페이스스틸러 해킹 수법으로 암호화폐 5300억원 탈취

핵심요약

기사 핵심 요약

북한 해커 집단이 지인 영상을 도용한 화상회의 해킹으로 5천300억원대 암호화폐를 가로챘다.

• 북한 해커 조직이 지인 웹캠 영상을 도용한 가짜 화상회의 수법으로 암호화폐 5천300억원을 탈취했다.
• 미국 FBI는 범행에 사용된 영상 900건 이상을 확보하고 공격용 클라우드 인프라를 공식 압류했다.
• 화상회의 중 기술 오류를 핑계로 프로그램 설치나 업데이트 링크를 요구하면 즉시 접속을 중단해야 한다.

북한 정부를 배후에 둔 해커 조직이 지인의 실제 웹캠 영상을 훔쳐 가짜 화상회의를 꾸미는 페이스스틸러 수법으로 18개월간 4억 달러(약 5천300억 원)가 넘는 암호화폐를 탈취한 사실이 미국 수사당국에 의해 드러났다. 미국 연방수사국(FBI)은 2026년 11월 12일(현지시간) 해당 사회공학적 해킹 수법의 세부 작동 방식과 수사 결과를 공식 발표하며 주의를 당부했다.

지인 영상과 계정 도용한 페이스스틸러의 공격 구조

페이스스틸러 수법은 소프트웨어의 기술적 결함을 직접 파고드는 대신 피해자가 평소 신뢰하던 지인과의 관계를 악용해 컴퓨터에 악성코드를 침투시키는 방식을 취한다. 해커들은 먼저 특정 이용자의 메신저 계정과 소셜미디어 계정을 강제로 탈취해 공격 거점으로 삼는다.

이후 장악한 계정을 이용해 실제 대화 목록에 있는 지인들에게 줌(Zoom), 마이크로소프트 팀즈(Microsoft Teams), 구글 미트(Google Meet) 등 대중적인 화상회의 플랫폼 초대장을 전달한다. 공격 대상자는 이전에 일상적으로 소통했던 인물로부터 공식 플랫폼 형태의 초대장을 받기 때문에 출처를 의심하기 어렵다.

초대장을 받은 피해자가 회의방에 접속하면 실제 아는 사람의 얼굴이 화면에 송출되지만, 이는 해커들이 앞선 피해자의 컴퓨터 웹캠을 무단 제어해 사전 녹화해 둔 영상 클립이다. 회의방에 접속한 새 피해자의 안면과 음성 역시 그 즉시 웹캠을 통해 해커들에게 실시간으로 녹화된다.

해커들은 회의 도중 화면이 멈추거나 소리가 들리지 않는 등 기술적 장애가 발생한 것처럼 상황을 조작한 뒤 문제 해결 프로그램이나 업데이트 링크를 클릭하도록 유도한다. 이 링크를 실행하는 순간 이용자의 PC에 암호화폐 탈취용 악성코드가 즉시 설치된다.

악성코드에 감염된 피해자의 메신저 계정과 주소록, 새로 녹화된 영상은 다음 공격의 미끼로 재사용된다. 한 번의 침해가 또 다른 지인들을 겨냥한 연쇄적 공격으로 끊임없이 이어지는 구조를 띠고 있다.

업계 유명인 딥페이크와 오픈소스 개발자 표적화

해커들은 사기 화상회의의 신뢰도를 높여 공격 성공률을 극대화하기 위해 일반 지인 영상 외에 가상화폐 및 블록체인 업계 저명인사를 모방한 딥페이크 영상까지 제작해 전면에 배치하기 시작했다. 인지도 높은 업계 전문가의 합성 영상을 미끼로 투자 논의나 기술 협력을 제안해 상대방의 경계심을 무너뜨리는 전략이다.

공격 표적도 일반 개인 투자자에서 오픈소스 소프트웨어 생태계를 관리하는 핵심 엔지니어들로 점차 넓어지고 있다. 전 세계 수많은 기업과 개인이 무료로 내려받아 사용하는 소프트웨어 코드를 다루는 개발자를 직접 노리는 양상이다.

오픈소스 개발자의 컴퓨터가 악성코드에 감염되면 해당 개발자가 배포하거나 유지 보수하는 오픈소스 패키지 전체에 악성 스크립트가 심어질 위험이 커진다. 결과적으로 개별 개발자 한 명의 보안 사고가 해당 오픈소스를 차용한 수많은 연관 서비스와 최종 이용자들에게 대규모 연쇄 피해를 초래할 수 있다.

사파이어 슬리트 배후 지목과 수사당국의 인프라 압류

미국 연방수사국(FBI)은 페이스스틸러 공격을 주도한 배후 세력으로 북한 정권과 연계된 해커 조직인 '사파이어 슬리트(Sapphire Sleet, 일명 UNC1069)'를 공식 지목했다. FBI는 수사 과정에서 해커들이 피해자들을 사칭하는 과정에 악용한 웹캠 영상 900건 이상을 추적해 압수했다.

미 법무부 역시 사파이어 슬리트의 사이버 공격 인프라를 무력화하기 위해 해당 조직의 데이터 저장과 악성 통신을 지원하던 클라우드 서버 인프라를 강제 압류 조치했다고 밝혔다. 주요 거점 서버가 차단됨에 따라 추가적인 지인 영상 탈취와 유포 작업에 제동이 걸렸다.

수사기관은 악성코드 유포 서버와 도용 계정들을 통제하며 추가 피해 확산을 막고 있으나, 해커들이 확보해 둔 녹화 영상과 탈취 정보의 잔존 위험은 여전히 남아 있다. 다만 북한 당국은 이번 수사 결과 발표에 대해 자국 소행으로 지목된 암호화폐 탈취 의혹 일체를 전면 부인하고 있는 상태다.

바이낸스 63억달러 탈취 사건과 자금 세탁 추적 현황

미 법무부는 사파이어 슬리트 수사와 병행하여 또 다른 북한 해커 조직이 가상화폐 거래소 바이낸스(Binance)에서 감행한 대규모 암호화폐 절도 자금에 대한 자산 동결 및 법적 압류 처분 내역을 함께 공개했다. 이번 바이낸스 침해는 페이스스틸러와는 독립된 사건이며 배후 조직의 활동 경로 역시 상이하다.

바이낸스 측 설명에 따르면 해커들은 가짜 채용 면접을 구실로 엔지니어 1명의 단말기를 장악한 뒤, 이를 교두보 삼아 내부 디지털 지갑을 관리하는 담당 부서로 침투해 자금을 빼돌렸다. 해당 사건의 총 탈취 규모는 63억 달러(약 8조4천억 원)로 집계되며 역대 최대 암호화폐 도난 사건으로 기록됐다.

피해 발생 직후 서클인터넷그룹과 테더는 지난달 29일 도난 자산 중 27억 달러(약 3조6천억 원)를 긴급 동결 처리했다. 미 법무부는 이 중 12억 달러(약 1조6천억 원) 규모에 대해 법원으로부터 정식 압류 및 처분 제한 허가를 획득했다. 바이낸스는 거래소 자체 영업이익금과 비상자금을 투입해 유출된 이용자 자산 전액을 보전했다고 밝혔다.

FBI가 '트레이더트레이터(TraderTraitor)'로 명명한 해당 해커 조직은 남은 탈취 자금을 현금화하기 위해 여러 블록체인 네트워크와 탈중앙화 거래소를 오가며 복잡한 자금 세탁을 시도하고 있다. 블록체인 데이터 분석업체 일립틱(Elliptic)의 분석에 따르면 해커들은 일주일 만에 최소 2만 개 이상의 가상화폐 지갑과 6만5천 건이 넘는 트랜잭션을 일으키며 추적망을 교란하고 있다.

앞서 발생한 바이낸스 해킹 발생, 국내 거래소 이용자 피해 예방 수칙 정리 사례와 마찬가지로 기관과 개인 모두 소프트웨어 자체 취약점뿐만 아니라 화상회의 링크와 채용 제안 등 사람의 심리를 악용하는 교묘한 침투 경로에 각별한 주의를 기울여야 한다.

표: 바이낸스 암호화폐 탈취 사건 자금 현황

구분	금액 (달러)	원화 환산액 (약)	비고
총 탈취 규모	63억 달러	8조4천억 원	역대 최대 가상화폐 절도 피해
발행사 긴급 동결	27억 달러	3조6천억 원	테더 및 서클인터넷그룹 조치
미 법무부 인가 압류	12억 달러	1조6천억 원	동결액 중 법원 처분 제한 승인
거래소 자체 보전	63억 달러	8조4천억 원	바이낸스 이익금·비상자금 충당

출처: 미국 법무부 발표 자료 및 블룸버그 집계 (2026.11)

자주 묻는 질문

실제 지인의 얼굴이 나오는 화상회의인데 사기인지 어떻게 구별하나요?

회의 화면 속 지인의 움직임이 부자연스럽거나 반복 재생되는지 살피고, 상대방이 회의 중 접속 장애를 핑계로 특정 링크 클릭이나 파일 설치를 요구한다면 즉시 회의를 종료해야 합니다.

페이스스틸러 악성코드에 감염되면 어떤 피해가 발생하나요?

PC 내 암호화폐 지갑과 금융 정보가 탈취될 뿐만 아니라 메신저 계정과 본인의 웹캠 촬영 영상까지 유출되어 다른 지인을 공격하는 사기 미끼로 재사용될 수 있습니다.

바이낸스 해킹으로 탈취된 자산에 대해 일반 이용자가 직접 입은 손실이 있나요?

바이낸스가 거래소 자체 이익금과 비상자금을 투입해 도난당한 자산 전액을 자체적으로 채워 넣었기 때문에 이용자 자산의 직접적 결손은 발생하지 않은 것으로 발표되었습니다.