根据美国司法部的说法，朝鲜骇客利用从先前受害者窃取的帐号，邀请新目标参与视讯通话，并在通话中播放秘密录下的、目标所认识之人的网路摄影机片段。

司法部周四表示，这项被FBI追踪并称为FaceStealer的行动，在18个月内窃取了超过4亿美元的加密货币。当局表示已摧毁FaceStealer的云端基础设施，FBI并依据联邦搜索令查扣了超过900支该行动受害者的网路摄影机录影——此类录影正是该行动用来在后续通话中冒充可信联系人的素材。

伪造音频故障诱使目标安装恶意软体

司法部在新闻稿中表示，该行动的犯罪团伙锁定从事加密货币及web3工作的人员。当目标加入通话时，骇客会录制对方自己的网路摄影机画面，同时播放预录的已知联系人影像，在通话中伪造出一位受信任同事在场的假象。

骇客还以司法部所称的「超级智慧」技术，制作加密货币及web3领域影响力人物的深度伪造影片，并在同一场会议中播放。

通话进行到一半时，会出现一个伪造的技术故障——例如声称听不到目标的声音。接着会出现一条声称可「修复」问题的连结或提示；一旦开启，就会在受害者电脑上静默安装恶意软体。

电脑一旦遭入侵，骇客便能窃取加密货币，或利用目标的权限存取其他系统。在某些案例中，盗窃及帐户接管行为发生在初次入侵后的数个月至一年以上。

骇客还会翻查每位新受害者的联络人清单、社群媒体及通讯软体。在其中发现的私人及工作联系人便成为下一波目标。

FBI洛杉矶外勤办事处主管助理主任Patrick Grandy表示：「这种手法利用了我们对于普及的视讯会议平台以及珍贵人际关系的信任。如果你无法想像自己可能在什么情境下落入圈套，那说明你的想像力还不够。」

司法部冻结12亿美元之际，FaceStealer将矛头指向开源开发人员

开源软体开发人员正日益成为攻击目标。骇客锁定他们的装置及其掌控的程式码储存库帐户，司法部表示，此举似乎是为一供应链攻击铺路——即利用一名开发人员遭入侵的系统或程式码，触及依赖该项目与其用户。

司法部将FaceStealer行动与朝鲜组织联系起来，包括Sapphire Sleet、UNC1069、Dangerous Password、CryptoCore、APT38、BlueNoroff及Stardust Chollima。

今年二月，Cryptopolitan曾报道，UNC1069劫持一位加密货币高管的Telegram帐户，诱使目标加入一场伪造的Zoom通话。攻击者随后佯装音频问题，并让受害者执行疑难排解指令，与司法部FaceStealer新闻稿中描述的音频故障借口如出一辙。

FBI发布了一份报告，说明该行动的运作方式，包括防护措施及对受害者的建议，并设立了专门的FaceStealer网站作为资源中心。

司法部在查扣FaceStealer的同时还采取了另一项行动：获得法院批准，扣押或冻结从Binance窃取的超过12亿美元资金，此为迄今已冻结的27亿多美元的一部分。

司法部指控其称为TraderTraitor的朝鲜军方骇客，在10月29日前后从该交易所盗取超过60亿美元。朝鲜否认参与任何盗窃行为。

负责国家安全事务的首席副助理检察长M. Scott Proctor表示：「朝鲜政府透过加密货币盗窃为其非法政权及违禁武器计画提供资金。」

TraderTraitor仍在透过加密货币跨链桥、混币器及交易所洗白Binance被盗资金。追查、冻结、扣押及没收这些资金的工作仍在持续进行。