INCIDENTEKP
El FBI atribuye a Sapphire Sleet, grupo norcoreano, el robo de US$ 400 millones con deepfakes
Según el FBI, el esquema FaceStealer usó videollamadas falsas con IA y grabaciones de cámaras web para engañar a trabajadores de criptomonedas y Web3 durante 18 meses.
ACTUALIZACIÓN · 13 NOV El FBI precisó que el esquema FaceStealer se dirigió a personas de criptomonedas y Web3 y también a desarrolladores de software de código abierto, y que los atacantes usaron deepfakes de figuras influyentes del sector para ganar confianza en las reuniones.
El FBI informó que actores vinculados a Corea del Norte sustrajeron más de 400 millones de dólares en criptomonedas en los últimos 18 meses mediante un esquema de ingeniería social que la agencia denominó FaceStealer. La operación se dirigió de forma específica a personas que trabajan en los sectores de criptomonedas y Web3, y también a quienes participan del desarrollo y mantenimiento de software de código abierto.
Según la agencia, los responsables se hacían pasar por alguien conocido de la víctima para atraerla a una videollamada, usando videos falsos manipulados con inteligencia artificial, conocidos como deepfakes, y versiones fraudulentas de plataformas de videoconferencia. El FBI sostuvo que también emplearon grabaciones clandestinas de cámaras web para reforzar el engaño.
Una vez que conseguían acceso a los dispositivos de las víctimas, realizaban intrusiones para robar sus activos digitales. La agencia dijo haber identificado e incautado más de 900 videos de cámaras web de víctimas de distintas partes del mundo y haber desmantelado parte de la infraestructura en la nube utilizada por los delincuentes.
La agencia atribuyó la operación al grupo norcoreano conocido como Sapphire Sleet o UNC1069, al que presentó como distinto de los responsables del ataque a la plataforma Binance. Un funcionario del FBI sostuvo que el régimen norcoreano depende de los ingresos del robo a gran escala de criptomonedas para financiar su programa ilícito de armas.
Cómo ocurrió
- Confirmado
- Sapphire SleetGrupo norcoreano UNC1069Confirmado.
- Contacto falsoSe hacían pasar por un conocidoConfirmado.
- VideollamadaDeepfakes y plataformas falsasConfirmado.
- Cámara webGrabaciones clandestinasConfirmado.
- IntrusiónAcceso a los dispositivosConfirmado.
- CriptoactivosRobo de activos digitalesConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- El FBI informó el robo de más de 400 millones de dólares en criptomonedas en 18 meses mediante el esquema que llamó FaceStealer.
- El FBI atribuyó la operación al grupo norcoreano Sapphire Sleet, también identificado como UNC1069.
- La agencia dijo haber identificado e incautado más de 900 videos de cámaras web de víctimas.
- El FBI afirmó haber desmantelado parte de la infraestructura en la nube usada por los delincuentes.
- Un funcionario del FBI sostuvo que el régimen norcoreano depende de los ingresos del robo a gran escala de criptomonedas para financiar su programa de armas.
SIN VERIFICAR O ABIERTO
- Corea del Norte niega los señalamientos sobre robos de criptomonedas, según quedó registrado en el caso de Binance.
- No se detalló la identidad ni la cantidad de víctimas afectadas por FaceStealer.
- Las fuentes difieren sobre la fecha exacta del anuncio del FBI: una lo ubica el jueves 12 de noviembre de 2026 y otra el miércoles 11.
- No se precisó el monto recuperado ni el destino de los fondos sustraídos.
Contexto
El FBI y la empresa de análisis de blockchain TRM Labs determinaron que el grupo TraderTraitor, vinculado a Corea del Norte, fue el principal responsable del ciberataque contra la plataforma de criptomonedas Binance, con un perjuicio estimado en 6.300 millones de dólares. El hecho obligó a la compañía a suspender temporalmente depósitos y retiros.
TRM Labs señaló que varios elementos del ataque a Binance coinciden con patrones observados en operaciones anteriores atribuidas a hackers norcoreanos, como el robo de 1.500 millones de dólares sufrido el año pasado por el exchange Bybit.
El FBI sostiene que Corea del Norte apunta de manera agresiva a individuos de los sectores de criptomonedas y Web3 mediante tácticas engañosas de ingeniería social, y que el régimen financia su programa de armas con estos ingresos.
Qué hacer
- Verificar identidad en llamadas Ante una videollamada de un contacto conocido que pide mover fondos o instalar software, confirmar por un canal alternativo antes de actuar.
- Desconfiar de deepfakes La voz y el rostro en video ya no alcanzan como prueba de identidad. Establecer preguntas o códigos compartidos con socios y colegas.
- Revisar accesos de dispositivos Comprobar qué aplicaciones y sesiones tienen acceso a la cámara y al escritorio, y revocar las que no se usen.
- Proteger wallets y claves Usar almacenamiento en frío para activos relevantes y separar las credenciales de los equipos que se usan para videollamadas.
- Capacitar a los equipos Advertir a las áreas que operan con criptoactivos sobre campañas que usan reuniones falsas como puerta de entrada.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
