El FBI incautó más de 900 grabaciones de webcam usadas para simular reuniones legítimas en Zoom y Teams dirigidas a trabajadores cripto y mantenedores de código abierto.
Hackers estatales norcoreanos han robado más de USD 400 millones en criptomonedas durante los últimos 18 meses mediante un esquema que el FBI denomina FaceStealer. La técnica combina ingeniería social con reciclaje de material audiovisual: cada videollamada falsa en Zoom o Microsoft Teams muestra grabaciones de webcam de víctimas anteriores para simular reuniones legítimas, mientras infecta al nuevo objetivo y lo graba para alimentar el siguiente ciclo. El 12 de noviembre, el FBI emitió una advertencia dirigida específicamente a trabajadores de criptomonedas, web3 y mantenedores de proyectos de código abierto.
Cómo funciona el ciclo de infección y reutilización de identidades
El esquema opera en dos fases simultáneas. Durante la videollamada, el atacante reproduce grabaciones de webcam previamente capturadas para simular la presencia de otros participantes — colegas, reclutadores técnicos o inversores, según el pretexto usado para atraer al objetivo. Mientras la víctima cree estar en una reunión real, el malware entregado durante la sesión infecta su equipo y activa la webcam para grabar. Esa grabación pasa a formar parte del inventario de material audiovisual que los atacantes usarán en llamadas futuras.
El FBI ha incautado más de 900 de estas grabaciones, lo que sugiere que el esquema ha operado a escala industrial durante meses. Cada llamada exitosa no solo compromete credenciales o billeteras de criptomonedas del objetivo inmediato, sino que expande el catálogo de rostros y voces disponibles para hacer creíbles las próximas operaciones. La técnica explota la confianza implícita en las videollamadas: ver rostros en pantalla reduce la sospecha, incluso cuando esos rostros son reproducciones pregrabadas.
Por qué los mantenedores de código abierto entran en la mira
La advertencia del FBI menciona explícitamente a mantenedores de proyectos de código abierto junto a trabajadores de criptomonedas y web3. Esta inclusión no es casual: los mantenedores de bibliotecas críticas en ecosistemas como npm, PyPI o crates.io tienen acceso privilegiado a repositorios que millones de aplicaciones descargan automáticamente. Comprometer a un mantenedor permite inyectar código malicioso en dependencias legítimas, multiplicando el alcance del ataque más allá del robo directo de criptomonedas.
El perfil del objetivo también facilita el pretexto. Los mantenedores de código abierto suelen aceptar videollamadas con desconocidos que se presentan como colaboradores potenciales, patrocinadores corporativos o reclutadores técnicos. Esa apertura, necesaria para sostener proyectos comunitarios, se convierte en vector de ataque cuando el interlocutor es una grabación controlada por un actor estatal con presupuesto para sostener operaciones prolongadas.
El patrón norcoreano de monetización directa a través de cripto
Los USD 400 millones robados en 18 meses representan una aceleración respecto a campañas anteriores atribuidas a grupos norcoreanos como Lazarus. A diferencia de operaciones de espionaje tradicional, donde el objetivo es información clasificada o propiedad intelectual, FaceStealer apunta directamente a activos líquidos convertibles en moneda fuerte. Las criptomonedas permiten exfiltración instantánea sin pasar por el sistema bancario internacional, donde las sanciones a Corea del Norte bloquean transferencias convencionales.
La escala del robo también refleja la profesionalización de estas unidades. Mantener un inventario de 900 grabaciones, orquestar cientos de videollamadas personalizadas y gestionar la infraestructura de malware asociada requiere coordinación y recursos que solo un actor estatal puede sostener. El esquema no es oportunista: es una operación de financiamiento estructural para un régimen bajo sanciones económicas severas.
Exposición en América Latina por concentración en exchanges regionales
Aunque la advertencia del FBI no menciona geografías específicas, la exposición en América Latina deriva de la concentración de usuarios de criptomonedas en un número reducido de exchanges regionales y la adopción creciente de web3 en Argentina, Brasil y México. Si un atacante compromete a un desarrollador o mantenedor de infraestructura cripto con base en la región — o a un empleado de un exchange local —, el impacto se amplifica por la interconexión de billeteras y contratos inteligentes en ecosistemas donde la custodia descentralizada todavía es minoritaria.
La advertencia del FBI llega en un momento en que varios países de la región están formalizando marcos regulatorios para activos digitales, lo que aumenta la visibilidad de empresas y desarrolladores locales como objetivos potenciales. La falta de protocolos estandarizados de verificación de identidad en videollamadas — especialmente en equipos remotos distribuidos, comunes en startups cripto latinoamericanas — deja margen para que el esquema FaceStealer opere sin levantar alarmas inmediatas.
Nuestro análisis
FaceStealer revela un patrón que ya habíamos visto en campañas previas de actores estatales norcoreanos, pero con una diferencia crítica: la reutilización sistemática de material audiovisual de víctimas anteriores convierte cada compromiso exitoso en infraestructura para el siguiente ataque. No es solo robo de criptomonedas — es construcción de un catálogo de identidades sintéticas que hace cada operación más creíble que la anterior. La incautación de más de 900 grabaciones por parte del FBI sugiere que lo que se ha detectado es solo una fracción del inventario total en manos de los atacantes.
Lo que todavía no sabemos es cuántas de esas grabaciones corresponden a víctimas que nunca reportaron el incidente — ya sea porque no detectaron la infección, porque el robo fue menor y pasó desapercibido, o porque trabajan en proyectos de código abierto sin estructura formal de seguridad que documente compromisos. La advertencia del FBI llega 18 meses después del inicio estimado de la campaña, lo que plantea la pregunta: ¿cuántas videollamadas falsas más tendrían que ocurrir antes de que la verificación de identidad en tiempo real — no solo la autenticación de cuentas — se vuelva un requisito estándar en interacciones de alto riesgo dentro del ecosistema cripto?