[일요시사 취재1팀] 서진 기자 = 서울 도심에서 북한 해킹 자금과 연계된 조직이 국내 금융망을 통해 활동했던 정황이 포착됐다. 한국의 자금세탁 방지 체계가 허술하다는 비판이 제기되는 이유다. 캄보디아 금융그룹 ‘후이원(Huione)’의 대림동 환전소 사례는 빙산의 일각이다.
후이원은 미국 재무부가 북한 산하 해커 조직 ‘라자루스(Lazarus)’의 자금세탁 통로로 지목한 금융그룹이다. 자국 내에서 온라인 사기, 인신매매 자금의 ‘심장’으로 불리던 이 조직이 지난해까지 서울 영등포구 대림동 소재의 한 건물에서 환전소를 운영한 사실이 확인됐다.
수상한
환전소
<일요시사> 취재에 따르면 이 업장은 2018년부터 지난해 여름까지 ‘후이원 환전소’로 운영됐다. 현재는 프랜차이즈 패스트푸드점만이 남아 있을 뿐이다. 실제 영업이 이뤄진 기간 동안 수사기관은 첩보 수집 외 별다른 조치를 하지 않았다.
문제는 이 환전소의 정체가 활동하던 시기와 북한의 해킹 자금이 흘러 다니던 시기가 정확히 맞물린다는 점이다. 북한의 해커 조직 라자루스는 지난해 5월, 일본 가상자산거래소 DMM비트코인에서 훔친 3500만달러의 가상화폐 등을 후이원그룹의 ‘후이원페이’를 통해 세탁한 것으로 확인됐다.
지난 22일 다국적제재모니터링팀(MSMT)이 발표한 보고서에 따르면, 북한은 후이원페이를 자금세탁에 이용했으며, 후이원페이 직원들과도 친밀한 관계를 유지한 것으로 드러났다. 북한은 악성 사이버 활동에서 탈취한 가상자산을 해외 브로커를 통해 현금화하는데 이 과정에 중국 국적자와 금융 시스템이 깊숙이 관여한 사실도 확인됐다.
캄보디아 중앙은행은 이미 후이원페이가 보유한 면허를 박탈했지만, 후이원은 여전히 활동을 이어가고 있다.
MSMT는 모든 유엔 회원국이 북한의 악의적 사이버 활동에 대한 인식을 높이고, 제재를 통해 관련자들에게 유엔안보리 결의 위반 책임을 물어야 한다고 공동성명에서 강조했다.
대림동 환전소 역시 연간 수천만원대 환전 실적을 신고했으나, 당국의 공식 자금세탁 방지 시스템에는 관련 거래 기록이 포함되지 않았다.
인근 상인들은 “그저 대림동의 한 일반 환전소였다”면서도 “흔적도 없이 사라져서 가물가물했는데, 최근 경찰도 와서 물어보고 갔다. 자금세탁을 했나보더라”고 전했다.
더 이상 의혹이 아니다
자금세탁 흔적 뒤지니…
환전소가 한국 소재인지 명확하지 않지만, 국회 행정안전위원회 국정감사에서 박정보 서울경찰청장은 후이원 그룹의 서울 지점으로 추정되는 환전소에 대해 수사 전 정보수집이 진행 중임을 밝혔다. 박 청장은 “분석 결과 범죄 혐의가 확인되면 즉시 수사에 착수하겠다”고 말했다.
이 같은 허점은 자금세탁뿐 아니라 대북 송금 의혹 전반으로 퍼지고 있다. 지난 7월, 서울 명동 중심가에서는 중국계 사업가로 알려진 왕하이쥔(왕해군) 중국재한교민협회 총회장이 450평 규모의 식당을 차린다고 알려졌기 때문이다.
명동역 인근 유동 인구가 끊이지 않는 거리 한복판에 있는 이 건물은 지상 9층 규모였다. 낮에도 사람이 끊이지 않았지만, 이상한 점이 눈에 띄었다. 건물 7층에는 업장 이름이 없고 엘리베이터 버튼도 작동하지 않는 등 외부와 차단된 듯한 구조였다.
왕씨는 2022년 ‘중국 비밀경찰 의혹’에 연루됐던 인물이다. 당시 그는 송파구에서 ‘동방명주’라는 중식당을 운영하며 정치권 인사들과 교류하며 발을 넓혔다. 하지만 수사 결과 식품위생법과 근로기준법 위반만 적용돼 기소됐고, 비밀 경찰 의혹은 해소되지 않았다.
