 훔친 신분증에 가짜 얼굴을 합성해 해외 기업 취업까지 돕는다. 침투한 뒤에는 권한을 높이고 인증정보를 훔치며 보안 장치를 분석해 탐지를 피한다.

숙련된 해커 여럿이 몇 주 걸리던 일을 이제 AI가 몇 분 만에 끝낸다. 아직은 사람이 지휘하고 AI가 보조하는 단계지만, 마이크로소프트는 스스로 움직이는 에이전트형 AI로의 전환이 이미 시작됐다고 경고했다.

두 개가 합쳐지는 날

북한은 사람 손으로 20분 만에 63억 달러를 털 수 있고, 그 북한이 AI를 공격 전 과정에 끌어들이고 있다.

AI로 만든 얼굴과 이력서로 채용을 통과한 '직원'이 은행 내부망에 접속하고, 임원의 얼굴과 목소리를 복제한 딥페이크가 거액 송금을 지시한다. 잠들지 않는 AI는 전 세계 금융기관을 24시간 동시에 두드리고, 돈을 쪼개 숨기는 작업까지 자동화해 20분을 2분으로 줄인다.

이번에 30억 달러를 동결할 수 있었던 건 추적할 시간이 있었기 때문이다. 그 시간이 사라지면, 붙잡을 돈도 사라진다.

20분 안에 막아야 한다

해커가 AI로 공격한다면 금융기관도 AI로 막아야 하며, 사람이 모니터를 보다가는 20분짜리 공격을 막을 수 없다. 실시간 AI 이상 거래 탐지, 직원 한 명이 뚫려도 돈이 나가지 않는 다중 승인, 원격 채용의 신원 검증 강화가 시급하다.

이번 30억 달러 동결이 보여주듯 금융기관과 수사기관의 국경 없는 공조도 필수다. 개별 회사가 국가 해킹 부대를 혼자 상대할 수는 없기 때문이다.

결론

과거의 전쟁은 미사일로 시작됐지만, 앞으로의 전쟁은 누군가의 노트북에서 조용히 시작될 것이다. 악당과 AI가 완전히 손잡는 날, 63억 달러는 기록이 아니라 시작점으로 기억될 것이다.

전 세계 금융권이 한꺼번에 털린다는 말은 과장일 수 있지만, 더 많이, 더 빨리, 더 크게 털린다는 말은 과장이 아니다. AI 시대의 금융 안보는 곧 국가 안보이며, 24시간 멈추지 않는 전쟁은 이미 시작됐다.