Cobertura especialHackeo a Binance
USEl FBI incauta 900 videos que Corea del Norte grabó a víctimas para robar cripto
Eran la base de FaceStealer, un engaño con falsas reuniones de Zoom y Teams que robó US$ 400 millones y estuvo cerca de infectar una librería de código abierto muy usada.
El FBI incautó más de 900 videos que hackers de Corea del Norte grabaron en secreto con la cámara de sus víctimas para engañar a la siguiente. Con esas falsas reuniones de Zoom y Teams robaron más de 400 millones de dólares en criptomonedas en 18 meses. El detalle está en la alerta del FBI sobre FaceStealer, como llama a la campaña, difundida el 12 de noviembre junto con un comunicado del Departamento de Justicia sobre el botín de Binance.
Ese comunicado salió a las 21:20 UTC del jueves (18:20 en Buenos Aires y São Paulo, 16:20 en Bogotá y Lima, 15:20 en Ciudad de México) y dice que un juez autorizó incautar o inmovilizar más de 1.200 millones de dólares del robo, como informó LatamByte. CNBC y otros medios lo contaron como una incautación hecha, pero el texto oficial no separa una cosa de la otra. Lo que todavía no se sabe es a quién vuelve ese dinero. En casos así el gobierno pide el decomisoMedida por la que un juez ordena que bienes vinculados a un delito pasen de forma definitiva al Estado. Cuando hay víctimas, el juez también decide si el dinero se les devuelve. y un juez decide quién tiene derecho a los fondos, explicó CBS News con información de AP. Binance, que ya cubrió las pérdidas, no dijo si los reclamará.
La cara de la víctima como anzuelo
FaceStealer no aprovecha ninguna falla técnica. Arranca con una cuenta robada de Telegram, LinkedIn, Slack o DiscordPlataforma estadounidense de chat por texto, voz y video organizada en comunidades llamadas servidores, muy usada por grupos de videojuegos, desarrolladores y comunidades técnicas., desde la que los atacantes invitan a los contactos de la víctima a "ponerse al día" o hablar de una inversión. Poco antes de la hora mandan un enlace a un dominio que imita a Zoom o Teams, como uu01webzoom.us o teams.livemeet.us.
Adentro, el invitado ve el video pregrabado de alguien que conoce. Enseguida le avisan que no se lo escucha y le ofrecen un arreglo, que suele ser un comando para pegar en la terminal, el engaño conocido como ClickFixTécnica de engaño en la que una página muestra una falsa verificación, un error o una guía de instalación que le pide a la persona copiar y ejecutar un comando en su equipo, lo que inicia una infección.. Ese arreglo instala programas espía. Mientras tanto, su cámara graba. La cara del invitado pasa a ser el anzuelo para su propia lista de contactos.
Los atacantes tienen paciencia. En varios casos vaciaron las billeteras entre meses y más de un año después de la infección, cuando los saldos habían crecido, según el FBI. Para algunos blancos suman deepfakesImagen, video o audio falso generado o alterado con inteligencia artificial para que una persona parezca decir o hacer algo que no ocurrió. Se usa en fraudes, desinformación y para engañar sistemas de verificación de identidad. de figuras del mundo cripto, hechos con lo que el FBI llama "superinteligenciaHipotética inteligencia artificial que superaría a los humanos en casi todas las tareas intelectuales. Algunos científicos y políticos piden frenar su desarrollo.", aunque la alerta aclara que solo tienen que pasar por imagen de webcam.
El Departamento de Justicia atribuye FaceStealer a hackers norcoreanos conocidos como BlueNoroff o APT38, y aclara que es una operación separada del robo a Binance, que el FBI adjudica a TraderTraitorNombre que da el FBI a un grupo de hackers del Estado norcoreano dedicado a robar criptomonedas, al que atribuye los robos a Bybit, DMM Bitcoin y Binance., como contó LatamByte. El método se parece al que abrió la puerta de Binance, una falsa entrevista de trabajo.
