일본 경찰청·FBI, 北 해킹 조직 WaterPlum의 비트코인(BTC) 지갑 기록 7,000건 탈취 확인

일본, WaterPlum의 7,000개 지갑 탈취 실태 공개

일본 경찰청은 9월 18일, 사이버보안본부·FBI·미 국방부 사이버범죄센터 및 호주와 독일 당국과의 공동 조사를 통해 북한 연계 해킹 클러스터 WaterPlum(Contagious Interview로도 추적)의 공격 도구 전체를 파악했다고 발표했다. 경찰청 공식 보고서에 따르면 이 조직은 대략 2025년 12월부터 2026년 7월 사이 100여 개국·지역에서 3만여 대의 컴퓨터를 감염시키고 7,000건 이상의 암호화폐 지갑 기록을 빼냈다. 사적 키와 시드 구문이 주요 표적이었다. WaterPlum이 통제하는 지갑에는 최소 17억 엔, 즉 일본 당국이 적용한 환율 기준 약 1,070만 달러가 흘러들었다. 일미 수사 당국은 이 작전이 일부 북한 IT 노동자 스킴과 함께 조선로동당 군수공업부 산하 313국 관할로 평가했다. 공격자는 암호화폐·AI·NFT 채용 담당자로 위장했고, 악성 NPM 패키지에 BeaverTail, InvisibleFerret, OtterCookie 악성코드를 심었다.

일본 국내 첫 랩톱 팜 검거

같은 조사 과정에서 북한 IT 노동자와 연계된 것으로 알려진 일본 국내 첫 랩톱 팜도 해체됐다. 현지 브로커는 주택에 기기를 보관했고 해외 노동자들이 원격으로 이를 조작하며 제공된 신분증으로 일본 거주자를 사칭했다. 대금은 브로커의 계좌를 통해 송금됐고, 조사와 연계된 노동자들은 수억 엔 상당의 암호화폐를 해외로 보냈다. 별도로 2025년 5월, 북한으로 의심되는 지원자가 NETNUT Proxy, Astrill VPN, High Speed Rabbit Proxy로 연락처를 가린 Gmail 계정을 통해 타인 신분으로 거래소 bitFlyer의 엔지니어 자리에 지원했다. 지원자는 말레이시아인으로 핀란드 거주를 주장하며 일본 이전을 거부하고 급여를 암호화폐로 받기를 고집했고, 수사당국은 모순된 답변, 배경에서 들린 목소리, 두 번째 모니터 반복 확인을 지적했다. bitFlyer는 채용을 거부했고 피해는 보고되지 않았다. 핵심적으로 경찰청은 지원자의 IP 주소가 WaterPlum 공격에 쓰인 인프라와 일치함을 확인했으며, 보안 연구진은 별도로 북한 연계 개발자가 7년간 40개 이상의 DeFi 프로젝트에 침투해 있었음을 문서화했다.

OFAC, 이란 BitBank 제재

일본의 공개와 맞물려 워싱턴도 또 하나의 국가 연계 암호화폐 채널에 대한 조치에 나섰다. 미 재무부 해외자산통제실(OFAC)은 이란 디지털 자산 플랫폼 BitBank와 개발사 Pishtaz Simorgh Electronic Trade Company, 관련 개인 3명을 제재 목록에 올렸다. 재무부는 BitBank이 이미 제재 중인 이란 금융업자 Babak Zanjani의 통제 아래 있으며 제재 회피 네트워크의 일부라고 평가한다. 2026년 6월과 7월 사이 Zanjani는 BitBank를 통해 수억 달러 규모의 비트코인을 이슬람혁명수비대로 보냈고, 제재 대상인 Hormuz Safe Marine Services Authority도 이 플랫폼으로 자금을 이동시켰다. 이 지정 아래 해당 당사자들의 미국 연계 자산은 전부 동결되며, 제재 대상자가 직간접적으로 50% 이상 소유한 법인 역시 차단된다.

Hyperliquid, 수동 대출 기능 개시

인프라 측면에서는 Hyperliquid가 HYPE과 비트코인(BTC)을 담보로 제출해 USDC와 USDT를 빌릴 수 있는 수동 대출 기능을 출시했다. 차입자는 인출한 자산에 이자를 지불하고, 쿼트 자산 공급자는 이자를 받으며, 금리는 자본 활용률에 따라 결정된다. 이 기능은 포트폴리오 마진 시스템과 HyperCore 인프라를 공유하며, 출시일 기준 대출 자산 규모가 이미 2억 6,900만 달러에 달했다. 공동창업자 Jeff Yan은 이번 출시를 의도적으로 모듈형으로 설계했다고 설명했다. HyperCore 위에 독립 대출 프로토콜을 먼저 구축한 뒤 포트폴리오 마진을 통해 선물·현물·트레이딩 결과와 통합하면, 대출 리스크를 독립적으로 관리하면서 유휴 스테이블코인 담보로 수익을 내고 시스템 전체 리스크 분석도 쉬워진다는 것이다. 시장을 실시간으로 추적하려는 독자는 Bitget에서 현물·선물 가격을 실시간으로 확인할 수 있다.

북한의 다면적 플레이북

이번 네 가지 소식은 하나의 흐름을 그린다. 디지털 자산이 핵심 금융 레일로 자리 잡으면서 국가 단위 공격자와 규제 당국이 그 같은 레일 안에서 움직이고 있으며, 이번 주 공개는 절도, 제재 회피, 채용 침투가 하나의 조율된 위협 그림으로 다뤄지고 있음을 보여준다. COINOTAG의 공동 자문 해석은 실용적이다. 신뢰할 수 없는 코드는 샌드박스나 가상 환경 안에서만 실행하고, 엔드포인트 탐지·대응 도구를 배치하며, 미지의 VSCode 프로젝트는 제한 모드에서 열어 tasks.json 자동 실행을 차단하고, 시드 구문은 오프라인에 보관하라는 것이다. 집필 시점에 비트코인(BTC)은 8만 810달러 부근에서 거래되며 우리 복합 지지·저항 수준 안에 머물고 있다. 반복되는 국가 행위자 공개가 기관의 리스크 선호를 식을지, 아니면 강화된 규제 기반 인프라의 필요성을 뒷받침할지가 남은 질문이다.