El Departamento de Justicia de Estados Unidos anunció el jueves que ha confiscado infraestructura de cálculo en la nube vinculada a una campaña de hacking atribuida a actores norcoreanos, que operaron bajo el nombre FaceStealer. Según el departamento, esta iniciativa dirigió a personas trabajando en campos relacionados con criptomonedas o internet entre principios de 2023 y mediados de 2024, robándoles más de $400 millones (€361 millones) en activos digitales mediante interacciones engañosas por video.
Mecánica de la Campaña: Reuniones falsas y deepfakes
Los hackers comenzaban enviando invitaciones para reuniones desde cuentas comprometidas durante ataques anteriores. Una vez que las víctimas se unían a llamadas, grababan sus feeds de cámara web y reproducían fragmentos pregrabados de contactos conocidos—personas que el objetivo confiaba—para crear una ilusión falsa de autenticidad. La FBI señala que estos videos deepfake cada vez más incluyen avatares generados por inteligencia artificial de figuras destacadas en criptografía con el fin de parecer más creíbles.
Después de establecer la confianza, los hackers simulaban errores técnicos y ofrecían enlaces supuestamente destinados para solucionarlos. Estos enlaces instalaban malware en dispositivos de usuarios. En algunos casos, los atacantes esperaban meses o más de un año antes de iniciar transferencias de fondos. Tras robar dinero, utilizaban conexiones dentro de la red de las víctimas para identificar nuevos objetivos, permitiendo así una cadena de ataques que se expandía.
Ataque a Binance: Un incidente separado
El gobierno de Estados Unidos ha declarado que posee autorización judicial para confiscar más de 1.200 millones de dólares que fueron retirados de la billetera criptográfica Binance en un incidente separado ocurrido alrededor del 29 de octubre del año pasado. La FBI atribuye este ataque a un grupo conocido como TraderTraitor, distinto de FaceStealer y no vinculado a los hackers militares coreanos.
La gigante de criptomonedas Binance fue reportada como objetivo de una operación en la cual se extrajeron más de 6.300 millones de dólares (5.700 millones de euros), según la Agencia de Prensa Associated. Desde entonces, agencias estadounidenses y empresas privadas han congelado activos que superan los 2.700 millones de dólares (2.440 millones de euros). Se ha presentado una demanda de confiscación bajo derecho federal; un juez determinará finalmente quién podrá retener cualquier dinero recuperado.
Attribución de la FBI y contexto
La FBI vincula FaceStealer a un grupo de hackers conocido como Sapphire Sleet o UNC1069. Este grupo es independiente de los hackers militares coreanos asociados al robo en Binance. Aunque el Departamento de Justicia afirma que Corea del Norte financia sus programas ilícitos, incluyendo el desarrollo de armas, mediante este tipo de robos criptográficos, no confirma una participación directa en ninguno de estos incidentes.
En respuesta a acusaciones sobre actividades cibernéticas respaldadas por el Estado, Corea del Norte ha negado su participación en el ataque a Binance. Ninguna entidad gubernamental ha emitido declaración oficial confirmando la responsabilidad de estos ataques.
Nota: La información presentada aquí se basa exclusivamente en informes y declaraciones públicamente disponibles atribuidas a agencias federales de Estados Unidos, como las reportadas por Deutsche Welle. Todas las afirmaciones sobre actores, operaciones o cifras financieras provienen directamente de estas fuentes. No se realiza ninguna verificación independiente más allá del contenido publicado.