El blanco más grande era una librería
A comienzos de este año, FaceStealer estuvo cerca de infectar una librería de JavaScript de código abiertoSoftware cuyo código fuente se publica con una licencia que permite a cualquiera leerlo, usarlo, modificarlo y redistribuirlo, según las condiciones de esa licencia. que se descarga decenas de millones de veces por semana. Su mantenedor siguió el arreglo en una falsa reunión de Teams y los atacantes metieron dependencias maliciosas en la librería. Una detección rápida frenó un ataque a la cadena de suministroEn ciberseguridad, los proveedores de software y servicios de los que depende una organización. Un ataque a uno de ellos llega a todos sus clientes, que confían en lo que ese proveedor les entrega. que, según el FBI, podía tener víctimas a gran escala. El FBI no nombró la librería y dice que hubo otros intentos contra mantenedores de paquetes de npm y de Rust.
Arctic Wolf, firma de seguridad que el FBI cita en la alerta, contó en un informe 677 blancos en 58 países, el 84 % fundadores o altos ejecutivos. Estados Unidos reúne el 37 % y ningún país latinoamericano figura entre los diez primeros, aunque la empresa aclara que son blancos, no robos confirmados.
Entrar por la aplicación, nunca por el enlace
El FBI recomienda entrar desde la aplicación oficial con el código de invitación, no encender la cámara hasta ver a quien invitó y confirmar cada cita por otro canal. Ningún arreglo de audio debería pedir que se pegue código en la terminal. También aconseja activar la verificación en dos pasosMétodo de acceso que pide, además de la contraseña, un segundo dato, como un código temporal en el celular o una llave física. Si roban la clave, no alcanza para entrar. en Telegram, WhatsApp y Slack, y no guardar en la computadora la frase de recuperaciónLista de 12 a 24 palabras que permite reconstruir una billetera de criptomonedas en cualquier equipo. Quien la tenga controla los fondos, por eso nunca se comparte. de una billetera. Quien sospeche que cayó debe mover sus fondos a una billetera nueva creada en otro equipo, avisar a sus contactos y denunciarlo en IC3.gov, el portal del FBI, con la palabra clave "FaceStealer". El caso tiene una página propia.
El lavado del botín de Binance sigue por puentes entre cadenas, mezcladores y exchanges, según el Departamento de Justicia. LatamByte lo siguió con los 3.110 millones sin lavar, las redes chinas, las memecoins y Privacy Cash. Corea del Norte niega el robo, y Binance cambió de director financiero y negó una filtración. Todo está en la cobertura especial. Lo próximo sobre los 1.200 millones es el pedido de decomiso, y el comunicado no le puso fecha.
Ciberseguridad › Incidentes
Binance termina de reponer con fondos propios los US$ 6.300 millones robados
El exchange cubrió los saldos de sus clientes y publicó una nueva prueba de reservas que todavía no se puede verificar, mientras Estados…
Ciberseguridad › Incidentes
Chainalysis y TRM señalan al grupo norcoreano que robó a Bybit como autor del hackeo a Binance
Las dos firmas atribuyen con "alta confianza" el robo a TraderTraitor, vinculan los fondos con el hackeo a Bitget y describen un lavado…
Ciberseguridad › Incidentes
El hackeo a Binance empezó con una falsa entrevista de trabajo y una IA interna
El informe preliminar de la empresa reconstruye cinco meses de preparación: un instalador adulterado en junio, una entrevista falsa en…
Ciberseguridad › Ciberdelito
Siguen sin lavar US$ 3.110 millones del robo a Binance y el 44 % está congelado
Elliptic, firma que rastrea fondos en cadenas de bloques, cree que lo que no se movió sigue en manos de Corea del Norte y que cobrarlo…
Ciberseguridad › Ciberdelito
Parte del botín de Binance ya entró en redes chinas de lavado, según Chainalysis
Por ahora son cientos de miles de dólares de un robo de unos 6.300 millones, pero muestran que los atacantes buscan convertir el botín en…
Ciberseguridad › Ciberdelito
Corea del Norte crea sus propias memecoins para lavar el botín robado a Binance
Elliptic detectó seis tokens sin valor en la red NEAR por los que pasaron unos US$ 430.000 robados; el monto es chico, pero la técnica es…
Ciberseguridad › Incidentes
Un servicio que oculta el rastro cripto frena depósitos por el botín de Binance
Privacy Cash recibió unos 1,2 millones de dólares ligados al robo, según Elliptic, mientras Blockaid, la firma que dice haber detectado…
Ciberseguridad › Incidentes
Corea del Norte niega el robo a Binance y condiciona el diálogo con EE. UU.
