Una advertencia publicada el 12 de noviembre a través del Centro de Quejas de Delitos Informáticos del FBI (IC3), el canal de la oficina para recibir quejas de delitos informáticos y emitir alertas públicas, describe demoras de meses a más de un año entre la intrusión inicial y el robo de criptomonedas en varios casos reportados que involucran a FaceStealer, una operación de Corea del Norte que utiliza cuentas de comunicación secuestradas y reuniones de video falsas para engañar a los objetivos y hacerlos instalar malware. La advertencia va dirigida a personas que quizás siguieron instrucciones maliciosas de resolución de problemas hace mucho tiempo: la ausencia de transferencias no autorizadas, advierte la oficina, no significa que sus credenciales de wallet hayan permanecido privadas.

Por qué una wallet puede verse normal después del robo de la frase

Una frase de recuperación permite que el software de wallet compatible reconstruya las claves privadas utilizadas para autorizar transacciones. En una wallet estándar con frase de recuperación, cualquiera que tenga la frase puede restaurar el acceso en otro dispositivo sin eliminar el acceso del propietario, lo que significa que ambas partes pueden tener los medios para gastar los fondos.

Copiar la frase no mueve criptomonedas. Un explorador de bloques puede mostrar depósitos y transferencias, pero no puede revelar que otra persona ha obtenido la información necesaria para autorizar un retiro futuro. Por lo tanto, un propietario puede seguir usando la wallet con normalidad mientras un atacante espera que aparezca un saldo mayor.

La advertencia del 12 de noviembre describe atacantes haciendo exactamente eso. No ofrece un período de espera promedio ni una estimación de la frecuencia con la que una intrusión conduce a un robo diferido. Su hallazgo es más limitado: varios casos reportados involucraron robos y secuestros de cuentas de comunicación meses a más de un año después de la intrusión.

El alcance de la exposición depende de lo que los atacantes pudieron acceder. Una frase de recuperación almacenada en una computadora infectada presenta un riesgo distinto al de una frase que nunca estuvo disponible para ese dispositivo, y una infección de computadora por sí sola no significa que todas las wallets que usa el propietario hayan perdido sus claves.

Cómo un contacto familiar entrega la falsa solución

Las operaciones de FaceStealer comienzan con el acceso a la cuenta de comunicación de una víctima anterior. Los atacantes usan esa cuenta genuina para acercarse a los contactos de la víctima con pretextos de un encuentro, una colaboración o una oportunidad de inversión, y luego envían un enlace a un servicio de reuniones imitado.

Dentro de la reunión falsa, reproducen grabaciones de cámara web robadas para que personas reconocibles parezcan estar participando. Luego afirman que el objetivo tiene un problema de audio o necesita una actualización. La solución propuesta pide al objetivo descargar un archivo, ejecutar un script o ingresar un comando que instala el malware.

La campaña todavía depende predominantemente de grabaciones genuinas robadas, aunque la advertencia también describe video sintético. El engaño no requiere un rostro inventado: se utiliza material auténtico en una conversación que la persona grabada no está dirigiendo.

Las autoridades incautaron más de 900 grabaciones de cámara web de víctimas durante la interrupción de la infraestructura de FaceStealer. El FBI atribuye al esquema más de 400 millones de dólares en criptomonedas robadas a lo largo de 18 meses.

Limpiar la computadora no restaura el control de la wallet

Eliminar el malware puede impedir que ese software siga operando en un dispositivo, pero no puede recuperar una frase de recuperación que ya fue copiada en otro lugar. Reinstalar una aplicación de wallet, cambiar su contraseña local o restaurar la misma frase en otra computadora deja las credenciales de la wallet subyacentes sin cambios.

Para una wallet con frase de recuperación expuesta, el reemplazo significa crear una wallet con una frase nueva y mover los activos. Una wallet estándar con frase de recuperación no tiene una entidad emisora que pueda invalidar una frase una vez copiada, por lo que el reemplazo, y no la reparación, es la única vía disponible. La guía de migración de Phantom explica que sus wallets existentes con frase de recuperación no pueden simplemente recibir una nueva frase, y recomienda revisar tokens, coleccionables, activos en staking y posiciones DeFi, algunos de los cuales requieren pasos adicionales antes de poder moverse.

Una migración, por lo tanto, debe considerar más que el saldo mostrado en la pantalla inicial de la wallet. El propietario debe identificar los activos y posiciones que siguen controlados por las credenciales expuestas y dejar de dirigir pagos futuros a las direcciones antiguas.

Las cuentas robadas ponen en riesgo al siguiente contacto

El acceso a la wallet es solo un uso del dispositivo comprometido. Los atacantes de FaceStealer también obtienen listas de contactos e historiales de chat, lo que les permite adaptar su acercamiento a partir de una conversación anterior. Un mensaje sobre una inversión o una reunión puede llegar desde la cuenta esperada y referirse a una relación real.

Recuperar la cuenta puede interrumpir esa vía hacia más víctimas, pero los contactos ya pueden haber recibido invitaciones o haber visto el rostro grabado del propietario. Necesitan una advertencia a través de otro canal establecido. Los empleadores también deben saber cuándo un dispositivo de trabajo o información laboral puede haber sido expuesto, incluso si no ha desaparecido ninguna criptomoneda.

Para futuras invitaciones a reuniones, la práctica recomendada es abrir la aplicación oficial de forma independiente y unirse con el código de la reunión, confirmar solicitudes inusuales a través de otro canal de contacto establecido y obtener actualizaciones por separado en lugar de ejecutar scripts o comandos proporcionados en el chat.

Cualquiera que haya seguido una "solución" sospechosa hace meses debe reevaluar las credenciales y cuentas que eran accesibles en ese momento. Dado que los casos que describe la advertencia involucran robos ocurridos meses a más de un año después de la intrusión, esa reevaluación debe remontarse más allá de la actividad reciente hasta todos los períodos en que el dispositivo pudo haber estado comprometido. Esa revisión determina si los fondos deben moverse, si las sesiones de las cuentas deben cerrarse y si los contactos deben recibir una advertencia.