보고 이틀 만에 닫힌 원 저장소

로이터 보도에 따르면 아르텍스 개발자는 10월 9일 원 저장소를 비공개로 전환하며 공개 배포를 멈췄습니다. 로이터는 이를 "한국 은행 해킹 이후 클로즈드소스 전환"으로 전했고, The Hindu가 로이터 전문을 게재한 본문에서도 동일한 내용이 확인되었습니다. 로이터 사이트 원문은 캡차로 직접 열람이 어려웠고 아직 재채증되지 않았습니다.

한국 금융 표적 캠페인과 함께 포착된 도구

CrowdStrike 공식 블로그는 2026년 10월 7일 9월 말부터 10월 초까지 한국 금융기관을 겨냥한 표적 캠페인에서 아르텍스가 사용된 것을 확인했다고 밝혔습니다. 이 보고는 공격이 LLM을 결합한 방식이었으며 DeepSeek v4.1-flash가 주력 모델이었다고 전했습니다. CrowdStrike는 공격자 인프라에서 아르텍스 설정파일과 세션기록이 노출된 상태로 발견됐다고 설명했습니다. 다만 같은 보고는 공격자 신원을 특정하지 않았고, '중국어 사용자·금전 목적'이라는 속성은 중간 신뢰도의 추정으로만 명시했습니다.

개발자의 해명과 남겨진 코드

GitHub 원문 성명에 따르면 개발자는 이번 악성 공격 사건이 제작자와 무관하며 설계 목적은 학습·연구와 권한 내 보안 점검이었다고 밝혔습니다. 용의자로 추정된 인물 역시 텔레그램을 통해 "나는 아무것도 하지 않았다"고 The Hacker News 전달로 해명했습니다. 원 저장소가 닫혔음에도 백업 저장소 Hinln/ARTEX는 현재까지 공개 상태로 남아 있으며, 이 저장소는 "Autumn-27/ARTEX v0.3.15 기반 소스 백업"이며 AGPL-3.0 라이선스를 표시하고 포크 822건·스타 504건을 기록하고 있습니다.

피해 규모, 보도마다 다른 숫자

피해 규모에 대한 수치는 보도마다 어긋납니다. 로이터는 최소 9개 은행이 공개·보도됐다고 전했고, 경향 신문은 7개 금융사가 연관된 것으로 확인했다고 전했습니다. CrowdStrike는 피해 기관 수를 확인하지 않은 상태입니다. 같은 사건을 다루는 세 출처가 하나의 숫자로 모이지 않은 상태이며, 개발자의 한국 해킹 연관 여부 역시 개발자의 부인 이후 추가로 확인되지 않았습니다.

이번 중단은 공개 개발·배포의 종료이지 프로젝트의 소멸은 아니며, 이미 확산된 포크 코드는 회수되지 않았습니다. 아르텍스의 공개 중단 주장은 개발자 성명과 CrowdStrike 공식 보고, 다수 독립 보도에 부합하는 것으로 사실입니다. 향후 피해 기관 수의 확정과 백업 저장소 유통 동향, 그리고 클로즈드소스 전환이 실제 이루어지는지가 확인해야 할 지점입니다.