북한 가상화폐 해킹을 읽는 4가지 숫자

얼마 전 거래소 해킹 뉴스를 보고 가장 먼저 확인한 건 피해액보다 자금이 어디로 움직였는지였다. 북한 가상화폐 이슈는 숫자 하나만 떼어 보면 판단이 쉽게 흔들린다. 도난 규모, 지갑 이동, 실제 매도는 서로 다른 사건이다. 2026년 11월 현재 공개된 자료를 기준으로, 매매 판단에 필요한 숫자 네 가지를 짚어본다.

1. 2026년 도난 추정액 74억 달러의 기준

TRM 랩스는 2026년 10월 말까지 북한 연계 해커가 탈취한 가상자산을 약 74억 달러로 추정했다. 2017년 이후 누적 추정액은 약 128억 달러다. 올해 수치의 대부분은 10월 29일 바이낸스 지갑에서 약 63억6000만 달러가 빠져나간 사건에서 나온다. 한 건이 연간 합계의 약 86%를 차지하는 셈이다.

여기서 귀속 판단의 강도를 구분해야 한다. TRM 랩스는 온체인 이동과 별도 조사 정보를 근거로 해당 사건을 북한 연계 조직의 소행으로 높은 확신을 갖고 평가했다. 다만 10월 30일 보고서 발행 시점에는 정부 기관의 공식 귀속 발표가 없었다. 바이낸스도 보안 사고를 확인했지만 원인은 공개하지 않았다. 따라서 74억 달러는 확정된 회수 불능액이나 매도 완료액이 아니라, 분석 업체가 사건을 귀속해 합산한 도난 추정액으로 읽는 게 정확하다.

2. 해킹 비중 85%를 해석하는 방법

같은 보고서에서 북한 연계 사건은 2026년 전체 가상자산 해킹 피해액의 85%를 차지한다. 숫자만 보면 모든 공격이 북한에서 나오는 듯하다. 그런데 바이낸스 사건을 빼면 그 비중은 45%로 내려간다. 전체 시장의 해킹 피해액 약 87억 달러라는 분모에 초대형 사건 하나가 들어가면서 비율이 크게 뛰었다는 뜻이다.

과거와 비교할 때도 집계 주체를 섞으면 안 된다. 체이널리시스는 2025년 북한 연계 탈취액을 최소 20억2000만 달러로, TRM 랩스는 약 19억2000만 달러로 추산했다. 두 수치의 차이는 사건 귀속과 집계 범위가 같지 않다는 신호다. 나는 연도별 증가율을 볼 때 같은 업체의 같은 기준을 먼저 맞춘다. 서로 다른 보고서의 숫자를 이어 붙여 추세선처럼 읽으면 위험이 부풀려질 수 있다.

3. 지갑 이동 20분과 시장 매도의 차이

TRM 랩스에 따르면 바이낸스 사건에서는 약 63억6000만 달러 상당의 자산이 10개 블록체인에 걸쳐 이동했고, 대부분은 약 20분 사이에 빠져나갔다. 속도는 충격적이다. 그렇지만 지갑 밖으로 이동한 금액 전체를 거래소 매도 물량으로 계산하면 안 된다. 새 지갑으로 쪼개 보내거나 체인을 바꾸는 거래도 이동액에 포함된다.

2025년 2월 바이비트 사건이 비교 사례다. 미국 연방수사국은 당시 약 15억 달러 탈취를 북한 연계 조직의 소행으로 발표했고, 자금 일부가 비트코인 등으로 바뀌어 여러 체인과 수천 개 주소로 흩어졌다고 설명했다. 자산 교환은 확인된 행동이지만, 비트코인으로 바꾼 양이 곧 시장에 즉시 팔린 양은 아니다. 매도 압력을 따질 때는 도난 지갑에서 거래소 입금 주소나 장외거래 경로로 향한 흐름, 해당 자산의 호가 깊이와 거래량을 함께 봐야 한다.

가령 1억 달러가 새 지갑 열 곳으로 분산됐다면 온체인 이동액은 커져도 직접적인 현물 매도는 아직 확인되지 않은 상태다. 반대로 상대적으로 작은 금액이라도 유동성이 얕은 코인에 집중되면 가격 충격은 클 수 있다. 해킹 피해액만으로 비트코인이나 이더리움의 하락 폭을 예측하지 않는 이유다.

4. 동결액 27억 달러가 말해주는 시간

TRM 랩스는 바이낸스 사건 직후 스테이블코인 발행사와 아비트럼 측 조치로 약 27억 달러, 전체 피해 추정액의 약 42%가 동결됐다고 집계했다. 반면 당시 공격자가 보유한 약 24억 달러 상당의 비트코인과 이더리움은 발행사가 거래를 멈출 수 있는 자산이 아니었다. 도난 직후 몇 시간 동안 어떤 자산으로 바뀌느냐에 따라 추적과 차단의 여지가 달라진다.

이 수치도 가격 전망으로 곧장 연결되지는 않는다. 동결액이 크면 유통 가능한 물량은 줄지만, 피해 거래소의 출금 상태와 이용자 신뢰는 별도로 움직인다. 나는 이런 사건이 나면 해킹 총액보다 출금 재개 여부, 거래소 준비금 관련 공지, 확인된 거래소 유입액, 현물 호가의 회복 속도를 순서대로 본다. 확인되지 않은 지갑 이동을 전부 매도 신호로 취급하면 대응이 늦거나 과해지기 쉽다.

북한 연계 해킹은 이미 시장이 무시할 수 없는 규모다. 그래도 큰 피해액이 곧바로 같은 크기의 매도 압력을 뜻하지는 않는다. 숫자가 커질수록 도난, 이동, 교환, 동결, 매도를 한 칸씩 구분해 읽는 편이 내 자산을 지키는 데 더 쓸모 있다.