Un conocido te invita a una llamada, se corta el audio y pulsas "Corregir": así hackers de Corea del Norte robaron más de 400 millones de dólares.

Tras el mayor hackeo a Binance, las autoridades estadounidenses lograron bloquear criptomonedas por $2,7 mil millones. Al mismo tiempo, el FBI dio un golpe contra otra operación de piratas informáticos norcoreanos que robaron cientos de millones de dólares mediante videollamadas falsas.

El 12 de noviembre el Departamento de Justicia de EE. UU. anunció que obtuvo autorización judicial para incautar o restringir la disposición de activos por más de $1,2 mil millones. Esos fondos forman parte de los $2,7 mil millones ya bloqueados, no se suman a ellos. Se trata de una parte de las criptomonedas robadas el 29 de octubre en la bolsa Binance. El daño total por el ataque superó los $6 mil millones, y el FBI atribuyó la responsabilidad al grupo norcoreano TraderTraitor.

Los investigadores siguen rastreando los activos restantes que los delincuentes transfieren a través de puentes de criptomonedas, mezcladores y exchanges. Para bloquear las transferencias, las agencias estadounidenses colaboran con los operadores de plataformas de criptomonedas. Anteriormente el FBI publicó las direcciones de las billeteras de TraderTraitor y pidió a los participantes del mercado que detuvieran las operaciones relacionadas.

Paralelamente, las autoridades estadounidenses desconectaron la infraestructura en la nube de la operación FaceStealer. En los últimos 18 meses, los piratas informáticos norcoreanos han robado criptomonedas por más de $400 millones con ese esquema. Los atacantes usaron conferencias falsas de Zoom y Microsoft Teams, grabaciones de vídeo de personas reales y deepfakes. El FBI también incautó más de 900 grabaciones de las cámaras web de las víctimas.

El ataque comenzaba con una invitación a una videoreunión de parte de una persona conocida cuya cuenta ya había sido hackeada. Durante la conversación, los delincuentes reproducían un vídeo grabado previamente de conocidos de la víctima, creando la apariencia de una conferencia normal. Luego aparecía una supuesta falla técnica, por ejemplo la ausencia de sonido. Para resolver el problema, ofrecían instalar un programa que infectaba el equipo.

El malware permitía robar las cookies del navegador, interceptar pulsaciones de teclas, grabar la pantalla y obtener acceso remoto al dispositivo. Tras la infección, los delincuentes tomaban control de las cuentas de Telegram, Slack, Discord y otros servicios. A veces el robo de criptomonedas ocurría meses después del primer encuentro. Conferencias falsas similares fueron empleadas anteriormente por el grupo BlueNoroff.

Al FBI le preocupa especialmente el interés de FaceStealer en los desarrolladores de software de código abierto. Los piratas informáticos intentan tomar control de las cuentas de mantenedores de bibliotecas populares de JavaScript y Rust para poder inyectar código malicioso en las dependencias de software. Según la declaración del Departamento de Justicia de EE. UU., los investigadores consideran esa actividad como una preparación para ataques a las cadenas de suministro de software.

Uno de esos escenarios ya afectó al ecosistema de Node.js. En la primavera de 2026, los atacantes atacaron a desarrolladores de bibliotecas populares, atrayéndolos a reuniones de trabajo falsas. Sin embargo, el FBI aún no ha determinado si el esquema FaceStealer se utilizó directamente en el hackeo a Binance. La investigación de ambas operaciones continúa.