Por Canuto  

El FBI atribuye a FaceStealer el robo de USD $400 millones en criptomonedas y advierte que la campaña usó cuentas suplantadas, videollamadas falsas y malware para atacar a profesionales de Web3 y desarrolladores.

***

  • La campaña habría operado durante más de 18 meses y apuntó a trabajadores de Web3, usuarios de criptomonedas y desarrolladores de código abierto.
  • El FBI recuperó más de 900 videos de webcam que los atacantes usaban para hacerse pasar por personas conocidas por sus víctimas.
  • Las autoridades cerraron infraestructura en la nube y recomiendan verificar invitaciones por otros canales y no instalar programas ante avisos inesperados.

 

 

El FBI advirtió sobre una campaña atribuida a hackers norcoreanos que, mediante videollamadas falsas y malware, habría robado USD $400 millones en criptomonedas. La operación, denominada FaceStealer, se dirigió a trabajadores de Web3, usuarios de cripto y desarrolladores de software de código abierto, y habría permanecido activa durante más de 18 meses.

El Departamento de Justicia de Estados Unidos informó el 12 de noviembre que, en coordinación con el FBI, las autoridades cerraron la infraestructura en la nube utilizada por la campaña. La investigación también permitió recuperar más de 900 videos de webcam de víctimas, material que los atacantes empleaban para suplantarlas en posibles ataques posteriores.

Videollamadas falsas como puerta de entrada

Según la información divulgada por el Departamento de Justicia, los atacantes primero se apoyaban en cuentas de redes sociales comprometidas para contactar a personas vinculadas con víctimas anteriores. Esa conexión aparentemente familiar facilitaba proponer una reunión virtual y reducía las sospechas antes de que comenzara la parte técnica del engaño.

Los hackers organizaban las reuniones mediante versiones imitadas de plataformas como Zoom y reproducían videos de personas que la víctima reconocía. No se trataba necesariamente de una conversación genuina con el contacto esperado: la grabación permitía aparentar que esa persona participaba, mientras los atacantes guiaban la interacción desde detrás de la pantalla.

Durante la llamada, los operadores introducían audios falsos o alegaban que había un problema técnico que la víctima debía resolver. A continuación, le daban instrucciones que podían llevarla a instalar malware en su dispositivo, un paso que convertía una interacción social en una vía de acceso potencial a información y cuentas personales.

El FBI advirtió que ese acceso podía alcanzar el teléfono, las cuentas de la víctima y, eventualmente, sus billeteras de criptomonedas. La secuencia descrita combina suplantación de identidad y manipulación: primero aprovecha la confianza en un contacto conocido y luego presenta la instalación de un programa como una solución urgente a un inconveniente de la llamada.

Desarrolladores y proyectos de código abierto en la mira

La campaña no se limitó a titulares de criptomonedas o a personas que utilizan servicios de Web3. El FBI señaló que también apuntó a desarrolladores de software de código abierto, un grupo cuyo acceso a dispositivos y repositorios puede tener consecuencias más amplias que el compromiso de una sola cuenta individual.

Si un atacante logra entrar en el equipo de un desarrollador o en su cuenta de repositorio, podría exponerse a proyectos de uso frecuente y abrir la posibilidad de ataques a la cadena de suministro. En ese tipo de riesgo, el objetivo no es solo la víctima inicial: el acceso obtenido puede afectar herramientas o componentes que otras personas y equipos integran en sus propios trabajos.

La oficina indicó que, a comienzos de este año, los hackers estuvieron cerca de comprometer una importante biblioteca de JavaScript de código abierto mediante la campaña. El intento fue desmantelado antes de causar daños graves, según el reporte, pero el episodio ilustra por qué una falsa invitación dirigida a un desarrollador puede tener implicaciones para más usuarios que quien recibe el mensaje.

El FBI también describió la operación como una que capitaliza la confianza entre colegas y contactos conocidos. Brett Leatherman, director de operaciones de la Rama Cibernética del FBI, dijo que Corea del Norte depende del robo de criptomonedas a gran escala para financiar su programa de armas ilegal; la atribución y esa motivación corresponden a las autoridades estadounidenses.

El caso y las recomendaciones de seguridad

El cierre de la infraestructura en la nube y la recuperación de más de 900 videos constituyen acciones concretas contra la operación, aunque la información divulgada no indica que esos pasos hayan recuperado los USD $400 millones atribuidos al esquema. El material audiovisual recuperado, en cambio, muestra una parte del mecanismo: grabaciones de webcam que podían reutilizarse para suplantar víctimas en nuevas interacciones.

La publicación también menciona por separado un robo de criptomonedas de más de USD $6.000 millones y acciones de autoridades estadounidenses y socios privados para congelar más de USD $2.700 millones relacionados con ese caso. Añade que el Departamento de Justicia incautó más de USD $1.200 millones con autorización judicial y que Binance afirmó en octubre haber cubierto el 90% de las pérdidas del incidente.

Esas cifras corresponden a otro caso citado junto a la alerta sobre FaceStealer y no deben confundirse con los USD $400 millones atribuidos a la campaña de videollamadas. La información disponible no establece que los incidentes sean una sola operación ni explica cómo se relacionan entre sí, por lo que conviene mantener separadas ambas referencias al evaluar el alcance de cada investigación.

Para reducir el riesgo, el FBI recomendó verificar las invitaciones a reuniones mediante un canal de comunicación distinto, como otra vía de contacto o una cuenta social diferente. También instó a evitar la instalación de software a partir de avisos inesperados, especialmente cuando la petición aparece durante una llamada y se presenta como la única forma de resolver un supuesto fallo técnico.

La alerta deja una lección práctica para equipos de Web3: una videollamada no confirma por sí sola la identidad de quien aparece en pantalla, y un contacto conocido puede estar siendo suplantado si su cuenta fue comprometida. Ante una solicitud inusual, confirmar la identidad por otra vía y rechazar instalaciones inesperadas puede interrumpir el engaño antes de que el malware alcance dispositivos, cuentas o billeteras.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados