El Departamento de Justicia de EE. UU. anunció el 12 de noviembre que había obtenido autorización judicial para incautar o embargar más de 1.200 millones de dólares en criptomonedas robadas a Binance, parte de los más de 2.700 millones de dólares congelados mediante esfuerzos gubernamentales y del sector privado. En una acción separada, las autoridades incautaron la infraestructura en la nube utilizada por FaceStealer, un esquema de suplantación de identidad norcoreano que el FBI afirma que ha robado más de 400 millones de dólares en los últimos 18 meses y que apunta cada vez más a desarrolladores de software de código abierto.
Los anuncios se refieren a dos operaciones distintas, con consecuencias diferentes para los equipos de seguridad. A los proveedores de servicios de criptomonedas se les pide que bloqueen las transacciones vinculadas al robo de Binance, mientras que los profesionales de criptomonedas y los mantenedores de software reciben invitaciones a videollamadas que pueden llevar a la instalación de malware y a la toma de control de cuentas.
Continúan los esfuerzos de recuperación de Binance
En su anuncio, el Departamento de Justicia dijo que miembros del ejército norcoreano, a los que el FBI sigue como TraderTraitor, robaron más de 6.000 millones de dólares en activos virtuales a Binance el 29 de octubre o alrededor de esa fecha. SecurityWeek informó que el robo ascendió a unos 6.300 millones de dólares y lo describió como el mayor atraco de criptomonedas de la historia.
Desde entonces, las autoridades estadounidenses han trabajado con proveedores de servicios de activos virtuales (empresas que gestionan transferencias de criptomonedas y servicios relacionados) para interceptar los activos robados. Los más de 1.200 millones de dólares cubiertos por la autorización judicial forman parte de los más de 2.700 millones de dólares ya congelados, y no son una recuperación adicional.
El rastreo y la recuperación continúan mientras TraderTraitor mueve activos a través de puentes de criptomonedas, que transfieren activos entre redes de cadenas de bloques; mezcladores, que ocultan el rastro de las transacciones; e intercambios. La Oficina de Campo del FBI en Los Ángeles, la División Cibernética y la Unidad de Activos Virtuales coordinan sus esfuerzos de recuperación con el Servicio Secreto de EE. UU. y con los investigadores criminales del Servicio de Impuestos Internos.
La autorización judicial para incautar o embargar activos es un paso dentro de ese proceso. SecurityWeek explicó que el Gobierno suele presentar una demanda de decomiso, tras la cual un juez determina quién tiene un derecho legítimo sobre los fondos recuperados.
FaceStealer convierte contactos de confianza en señuelos de malware
La acción separada contra FaceStealer desmanteló la infraestructura en la nube utilizada para suplantar a contactos de confianza durante las videollamadas. El Departamento de Justicia atribuyó el esquema a hackers norcoreanos a los que se hace seguimiento público con nombres como Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff y Stardust Chollima.
El ataque comienza con una invitación a una reunión enviada desde una cuenta robada a una víctima anterior. Cuando el nuevo objetivo se une, los atacantes graban la imagen de la cámara web de esa persona y reproducen grabaciones de víctimas anteriores que el objetivo conoce. El propósito es hacer que personas conocidas parezcan participar en la llamada.
El departamento también afirmó que los atacantes usan lo que denomina «superinteligencia» para desarrollar vídeos deepfake (vídeos sintéticos que suplantan a personas reales) de figuras influyentes, a menudo de los sectores de las criptomonedas y Web3. Esos vídeos ofrecen otra forma de dar credibilidad a la reunión.
Una vez que el objetivo confía en la llamada, los atacantes introducen un supuesto problema técnico. Por ejemplo, pueden afirmar que el micrófono del objetivo no funciona y luego ofrecer un enlace o una indicación para repararlo. Esa supuesta solución instala en secreto malware en el ordenador del objetivo.
El acceso al dispositivo puede permitir después el robo de criptomonedas o la explotación del acceso de la víctima a otros sistemas. Las consecuencias pueden tardar en llegar: en varios casos documentados, los atacantes robaron criptomonedas y tomaron el control de cuentas de comunicación entre varios meses y más de un año después del compromiso inicial.
Los atacantes también acceden a las listas de contactos, las redes sociales y las aplicaciones de comunicación de las víctimas, y usan esas conexiones para contactar con más personas de su entorno personal y profesional. Con una orden federal, el FBI incautó más de 900 vídeos de cámara web de víctimas de FaceStealer; esa cifra cuenta vídeos, no personas afectadas.
Los responsables de software también son objetivos
Más allá de los profesionales de criptomonedas y Web3, FaceStealer apunta cada vez más a personas que desarrollan y mantienen software de código abierto. El Departamento de Justicia afirmó que los atacantes han intentado comprometer sus dispositivos y las cuentas de los repositorios de software que controlan. Evaluó que este objetivo parece pensado para facilitar ataques a la cadena de suministro de software, en los que un programa de confianza o su proceso de desarrollo se convierte en una vía hacia otros sistemas.
Los funcionarios estadounidenses atribuyen ambas operaciones a los esfuerzos de Corea del Norte por financiar a su gobierno y su programa ilícito de armas. La incautación de la infraestructura fue dirigida por la Fiscalía de Estados Unidos para el Distrito Central de California y por la Oficina de Campo del FBI en Los Ángeles.
Para los proveedores de servicios de criptomonedas, la medida inmediata procede de una Cyber Alert emitida la semana anterior por el FBI junto con el Servicio Secreto y los investigadores criminales del IRS: bloquear las transacciones con direcciones de criptomonedas identificadas como usadas para blanquear los activos robados de Binance, o derivadas de ellas.
Para las personas expuestas a FaceStealer, el FBI ha publicado un informe sobre el funcionamiento del ataque, las prácticas de protección y los pasos que deben seguir las víctimas tras un compromiso. También ha creado un centro de recursos centralizado con información sobre el esquema.
