루미스: ‘CLARITY 법안’이 북한의 ‘라자루스 그룹’이 67억 5천만 달러를 탈취하는 데 이용했던 보안 허점을 메운다

제303조 및 제305조, 불법 자금 겨냥

CLARITY 법안의 주요 발의자 중 한 명인 신시아 루미스 의원은 X(구 트위터)를 통해, 의원들이 8월 휴회기에 들어가기 전 상원 본회의 표결을 촉구하며 법안의 자금세탁방지 조항을 강조했다.

이 와이오밍주 공화당 의원은 이달 초 엘리자베스 워런 상원의원의 비판에 맞서 법안을 옹호한 이후로 다음과 같은 주장을 거듭해 왔다.

"제303조는 이란에 대한 새로운 암호화폐 제재를 가능하게 합니다. 제305조는 거래소가 불법 자금이 북한에 도달하기 전에 차단할 수 있도록 합니다."

제303조는 재무부에 특히 디지털 자산 활동과 관련하여 외국 관할권이나 금융 기관을 ‘주요 자금 세탁 우려 대상’으로 지정할 수 있는 새로운 특별 조치 권한을 부여한다. 일단 관할 구역이 지정되면, 해당 규정을 적용받는 거래소 및 스테이블코인 발행사는 해당 관할 구역과 관련된 자금 이체를 금지하거나 제한해야 하며, 이는 규제 당국이 오랫동안 대행 은행에 대해 사용해 온 수단을 암호화폐 분야에 처음으로 확대 적용하는 것이다.

반면 제305조는 거래 수준에서 적용되며, 거래소 운영자와 스테이블코인 발행사가 불법 활동과 관련이 있다고 믿을 만한 이유가 있는 모든 거래에 대해 30일간 보류 조치를 취할 수 있도록 허용하고, 법 집행 기관이 공식 서면 요청을 제출할 경우 총 180일까지 연장할 수 있습니다.

선의로 행동하는 기업은 민사 책임으로부터 면책되지만, 기존의 의심스러운 활동 신고 의무는 그대로 유지된다. 루미스 의원은 이 두 조항을 제201조와 연계했는데, 이 조항은 은행 비밀 보호법(BSA)의 자금 세탁 방지(AML) 요건을 디지털 자산 기업에 처음으로 확대 적용하는 것으로, 이는 그녀가 법안에 포함된 16개 이상의 불법 금융 방지 조치 중 일부이며, 그녀는 이를 근거로 CLARITY 법안이 거래소 파산 시 고객의 암호화폐를 보호할 수 있는 이유를 설명해 왔습니다.

라자루스 그룹의 2026년 해킹 피해 규모 급증

2026년 상반기 전 세계 암호화폐 해킹 피해액의 약 3분의 2는 북한과 연계된 해커들이 저지른 것으로, 기록적인 207건의 사건에서 총 9억 7,200만 달러가 탈취되었으며 이 중 약 6억 4,300만 달러가 해당 그룹의 소행이었다.

가장 큰 규모의 단일 공격은 4월에 발생했는데, 라자루스 그룹이 솔라나(Solana) 기반의 드리프트 프로토콜(Drift Protocol)에서 2억 8,500만 달러를 탈취한 뒤, 디파이(DeFi) 플랫폼 켈프DAO(KelpDAO)와 이더리움을 연결하는 레이어제로(Layerzero) 브리지를 해킹해 추가로 2억 9,200만 달러를 탈취했다.

이러한 손실은 연구원들이 수년간 추적해 온 패턴을 반영한 것으로, 북한과 연계된 행위자들은 2025년 한 해에만 전년 대비 51% 증가한 사상 최대 규모인 20억 2천만 달러를 탈취했으며, 이로 인해 2019년 이후 해당 그룹의 누적 탈취액은 67억 5천만 달러에 달했다. 단일 사건 중 가장 큰 규모는 2025년 2월 바이비트(Bybit)를 대상으로 한 공격으로, 라자루스와 연계된 해커들이 약 15억 달러 상당의 이더리움을 탈취했다. 이 조직은 올해 전술을 전환하여, 브리지 및 프로토콜 해킹을 넘어 암호화폐 업계 임원들을 직접 표적으로 삼고 있다. 이와 관련해 Bitcoin.com News는 지난 4월 ‘Mach-O Man’으로 명명된 라자루스 관련 캠페인을 추적했는데, 이 캠페인은 가짜 회의 초대장과 ‘ClickFix’라는 사회공학 기법을 이용해 핀테크 및 암호화폐 업계 직원들을 속여 자신의 맥(Mac) 단말기에 악성 명령어를 붙여넣게 함으로써, 온체인 탈취가 시작되기도 전에 해커들에게 침투의 발판을 마련해 주었다.