美国司法部挫败朝鲜假视频通话加密货币盗窃计划，涉案金额超4亿美元

美国司法部周四表示，其查获了朝鲜视频通话冒充行动所使用的云基础设施，该行动在过去18个月中窃取了超过4亿美元的加密货币。

根据司法部11月12日的公告，这场被FBI命名为FaceStealer的行动利用从早期受害者处窃取的账户，邀请其联系人参加会议。在通话过程中，攻击者播放秘密录制的目标熟人网络摄像头画面，或知名加密货币人士的深度伪造视频，使会议显得真实可信。

"它利用了我们对无处不在的视频会议平台以及宝贵人际关系的信任，"FBI洛杉矶分局主管助理局长Patrick Grandy在公告中表示。

该计划的运作方式

在通话中，攻击者声称出现技术问题——例如目标的音频无法工作——并提供链接或提示来解决。司法部表示，这个所谓的修复程序会在目标电脑上安装恶意软件。FBI的FaceStealer资源页面描述了攻击者使用高度逼真的仿冒视频会议平台的情况。

风险暴露不仅限于个人的加密货币资产。据司法部称，攻击者可以利用被入侵用户对其他计算机基础设施的访问权限，并日益瞄准开源开发者和维护者，以获取软件仓库账户的访问权限。该部门表示，这种定向攻击似乎旨在实施软件供应链攻击——据FBI称，可能波及受影响软件的用户。实际上，这一评估意味着该行动的潜在影响范围超越了直接被入侵的个人，可延伸至任何依赖受影响软件的人。

司法部表示，FBI根据联邦搜查令查获了900多段FaceStealer受害者的网络摄像头视频。攻击者还会获取受害者的联系人列表和通讯账户，以接触下一批目标。该部门称，在多起已报告的案例中，加密货币盗窃和账户劫持发生在初始入侵数月甚至一年多之后——这一时间差表明，入侵可能在数月内未被发现，而攻击者则利用受害者的联系人和账户逐步展开行动。

这种视频通话诱骗手段延续了FBI在2024年9月警告过的一种模式，当时FBI将要求运行脚本以启用通话的行为标记为朝鲜社会工程攻击的潜在迹象。据The Defiant当时报道，DeFi员工也是攻击目标之一。当时的早期公告建议通过独立、不相连的通讯平台验证联系人身份，并限制公司设备可下载或执行的文件类型。这两项建议针对的正是该计划的两个既定入侵途径：通话中冒充的身份以及恶意的修复提示。

另一项行动针对被盗的Binance资产

在同一份公告中，司法部表示已获得法院授权，扣押或限制与另一起Binance盗窃案相关的超过12亿美元资产。该金额是通过政府和私营部门努力冻结的超过27亿美元资产的一部分，而非在此基础上的额外追回。

FBI将10月29日前后发生的超过60亿美元盗窃案归因于其称之为TraderTraitor的朝鲜活动。司法部明确将TraderTraitor与FaceStealer区分开来。这一区分对追踪工作意义重大：FaceStealer指的是视频通话冒充行动，而TraderTraitor则涵盖另一起盗窃案及其洗钱踪迹。

司法部表示，由于攻击者通过跨链桥、混币器和交易所洗白资金，对Binance资产的追踪、冻结、扣押和没收工作仍在进行中。

来源：CryptoNewsNet