El Departamento de Justicia desmantela un esquema norcoreano de llamadas falsas que robó $400 millones en cripto

El Departamento de Justicia de EE. UU. dijo el jueves que incautó infraestructura en la nube utilizada en una campaña norcoreana de suplantación mediante videollamadas que robó más de $400 millones en criptomonedas en los últimos 18 meses.

La campaña, que el FBI ha designado FaceStealer, se basa en cuentas robadas a víctimas anteriores para invitar a sus contactos a reuniones, según el anuncio del departamento del 12 de noviembre. Durante estas llamadas, los atacantes reproducen grabaciones secretas de webcam de personas conocidas por el objetivo, o videos deepfake de figuras prominentes del mundo cripto, para hacer que las reuniones parezcan legítimas.

"Explota nuestra confianza en plataformas de videollamadas omnipresentes y en relaciones personales valiosas", dijo Patrick Grandy, director adjunto a cargo de la oficina de campo del FBI en Los Ángeles, en el anuncio.

Cómo funciona el esquema

Durante una llamada, los atacantes afirman que se ha producido un problema técnico —por ejemplo, que el audio del objetivo no funciona— y proporcionan un enlace o aviso para resolverlo. Esa supuesta solución instala malware en la computadora del objetivo, dijo el DOJ. La página de recursos de FaceStealer del FBI describe el uso de versiones impostoras realistas de plataformas de videoconferencia.

La exposición va más allá de las criptomonedas de una persona. Según el DOJ, los atacantes pueden explotar el acceso de un usuario comprometido a otra infraestructura informática y apuntan cada vez más a desarrolladores y mantenedores de código abierto para obtener acceso a cuentas de repositorios de software. Ese objetivo parece destinado a facilitar ataques a la cadena de suministro de software, dijo el departamento, alcanzando potencialmente a los usuarios del software afectado, según el FBI. En términos prácticos, esa evaluación significa que la huella potencial de la campaña va más allá de las personas directamente comprometidas y llega a cualquiera que dependa del software afectado.

Bajo una orden federal, el FBI incautó más de 900 videos de webcam de víctimas de FaceStealer, dijo el DOJ. Los atacantes también recopilan las listas de contactos y cuentas de comunicación de las víctimas para acercarse al siguiente grupo de objetivos. En varios casos reportados, el robo de cripto y el secuestro de cuentas ocurrieron meses hasta más de un año después del compromiso inicial, dijo el departamento, un retraso que muestra cómo una intrusión puede quedar sin resolver durante meses mientras los atacantes trabajan a través de los contactos y cuentas recopilados de una víctima.

El señuelo de la videollamada se basa en un patrón sobre el que el FBI advirtió en septiembre de 2024, cuando señaló solicitudes para ejecutar scripts que habilitaran llamadas como una posible señal de ingeniería social norcoreana. Como informó The Defiant en su momento, los empleados de DeFi estaban entre los objetivos. Aquel aviso anterior recomendaba verificar contactos a través de plataformas de comunicación separadas y no conectadas, y restringir qué archivos pueden descargar o ejecutar los dispositivos de la empresa. Ambas recomendaciones abordan los dos puntos de entrada declarados del esquema: identidades suplantadas en llamadas y el aviso de solución maliciosa.

Acción separada apunta a activos robados de Binance

En el mismo anuncio, el DOJ dijo que había obtenido autorización judicial para incautar o restringir más de $1,200 millones en activos vinculados a un robo separado de Binance. Ese monto forma parte de más de $2,700 millones congelados mediante esfuerzos gubernamentales y del sector privado, y no una recuperación adicional sobre esa cifra.

El FBI atribuyó ese robo de más de $6,000 millones, ocurrido en torno al 29 de octubre, a una actividad norcoreana que denomina TraderTraitor. El DOJ distinguió explícitamente a TraderTraitor de FaceStealer. La distinción importa para el seguimiento: FaceStealer describe la campaña de suplantación mediante videollamadas, mientras que TraderTraitor cubre el robo separado y su rastro de lavado.

Los esfuerzos para rastrear, congelar, incautar y decomisar los activos de Binance continúan mientras los atacantes lavan fondos a través de puentes, mixers y exchanges, dijo el DOJ.

Fuente: CryptoNewsNet