FBI, 4억 달러 규모 FaceStealer 가상자산 탈취 조직 차질

가짜 화상통화로 암호화폐 지갑이 털렸다

FBI는 11월 12일 암호화폐 보유자들에게 경고를 보냈다. 북한 해커가 운영하는 사회공학 기법 FaceStealer가 지난 18개월간 피해자들에게서 4억 달러 이상을 빼돌린 것이다. 법무부와 함께 발표한 공지에 따르면 디지털 자산을 보유하거나 Web3에서 일하거나 오픈소스 코드를 관리하는 사람이라면 누구나 잠재적 표적이 된다. 공격은 이전 피해자의 계정을 도용해 보낸 회의 초대장으로 시작된다. 표적이 통화에 참여하면 공격자는 웹캠을 몰래 녹화하면서, 표적이 아는 사람들의 사전 녹화 영상을 재생해 신뢰하는 지인이 통화 중에 있는 것처럼 보이게 만든다. 법무부는 이 조직이 디지털 자산 업계 유명 인사의 딥페이크 영상도 동원한다고 밝혔다. 이어 해커들은 표적의 목소리가 들리지 않는다 식의 기술적 오류를 만들어내고, 문제 해결책으로 보낸 파일이 멀웨어를 설치한다. 문서화된 사건들에서는 초기 침해 이후 도난이 몇 달, 심하면 1년 넘게 뒤에야 이뤄져 침해 사실을 최초의 통화로 역추적하기 어렵다. 법무부는 이 작전을 Sapphire Sleet, BlueNoroff, APT38 등으로 추적되는 북한 조직과 연결 짓는다. 이 수법은 새것이 아니다. 지난해 발표된 보고서는 이미 가짜 Zoom 회의가 북한 세력의 3억 달러 도난과 연관됐다고 지목했고, 구글의 Mandiant 팀은 2026년 초 유사한 AI 기반 Zoom 미끼를 경고한 바 있다.

피해자 웹캠 영상 900개 압수

연방 수사관들은 FaceStealer의 클라우드 기반 인프라를 차질시키고 피해자들의 웹캠 영상 900개 이상을 압수했다. 수사는 FBI 로스앤젤레스 지국이 이끌었다. 해당 지국의 수석 책임자 Patrick Grandy는 이 수법을 흔한 화상회의 플랫폼과 개인적 관계에 대한 신뢰를 이용한 공격이라 규정하며, 이에 넘어질 리 없다고 생각하는 사람일수록 창의력이 부족하다고 언급했다. 오픈소스 개발자는 점점 더 주된 표적이 되고 있다. 북한 해커들이 신뢰받는 관리자 계정을 탈취하면 널리 쓰이는 소프트웨어에 악성 코드를 심을 수 있기 때문이다. 또한 피해자는 다음 표적을 찾는 발판이 된다. 공격자들은 연락처, 소셜 미디어, 채팅 앱을 샅샅이 뒤져 새로운 표적을 고른다. FaceStealer 조치와 함께 법무부는 암호화폐 거래소 Binance 해킹과 연관된 12억 달러를 압수 절차에 넣었고, 온체인 분석 데이터는 북한 해커들이 올해 디지털 자산 76억 1,000만 달러를 훔친 것으로 나타난다.

이번 발표의 핵심 근거는 법무부 공지이며, 두 개의 숫자가 위협의 크기를 정확히 짚어준다. 18개월간 FaceStealer 미끼로 빼돌려진 4억 달러, 그리고 북한 세력에게 귀속되는 2026년 한 해 총 76억 1,000만 달러가 그것이다. COINOTAG의 판단은 이 캠페인이 FOMO가 아니라 신뢰를 무기로 삼아 작동한다는 점이다. 그렇기에 강세장이든 약세장이든 시장 사이클 전 구간에서 유효하다. 최초 통화 후 몇 달 뒤에야 도난이 이뤄지는 지연 수익 패턴을 감안하면, 보유자는 암호화폐 지인에게서 온 회의 초대장은 두 번째 경로로 확인하기 전까지 미검증 상태로 취급해야 한다. 피해자 웹캠 영상 900개의 압수는 법무 당국이 공격 사이 공격으로 신원이 어떻게 세탁됐는지를 직접 보여주는 증거를 이제 손에 쥐었음을 뜻한다.