据美国司法部称，朝鲜黑客利用从先前受害者处窃取的账户邀请新目标参加视频通话，并在通话中播放秘密录制的、目标所认识之人的网络摄像头片段。

司法部周四表示，这项被FBI以FaceStealer之名追踪的计划在18个月内窃取了超过4亿美元的加密货币。当局表示，他们摧毁了FaceStealer的云基础设施，FBI还根据联邦逮捕令查获了900多段该计划受害者的网络摄像头视频——此类录像正是该计划在后续通话中冒充可信联系人所使用的素材。

伪造音频故障诱使目标安装恶意软件

司法部在新闻稿中表示，该行动背后的团伙针对加密货币和web3行业的从业人员。当目标加入通话时，黑客会录制对方的网络摄像头画面，同时播放预先录制的已知联系人视频，伪造出一位可信赖的同事正在通话中的假象。

黑客还制作加密货币和web3领域影响力人物的深度伪造视频——司法部称之为“超级智能”——并在同样的会议中播放。

通话进行到一半时会出现一个虚假的技术故障，例如声称听不到目标的声音。随后会出现一个提供“修复”问题的链接或提示；打开它便会在受害者设备上静默安装恶意软件。

一旦计算机被攻破，黑客就可以窃取加密货币，或利用目标对其他系统的访问权限。在某些情况下，盗窃和账户接管发生在初次入侵后数月至一年多之后。

黑客还会翻查每位新受害者的联系人列表、社交媒体和即时通讯应用。在其中发现的私人和工作联系人便成为下一个目标。

FBI洛杉矶外勤办公室负责主管Patrick Grandy表示：“它利用了我们对无处不在的视频会议平台和珍贵人际关系的信任。如果你想不出自己可能在哪种情境下中招，那说明你的想象力还不够。”

司法部冻结12亿美元之际，开源开发者成为目标

开源软件开发者日益成为攻击目标。黑客针对他们的设备及其控制的代码仓库账户，司法部表示这似乎旨在为供应链攻击创造条件——即利用一名被攻陷开发者的系统或代码，触达依赖该项目和用户。

司法部将FaceStealer行动与名为Sapphire Sleet、UNC1069、Dangerous Password、CryptoCore、APT38、BlueNoroff和Stardust Chollima的朝鲜组织联系起来。

今年2月，Cryptopolitan报道称，UNC1069劫持了一位加密货币高管的Telegram账户，将目标诱入虚假的Zoom通话。攻击者随后假装出现音频问题，让受害者运行故障排查命令，与司法部FaceStealer新闻稿中描述的音频故障借口如出一辙。

FBI发布了一份报告，说明该计划的运作方式，包括防护措施和对受害者的建议，并设立了专门的FaceStealer网站作为资源中心。

司法部在查获FaceStealer的同时还采取了另一项行动：获得法院批准，扣押或冻结从Binance窃取的超过12亿美元资金，这是目前已被冻结的超过27亿美元的一部分。

司法部指控其称为TraderTraitor的朝鲜军方黑客在10月29日前后从该交易所抽走了超过60亿美元的资金。朝鲜否认参与任何盗窃行为。

负责国家安全的首席副部长助理司法部长M. Scott Proctor表示：“朝鲜政府通过加密货币盗窃为其非法政权和违禁武器计划提供资金。”

TraderTraitor仍在通过加密货币跨链桥、混币器和交易所清洗Binance的被盗资金。追踪、冻结、扣押和没收这些资金的行动仍在继续。