Más de 400 millones de dólares en criptomonedas robados en 18 meses. El FBI ha puesto nombre al método: FaceStealer, una campaña de hackers norcoreanos que no falsifica caras, sino que reutiliza vídeos reales grabados a víctimas anteriores.
El aviso llega en un informe FLASH del FBI fechado el 12 de noviembre y dirigido a la industria de las criptomonedas y Web3, y también a los mantenedores de software de código abierto (los desarrolladores voluntarios de los que dependen miles de empresas). El Buró atribuye la campaña a actores patrocinados por el Estado de Corea del Norte: Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff y Stardust Chollima.
Brett Leatherman, director del área cibernética del FBI, lo resumió así, según recoge la BBC: ‘El régimen norcoreano depende de los ingresos del robo de criptomonedas a gran escala para financiar su programa ilícito de armas’. Dicho de otro modo, no hablamos de delincuencia común: es financiación estatal a base de cripto robado.
Cómo funciona el engaño: la cara es auténtica, el contexto no
La cadena empieza con una invitación que no parece sospechosa, porque llega desde una cuenta real. Los atacantes secuestran cuentas de Telegram, LinkedIn, Slack, o Discord de víctimas anteriores y escriben a sus contactos haciéndose pasar por ellos. El mensaje típico: una reunión de trabajo.
La cita se celebra en versiones falsas de Zoom, Microsoft Teams o Google Meet controladas por los hackers. Al conectarse, la víctima ve a personas que conoce. Son grabaciones de webcam auténticas, tomadas en secreto durante ataques previos: el FBI ha identificado e incautado más de 900 vídeos usados para esta suplantación.
Entonces aparece un supuesto fallo técnico, casi siempre de audio. El ‘contacto’ conocido ofrece la solución y ahí está la trampa: seguir esas instrucciones instala un programa malicioso (el malware del que hablan todos los avisos) en el ordenador de la víctima.
La cara que aparece en la videollamada existe. Lo que no existe es la persona que hay detrás de la pantalla.
Con el equipo comprometido, el robo puede ser inmediato o tardar meses. Los atacantes copian las frases de recuperación (las palabras que reconstruyen una cartera de criptomonedas), vigilan los saldos en la blockchain y vacían las billeteras cuando el montante crece. ‘El esquema explota nuestra confianza en las plataformas de videoconferencia y en las relaciones personales’, resume Patrick Grandy, director adjunto de la oficina del FBI en Los Ángeles.
De tu cartera a la cadena de suministro: a quién afecta
El aviso no va solo a inversores. El FBI lo dirige también a los mantenedores de software libre, porque la campaña ya ha intentado colarse en la cadena de suministro, el conjunto de librerías y proveedores del que depende cualquier aplicación moderna.
Este año, los atacantes estuvieron a punto de comprometer una librería de JavaScript con decenas de millones de descargas semanales. Convencieron a su mantenedor con una falsa llamada de Teams en la que aparecía al menos una persona conocida y usaron su acceso para crear dependencias maliciosas, detectadas a tiempo. El FBI conoce otros intentos contra repositorios de NPM (el gran almacén de librerías de JavaScript) y, más recientemente, de Rust.
Una semana antes, Binance reveló un robo récord de 6.300 millones de dólares mediante falsas entrevistas de trabajo, atribuido por las autoridades estadounidenses a actores vinculados con Corea del Norte. Pyongyang lo niega, según la BBC.
El informe incluye medidas que cualquier trabajador o inversor puede aplicar sin ser experto en seguridad:
- Entra desde la aplicación oficial de Zoom o Teams con el código de invitación, no desde enlaces a versiones web. Sobre todo con contactos nuevos.
- No enciendas tu cámara hasta ver, oír y hablar con la persona que te invitó. Tu propio vídeo es material para el siguiente ataque.
- No ejecutes scripts ni pegues comandos en la terminal para ‘arreglar’ una llamada. Actualiza la aplicación por tu cuenta.
- Desconfía del enlace de Calendly que llega minutos antes de la reunión y confirma la cita por otro canal. Si te escribieron por Telegram, llama por teléfono.
- Activa la verificación en dos pasos y las alertas de inicio de sesión. Mantén saldos bajos en las carteras de extensión del navegador y no guardes frases de recuperación en el dispositivo.
Si crees que has caído, el FBI recomienda abrir una cartera nueva, con frases nuevas, en un dispositivo limpio; mover allí los fondos; cambiar contraseñas y cerrar sesiones; avisar a tus contactos y al empleador; y denunciar en el centro de reclamaciones IC3 del FBI con la palabra clave ‘FaceStealer’.
La lección: el eslabón débil sigue siendo la confianza
El sector cripto lleva años gastando en auditorías de código y muy poco en la seguridad operativa de las personas que manejan ese código. FaceStealer no rompe un contrato inteligente ni encuentra un fallo criptográfico: convence a alguien con una cara conocida. Y eso no se audita.
Los precedentes ayudan a entender la escala. Los grupos que la comunidad de seguridad agrupa bajo el paraguas de Lazarus llevan casi una década financiándose con cripto robado, con hitos como el asalto al puente Ronin en 2022. El patrón se repite: ingeniería social primero, malware después, y meses de paciencia vigilando saldos antes de mover un solo satoshi (la unidad mínima de bitcoin).
Lo nuevo es el vector. Entre 2023 y 2024, la conversación sobre fraudes con vídeo giraba en torno a los deepfakes, caras sintéticas que delataban a simple vista. FaceStealer le da la vuelta: cuanto mejor sea la tecnología de verificación facial, más eficaz resulta usar una cara verdadera fuera de contexto. La autenticidad del material no prueba nada si no se sabe cuándo ni por qué se grabó.
Hay dos matices que conviene no perder de vista. El primero es la atribución: Pyongyang niega su implicación y estos informes se apoyan en infraestructuras y patrones, no en confesiones. El segundo es la respuesta: en la UE, MiCA obliga a los proveedores de servicios cripto a aplicar medidas de seguridad, pero ninguna norma protege a un empleado que comparte pantalla con un desconocido.
Merece la pena seguir la evolución del aviso: los informes FLASH del FBI suelen tener vida corta y dar paso a alertas más amplias, y el sector mira ahora si aparecen casos confirmados en España o en empresas europeas. Mientras tanto, la regla es simple: la identidad se comprueba fuera de la pantalla, nunca dentro.
