El FBI está alertando a los titulares de criptomonedas sobre FaceStealer, una estafa que los hackers norcoreanos usan para vaciar fondos mediante videollamadas falsas. La agencia afirma que han robado más de 400 millones de dólares en los últimos 18 meses.
Cualquiera que tenga criptomonedas, trabaje en Web3 o mantenga código de código abierto es un posible objetivo, añade el FBI.
Cómo funciona la estafa de FaceStealer
El Departamento de Justicia vincula la campaña con grupos conocidos, entre otros nombres, como Sapphire Sleet, BlueNoroff y APT38. Cada señuelo de FaceStealer comienza con una invitación a una reunión enviada desde una cuenta robada a una víctima anterior.
Una vez que el objetivo se une, los atacantes graban en secreto su cámara web. Mientras tanto, reproducen clips pregrabados de víctimas anteriores que el objetivo conoce, para que parezca que hay contactos de confianza en la llamada. El Departamento de Justicia afirma que el grupo también utiliza deepfakes de figuras conocidas del mundo de las criptomonedas.
A continuación, los hackers norcoreanos fingen que hay un problema técnico, por ejemplo, afirman que no se oye al objetivo. La «solución» que envían instala malware. En varios casos, el robo se produjo meses o incluso más de un año después de la primera intrusión.
El FBI advierte al público sobre FaceStealer, un esquema de ingeniería social muy eficaz que utilizan actores cibernéticos norcoreanos para robar criptomonedas y atacar la cadena de suministro de software. FaceStealer utiliza versiones falsas de plataformas de videoconferencia, grabaciones secretas de la web… pic.twitter.com/3UuMRgBajt
— FBI Cyber Branch (@FBICyberBranch) 12 de noviembre de 2026
La táctica de FaceStealer no es nueva. El año pasado, algunos informes ya relacionaron reuniones falsas de Zoom con el robo de 300 millones de dólares en criptomonedas por parte de Corea del Norte. El equipo Mandiant de Google también señaló señuelos similares de Zoom basados en IA a principios de este año.
El FBI incauta 900 videos de cámaras web de víctimas
El FBI afirma que desarticuló la infraestructura basada en la nube que respaldaba a FaceStealer e incautó más de 900 videos de cámaras web de víctimas. La investigación estuvo a cargo de su oficina de campo de Los Ángeles.
Se aprovecha de la confianza que depositamos en las omnipresentes plataformas de videoconferencia y en las relaciones personales que tanto valoramos. Si no puedes imaginar una situación en la que podrías caer en la trampa, es que no estás pensando con suficiente creatividad.
Patrick Grandy, subdirector a cargo de la oficina de campo del FBI en Los Ángeles
Los desarrolladores de código abierto son un objetivo cada vez más frecuente. Al secuestrar cuentas de mantenedores de confianza, los hackers norcoreanos podrían introducir código malicioso en software de uso generalizado, advierte el FBI.
Cada nueva víctima de FaceStealer también se convierte en un punto de partida. Los hackers revisan listas de contactos, redes sociales y aplicaciones de chat para encontrar a sus próximos objetivos, afirma el Departamento de Justicia.
Junto con la desarticulación de FaceStealer, el Departamento de Justicia inició el proceso para incautar 1.200 millones de dólares relacionados con el hackeo de Binance. En total, los hackers norcoreanos han robado 7.610 millones de dólares en criptomonedas este año, según datos de BitOK.