Hackers vinculados a Corea del Norte han robado más de US$400 millones en criptomonedas en los últimos 18 meses a través de una sofisticada operación de ingeniería social que se basa en videollamadas falsas y deepfakes generados por IA, según funcionarios de aplicación de la ley de Estados Unidos. El FBI, que ha bautizado la campaña como “FaceStealer”, señala que el esquema demuestra cómo los ciberdelincuentes combinan la inteligencia artificial con conexiones en línea de confianza para atacar a poseedores de criptomonedas y profesionales de Web3.

El 12 de noviembre, el Departamento de Justicia de Estados Unidos (DOJ) anunció la interrupción de la infraestructura en la nube vinculada a la campaña. Según los investigadores, los atacantes también han atacado cada vez más a desarrolladores de software de código abierto, un cambio que genera preocupaciones sobre la seguridad de plataformas digitales de uso generalizado.

Cómo opera el hackeo cripto FaceStealer

Según el DOJ, los hackers de Corea del Norte recurrieron a cuentas de comunicación comprometidas, grabaciones de webcam encubiertas y deepfakes generados por IA para hacer creíbles sus suplantaciones.

La campaña generalmente comienza cuando los atacantes comprometen la computadora de una persona y graban encubiertamente videos de su webcam. Luego toman el control de las cuentas de comunicación de la víctima y las usan para contactar a sus conocidos profesionales y personales.

Los hackers envían invitaciones persuasivas a reuniones de video, frecuentemente haciéndose pasar por personas conocidas por sus objetivos. En estas llamadas, generan confianza mostrando grabaciones preregistradas de víctimas anteriores o videos generados por IA de figuras prominentes de las criptomonedas y Web3. En la práctica, la técnica socava la suposición común de que un rostro familiar en una videollamada en vivo confirma la identidad de quien llama.

El ataque se vuelve más peligroso cuando los hackers introducen un problema técnico falso, como un fallo de audio, durante la llamada. Luego se instruye a los objetivos hacer clic en un enlace o seguir pasos de solución de problemas que instalan malware secretamente en su computadora.

Una vez comprometido el dispositivo, los atacantes pueden acceder a información sensible, robar criptomonedas y potencialmente tomar el control de cuentas de comunicación adicionales.

El FBI informó que las autoridades incautaron más de 900 grabaciones de webcam de víctimas durante la investigación, una cifra que refleja la escala de la operación. En múltiples casos reportados, los hackers robaron criptomonedas a las víctimas meses, o en algunos casos más de un año, después de comprometer inicialmente sus dispositivos. Ese retraso significa que un dispositivo comprometido puede exponer silenciosamente cuentas y fondos mucho tiempo después de la infección inicial.

Patrick Grandy, subdirector a cargo del FBI, advirtió que la campaña explota la confianza de las personas en plataformas en línea familiares y relaciones profesionales, describiéndola como un “esquema de ingeniería social altamente efectivo”.

Los desarrolladores de código abierto enfrentan una creciente amenaza de seguridad

La campaña FaceStealer va más allá del robo de criptomonedas. El FBI reportó que los hackers de Corea del Norte han atacado cada vez más a desarrolladores y mantenedores de software de código abierto para acceder a sus dispositivos y cuentas de repositorios de software.

Esta actividad ha generado preocupaciones sobre posibles ataques a la cadena de suministro de software. Los atacantes que comprometan a desarrolladores de confianza podrían introducir código malicioso en proyectos de software de uso generalizado, exponiendo potencialmente a los usuarios downstream a riesgos de seguridad.

Ese desarrollo amplía la amenaza más allá de los poseedores individuales de criptomonedas, con posibles consecuencias para empresas, plataformas de software y la infraestructura digital más amplia.

Las operaciones de robo de criptomonedas de Corea del Norte en expansión

La última campaña se suma a la historia de ciberataques relacionados con criptomonedas por parte de Corea del Norte. Una evaluación histórica publicada por TRM Labs muestra que el robo de criptomonedas atribuido a Corea del Norte alcanzó aproximadamente US$790 millones en 2022, en comparación con alrededor de US$205 millones en 2023.

Aunque los totales individuales de robo pueden fluctuar considerablemente de un año a otro, estas cifras ilustran la escala de las operaciones de robo de criptomonedas del país. Los más de US$400 millones atribuidos a FaceStealer en los últimos 18 meses destacan aún más el impacto financiero de estos ataques dirigidos.

El FBI interrumpe la infraestructura detrás del hackeo cripto FaceStealer

El DOJ confirmó que la operación coordinada resultó en la incautación de infraestructura en la nube que respaldaba la campaña. El FBI también publicó un informe técnico que detalla cómo funciona el esquema y describe medidas de seguridad para posibles víctimas, junto con una página de recursos dedicada sobre FaceStealer.

La investigación destaca la importancia de procedimientos de verificación más sólidos durante reuniones en línea, mayor precaución al abrir enlaces desconocidos y una mejor protección de las cuentas de comunicación y desarrollo de software.

A medida que las suplantaciones generadas por IA se vuelven cada vez más convincentes, la campaña FaceStealer demuestra que las amenazas de ciberseguridad ya no se limitan a vulnerabilidades técnicas. La explotación de la confianza humana se ha convertido en otra forma efectiva de acceder a valiosas criptomonedas e infraestructura digital.