Kim Yo-jong, hermana de Kim Jong-un, respondió dos veces en dos días a la acusación del FBI, que atribuye el robo a TraderTraitor, y horas…
Ciberseguridad › Incidentes
Binance cambia de director financiero y dice que el relevo estaba planeado
Kaiser Ng deja el cargo a Justin Yek, que viene de la empresa de pagos Airwallex, y el anuncio llegó nueve días después del robo de unos…
Ciberseguridad › Incidentes
Binance niega la filtración de 335 millones de cuentas que se vende en un foro
El exchange dice que no halló pruebas de una brecha y que listados así suelen salir de programas que roban datos de las computadoras de los…
Ciberseguridad › Incidentes
Binance estima en 6.300 millones de dólares el mayor robo de la historia cripto
La empresa atribuye el ataque a la laptop comprometida de un ingeniero, dice que no se filtraron claves privadas, congeló unos 3.000…
Glosario
Decomiso
Medida por la que un juez ordena que bienes vinculados a un delito pasen de forma definitiva al Estado. Cuando hay víctimas, el juez también decide si el dinero se les devuelve.
Glosario
Discord
Plataforma estadounidense de chat por texto, voz y video organizada en comunidades llamadas servidores, muy usada por grupos de videojuegos, desarrolladores y comunidades técnicas.
Glosario
ClickFix
Técnica de engaño en la que una página muestra una falsa verificación, un error o una guía de instalación que le pide a la persona copiar y ejecutar un comando en su equipo, lo que inicia una infección.
Glosario
deepfake
Imagen, video o audio falso generado o alterado con inteligencia artificial para que una persona parezca decir o hacer algo que no ocurrió. Se usa en fraudes, desinformación y para engañar sistemas de verificación de identidad.
Glosario
superinteligencia
Hipotética inteligencia artificial que superaría a los humanos en casi todas las tareas intelectuales. Algunos científicos y políticos piden frenar su desarrollo.
Glosario
TraderTraitor
Nombre que da el FBI a un grupo de hackers del Estado norcoreano dedicado a robar criptomonedas, al que atribuye los robos a Bybit, DMM Bitcoin y Binance.
Glosario
código abierto
Software cuyo código fuente se publica con una licencia que permite a cualquiera leerlo, usarlo, modificarlo y redistribuirlo, según las condiciones de esa licencia.
Glosario
cadena de suministro
En ciberseguridad, los proveedores de software y servicios de los que depende una organización. Un ataque a uno de ellos llega a todos sus clientes, que confían en lo que ese proveedor les entrega.
Glosario
verificación en dos pasos
Método de acceso que pide, además de la contraseña, un segundo dato, como un código temporal en el celular o una llave física. Si roban la clave, no alcanza para entrar.
Glosario
frase de recuperación
Lista de 12 a 24 palabras que permite reconstruir una billetera de criptomonedas en cualquier equipo. Quien la tenga controla los fondos, por eso nunca se comparte.