건물의 한 관계자는 “자세히 알지 못한다”면서도 “소문만 무성한 7층의 정체에 대해 모두가 의문뿐”이라고 전했다. <일요시사> 취재 결과 서울경찰청 안보 수사대가 왕씨의 자금 흐름과 활동을 다시 들여다보고 있는 것으로 확인됐다.
풍문으로만 전해지는 이런 사례들을 미뤄볼 때, 국내에서 불법 자금세탁 통로로 수차례 의혹이 제기됐음에도 불구하고 수사가 지연되는 배경이 뭘까?
간판 없고 외부 차단된 건물
중 비밀경찰 의혹 왕씨 연루?
핵심 문제는 국내 자금세탁방지(AML) 체계의 느슨함에 있다. 외국계 환전소와 고액 가상화폐 거래는 금융정보분석원(FIU)의 보고 대상이지만, 현장 신고 누락과 감독 사각지대가 수두룩하다. 특히 서울 대림동과 명동처럼 외국인 거주 비율이 높은 지역은 불법 송금망이 뿌리내리기 쉬운 곳으로 꼽힌다.
국내 가상화폐 현금화 절차는 엄격한 신원 확인(KYC)과 실명계좌 연동 등 다단계 인증을 거쳐야 하므로 까다롭다. 디지털자산거래소 공동협의체에 따르면, 현재 국내 가상자산사업자로 등록된 서비스는 업비트, 코빗, 빗썸 등 2025년 3월 기준 단 28개사에 불과하다.
가입 시 신분증, 주소 증명, 실시간 본인 인증 등 여러 단계의 인증을 거쳐야 하는데, 이 과정은 AML 의무와 고객확인 의무를 충실히 수행하기 위한 것으로 불법 자금의 유입을 원천 차단하려는 목적이다.
현재 캄보디아 등 해외 거래소의 경우 일부 정부가 라이선스 취소 등 규제에 나서고 있으나, 암호화폐의 분산원장(블록체인) 기술 특성상 거래 추적과 규제 집행이 어렵다. 이런 까닭에 불법 자금이 음지로 숨어들고, 복잡한 국제 금융망을 통해 추적을 회피하는 것이 현실이다.
국내에서는 가상자산 업계에 대한 법적·제도적 인프라가 아직 완전하지 않아, 단속과 규제를 피해 해외 거래소 및 비인가 사업자 쪽으로 자금 흐름이 유입되기 쉽다.
지난달 27일 국회 정무위원회에서 금융위원회와 금융감독원 등에 대한 종합감사가 이뤄졌다. 금융당국은 가상자산거래소에서 발생하는 로맨스 스캠, 보이스피싱 등 범죄수익의 이동을 차단하기 위해 거래소 이상거래탐지(FDS) 시스템 의무화를 추진 중이라고 밝혔다.
FDS는 실시간으로 거래 패턴을 분석해 이상 거래를 감지·차단하는 사고 예방 시스템이다. 주요 거래소들은 이미 이를 도입했으나, 하루가 달리 발전하는 범죄 수법을 모두 막지 못한다는 한계가 있다.
결국, 후이원과 같은 해외 금융그룹의 국내 유입을 단순한 소규모 환전업으로만 간주해 방치한 것이 사태의 뿌리다. 지난해 5대 가상자산거래소와 후이원 그룹의 자회사이자 캄보디아 거래소인 ‘후이원 개런티’ 간의 자산 유출입 규모는 128억원, 올해도 31억원에 달한다.
북한 관련 자금세탁이 서울 중심지에서 가능했다는 사실은 위험한 경고다. 여러 복합적 요인이 존재하나 금융당국의 모니터링 시스템이 ‘위험국 자금’에 대한 실시간 감시 기능을 제대로 수행하고 있는지, 근본적인 점검이 필요한 시점이다.
느슨한
경계선
정보기관 관계자도 “북한으로의 자금 유출은 국내에서 곧바로 실행되지 않는다. 중국을 포함한 동남아로 송금 후에 발생하는 게 대부분”이라며 “후이원 케이스의 경우 자금 흐름 추적을 바탕으로 경찰에서 수사를 진행 중이다. 북한과의 연관성을 알아내려면 현지 당국의 협조 등에 꽤 많은 시간이 소요된다”고 말했다.
<jen9@ilyosisa.co.kr>
