북한 해커, 3만 대 기기 침해해 7,000개의 암호화폐 지갑 자격 증명 탈취
TREE NEWS 보도: 일본 경찰은 WaterPlum으로 추적되는 북한 해킹 그룹이 2025년부터 2026년 사이에 3만 대 이상의 기기를 침해하고 7,000건 이상의 암호화폐 지갑 정보를 유출했으며 약 1,071만 달러 상당의 자산을 통제했다고 밝혔다. 조사에서는 또한 처음으로 국내 “노트북 팜” 운영과 일본 거래소 BitFlyer에 지원한 북한 IT 인력으로 의심되는 인물이 확인되었다.
산업화된 자격 증명 탈취로의 전환
이 캠페인의 규모는 기존 북한 암호화폐 범죄를 규정했던 일회성 거래소 침해에서 벗어났음을 보여준다. 단일 커스터디언을 대상으로 하는 대신, WaterPlum은 지갑 자격 증명 탈취를 산업화한 것으로 보인다. 수만 개의 엔드포인트를 감염시켜 시드, 개인 키, 거래소 로그인 정보를 대량으로 수집하고 있다. 이 모델은 단일 고액 강탈보다 저렴하고 추적하기 어려우며 훨씬 더 복원력이 뛰어나다.
1,071만 달러라는 수치는 실제 피해를 과소평가했을 가능성이 크다. 탈취된 자격 증명은 현금화되기 전까지 수개월 동안 휴면 상태로 남아 있는 경우가 많고, 피해자는 침입 후 한참이 지나서야 지갑이 침해된 사실을 알게 될 수 있다. 7,000건의 지갑 데이터 세트는 단순한 과거 손실이 아니라 미래 탈취의 파이프라인을 의미한다.
노트북 팜과 내부자 위협
아마도 더 중대한 것은 “노트북 팜”의 발견이다. 이는 원격 IT 근로자의 출처를 위장하기 위해 사용되는 여러 대의 기기를 호스팅하는 물리적 장소로, 북한 요원으로 의심되는 인물이 BitFlyer의 직무에 지원했다는 증거와 함께 발견되었다. 이는 채용 파이프라인을 통해 암호화폐 기업에 침투해 합법적인 접근 권한을 얻은 뒤 이를 악용하는 전형적인 수법이다.
거래소와 DeFi 프로토콜에 대한 시사점은 명확하다. 경계 보안만으로는 더 이상 충분하지 않다. 신원 확인, 엔드포인트 모니터링, 원격 직원에 대한 행동 분석은 이제 핵심 통제 수단이며 선택적 추가 사항이 아니다. 침해된 내부자 한 명이 구축하는 데 수년이 걸린 기술적 방어를 우회할 수 있다.
앞으로의 전개
일본과 동맹국 규제 당국은 금융 회사의 원격 채용에 관한 규칙을 강화하고 더 강력한 기기 수준의 증명을 추진할 것으로 예상된다. 암호화폐 기업은 국가 지원 행위자가 이미 지원자 풀 안에 있다고 가정해야 한다. 업계의 대응 — 강화된 신원 확인, 제로 트러스트 접근, 더 빠른 자격 증명 폐기 — 이 다음 WaterPlum 캠페인이 성가신 일이 될지 시스템적 사건이 될지를 결정할 것이다.
