El Departamento de Justicia de Estados Unidos (DOJ) obtuvo autorización judicial para incautar o inmovilizar más de 1.200 millones de dólares en criptomonedas robadas a Binance por hackers norcoreanos. La medida, anunciada el 12 de noviembre, no implica que los activos hayan sido recuperados ni que ya estén de vuelta en manos de sus propietarios.
El caso se conoció el mismo día en que el FBI informó del desmantelamiento de FaceStealer, una campaña de estafas basada en videollamadas falsas que, según la agencia, sustrajo más de 400 millones de dólares en criptomonedas durante unos 18 meses.
La autorización sobre los fondos sustraídos a Binance
El DOJ atribuye el ataque contra Binance a militares norcoreanos vinculados al grupo que el FBI denomina TraderTraitor. El robo se produjo el 29 de octubre o en fechas próximas. El Departamento de Justicia calcula el impacto en más de 6.000 millones de dólares, mientras que Binance lo estimó en unos 6.300 millones.
De forma separada, el DOJ señaló que la actuación conjunta del Gobierno estadounidense y varias empresas privadas ya había permitido congelar más de 2.700 millones de dólares. El comunicado no aclara cuánto se solapan esta cifra y los más de 1.200 millones sujetos a la autorización judicial, ni identifica al tribunal que la concedió.
La diferencia entre inmovilizar fondos y recuperarlos es relevante. Hasta la mañana del 13 de noviembre no se conocían el tribunal ni el número de expediente, y tampoco había información sobre cuánto dinero podrá recuperarse o en qué momento. Binance afirmó el 12 de noviembre que había cubierto con fondos propios los activos afectados. Su codirector ejecutivo, Richard Teng, declaró a FOX Business que los clientes no asumirán pérdidas.
M. Scott Proctor, fiscal general adjunto principal de Seguridad Nacional, sostuvo que Corea del Norte utiliza el robo de criptomonedas para financiar su régimen y su programa ilícito de armas.
FaceStealer convierte videollamadas en una puerta de entrada
La operación contra FaceStealer incluyó la incautación de su infraestructura en la nube por parte de la fiscalía federal del Distrito Central de California y el FBI de Los Ángeles. Con una orden federal, la agencia también obtuvo más de 900 vídeos grabados con las cámaras web de las víctimas.
El fraude comienza normalmente con una cuenta comprometida en Telegram, LinkedIn, Slack o Discord. Desde ella, los atacantes invitan a los contactos a una videollamada en Zoom o Teams. En algunos casos reproducen vídeos reales de la persona cuya cuenta fue robada; cada vez más, también recurren a deepfakes generados con inteligencia artificial de figuras conocidas del sector de las criptomonedas.
Durante la llamada alegan que existe un problema de audio y piden instalar una actualización o pegar un comando. La acción puede introducir malware capaz de robar cookies, registrar pulsaciones, hacer capturas de pantalla y abrir una puerta trasera en el dispositivo. Al mismo tiempo, la cámara de la nueva víctima puede quedar grabada para emplear su imagen en futuros engaños.
El FBI advierte de que el vaciado de una billetera no siempre ocurre de inmediato: en algunos casos puede producirse meses después o incluso más de un año más tarde. La agencia atribuye FaceStealer a los grupos norcoreanos Sapphire Sleet, BlueNoroff y APT38. Según una estimación de Arctic Wolf citada por The Hacker News, el 80% de los objetivos identificados trabaja en criptomonedas y blockchain o en finanzas e inversión.
Las recomendaciones del FBI
La agencia aconseja acceder a las reuniones desde la aplicación oficial y utilizar el código de la reunión, en lugar de abrir enlaces recibidos por mensaje. También recomienda mantener la cámara apagada hasta verificar quién invita a la llamada, no instalar programas ni pegar comandos para solucionar supuestos problemas de audio y confirmar la reunión por un canal diferente.
El FBI sugiere además limitar los fondos almacenados en billeteras de navegador. Si alguien cree que su dispositivo ha sido comprometido, debe crear una billetera nueva con una frase semilla distinta desde un equipo no expuesto, trasladar allí sus fondos, cambiar las contraseñas y cerrar las sesiones abiertas. También conviene avisar a los contactos, ya que la cuenta o la imagen de la víctima pueden reutilizarse en nuevos fraudes, y presentar una denuncia en IC3.gov con la palabra clave “FaceStealer”.
Por ahora, el FBI no ha precisado si la campaña tiene víctimas en España o Latinoamérica. Tampoco se conocía una reacción de Corea del Norte a las acusaciones.
