Detection and Verification of Cryptocurrency Activities from Unstructured Data in Kimsuky and Prack Leak Analysis

2024년 말 공개된 중국 및 북한 해커 조직 ‘김수키(Kimsuky)’ 관련 유출 자료와 프랙(Prack) 이슈를 통해 노출된 해킹 데이터에는 외교부·방첩사 등 국가기관의 로그, 코드, 브라우저 기록 등 비정형 정보가 포함되어 있었다. 본 연구는 이 데이터를 기반으로 해커가 가상화폐를 이용한 금전 활동을 수행했는지 분석하였다. 대규모 텍스트에서 신뢰할 수 있는 암호화폐 주소를 자동 식별하기는 어렵고, 단순 정규식 탐지는 오탐이 많다. 이를 해결하기 위해 (1) 정규식 후보 탐색, (2) 체크섬 ∙ 디코딩 검증, (3) 문맥 점수화, (4) 온체인 검증으로 구성된 4단계 파이프라인을 구현하였다. 김수키∙ 프랙 관련 유출자료(약 80MB)와 Etherscan 데이터 실험 결과, 오탐률 75% 감소, 정탐률 2배 향상, 평균 처리시간 3분 이내를 달성하였다. 특히 Ethereum 주소 0xb211b4... 사례에서는 브라우저 기록과 온체인 입금 내역이 일치해 실제 자산 조회 행위를 확인하였다. 본 연구는 중국∙ 북한계 해커 분석 과정에서 비정형 데이터로부터 블록체인 활동을 복원하는 실증적 방법론을 제시했다는 점에서 의의가 있다.