FBI
North Korean Hackers Use Secretly Recorded Webcam Library of 900+ Tech Workers in $400M "FaceStealer" Crypto Theft Scheme
justice.gov
Justice Department Announces Actions to Disrupt North Korea’s Massive Theft of Cryptocurrency
Today the Department of Justice announced coordinated actions against the Democratic People’s Republic of North Korea (DPRK) government’s schemes to fund its regime through the massive theft of…
CNBC
U.S. seizes $1.2 billion in cryptocurrency stolen from Binance
The DOJ said it was taking action against the North Korean government's "schemes to fund its regime through the massive theft of cryptocurrency."
CBS News
FBI says it's recovered $1.2 billion worth of cryptocurrency stolen from Binance
The FBI says it's seized more than $1.2 billion of cryptocurrency reported stolen last month from Binance, the world's largest cryptocurrency exchange.
Arctic Wolf
Still in the Meeting: BlueNoroff Six Months On | Arctic Wolf
BlueNoroff has industrialized the social-engineering layer of its operation, expanding from fake meetings into the everyday workflows of Web3 leaders, while retaining a stable, behaviorally…
Federal Bureau of Investigation
FaceStealer Cryptocurrency Theft Scheme | Federal Bureau of Investigation
North Korean cyber actors aggressively target companies and individuals in the cryptocurrency and Web3 industries with highly tailored, hard-to-detect social engineering campaigns, stealing billions…
Contexto (10 términos)
- Decomiso
- Medida por la que un juez ordena que bienes vinculados a un delito pasen de forma definitiva al Estado. Cuando hay víctimas, el juez también decide si el dinero se les devuelve.
- Discord
- Plataforma estadounidense de chat por texto, voz y video organizada en comunidades llamadas servidores, muy usada por grupos de videojuegos, desarrolladores y comunidades técnicas.
- ClickFix
- Técnica de engaño en la que una página muestra una falsa verificación, un error o una guía de instalación que le pide a la persona copiar y ejecutar un comando en su equipo, lo que inicia una infección.
- deepfake
- Imagen, video o audio falso generado o alterado con inteligencia artificial para que una persona parezca decir o hacer algo que no ocurrió. Se usa en fraudes, desinformación y para engañar sistemas de verificación de identidad.
- superinteligencia
- Hipotética inteligencia artificial que superaría a los humanos en casi todas las tareas intelectuales. Algunos científicos y políticos piden frenar su desarrollo.
- TraderTraitor
- Nombre que da el FBI a un grupo de hackers del Estado norcoreano dedicado a robar criptomonedas, al que atribuye los robos a Bybit, DMM Bitcoin y Binance.
- código abierto
- Software cuyo código fuente se publica con una licencia que permite a cualquiera leerlo, usarlo, modificarlo y redistribuirlo, según las condiciones de esa licencia.
- cadena de suministro
- En ciberseguridad, los proveedores de software y servicios de los que depende una organización. Un ataque a uno de ellos llega a todos sus clientes, que confían en lo que ese proveedor les entrega.
- verificación en dos pasos
- Método de acceso que pide, además de la contraseña, un segundo dato, como un código temporal en el celular o una llave física. Si roban la clave, no alcanza para entrar.
- frase de recuperación
- Lista de 12 a 24 palabras que permite reconstruir una billetera de criptomonedas en cualquier equipo. Quien la tenga controla los fondos, por eso nunca se comparte.
Fuentes
- Justice Department Announces Actions to Disrupt North Korea's Massive Theft of Cryptocurrency (Departamento de Justicia de EE. UU., 2026-11-12)
- North Korean Hackers Use Secretly Recorded Webcam Library of 900+ Tech Workers in $400M "FaceStealer" Crypto Theft Scheme (FBI, 2026-11-12)
- FBI says it's recovered $1.2 billion worth of cryptocurrency stolen from Binance (CBS News, 2026-11-13)
- Still in the Meeting: BlueNoroff Six Months On (Arctic Wolf, 2026-11-12)
- U.S. seizes $1.2 billion in cryptocurrency stolen from Binance (CNBC, 2026-11-13)
