Corea del Norte: robaron más de USD 400 millones con videollamadas falsas

El FBI incautó más de 900 videos tomados de cámaras web e intervino servidores que permitían a hackers vinculados a Corea del Norte hacerse pasar por personas conocidas. El operativo, anunciado este jueves 12 de noviembre, reveló una red de reuniones virtuales falsas que aprovechaba imágenes de víctimas anteriores para engañar a nuevos contactos. Detrás de una invitación aparentemente rutinaria podía esconderse un intento de robo.

Durante los últimos 18 meses, la campaña permitió sustraer más de USD 400 millones en criptomonedas, según los investigadores estadounidenses. Los delincuentes ingresaban en cuentas auténticas de comunicación, revisaban conversaciones y enviaban invitaciones desde perfiles que el destinatario ya conocía. Así, una propuesta de videollamada podía parecer perfectamente normal.

El FBI recuperó más de 900 grabaciones de cámaras web e intervino servidores utilizados por una red de hackers vinculados a Corea del Norte.

Una cara conocida en una reunión que nunca existió

El engaño, denominado Face Stealer, comenzaba cuando la persona aceptaba participar en una reunión que imitaba a Zoom, Microsoft Teams o Google Meet. En la pantalla aparecía un compañero de trabajo, un amigo o un contacto profesional. Pero no estaba conectado en directo: los hackers reproducían una grabación obtenida en una estafa anterior y simulaban su participación.

Después surgía una falla inventada, como un micrófono que supuestamente no funcionaba. Para resolverla, los atacantes pedían abrir un enlace o seguir instrucciones en la computadora. Ese procedimiento instalaba un programa malicioso que les permitía obtener información, controlar cuentas y robar dinero de billeteras digitales. Mientras tanto, también grababan a quien acababa de caer en la trampa.

La operación funcionaba como una cadena. Con la nueva grabación y los contactos de la víctima, los delincuentes preparaban otras reuniones. Podían reutilizar conversaciones en servicios como Telegram, LinkedIn, Slack o Discord para dar credibilidad a sus mensajes. Las autoridades advirtieron que algunas sustracciones ocurrieron meses, e incluso más de un año, después del primer acceso.

Corea del Norte fue señalada por las autoridades estadounidenses como responsable de una campaña de robos informáticos que superó los USD 400 millones.

Qué encontró el FBI y por qué preocupa

La intervención permitió decomisar infraestructura informática alojada en la nube y recuperar las grabaciones utilizadas para multiplicar los engaños. El FBI atribuyó la campaña a hackers norcoreanos identificados como Sapphire Sleet o UNC1069. Además de videos reales, detectó el uso de inteligencia artificial para fabricar imágenes convincentes de personas influyentes del sector de las criptomonedas.

Los atacantes también buscaron entrar en equipos de desarrolladores que mantienen programas utilizados por otras empresas. En uno de los episodios investigados, consiguieron comprometer la computadora de un desarrollador, pero el ataque fue detectado antes de propagarse ampliamente. El riesgo, por lo tanto, no se limitaba a quienes tenían inversiones digitales.

The FBI is releasing information advising the Democratic People's Republic of Korea (North Korea) was responsible for the theft of more than $6 billion USD in virtual assets from cryptocurrency exchange, Binance, on or about October 29, 2026. The FBI refers to this specific North Korean malicious cyber activity as "TraderTraitor." The FBI, together with partners at the USSS and IRS-CI, has observed TraderTraitor actors converting stolen assets primarily into Ethereum (ETH). It is expected these assets will then be further laundered by converting them using DeFi and instant swap services as they prepare them for further laundering stages. How You Can Help: FBI, USSS, and IRS-CI are urging private sector entities including THORNode operators, RPC node operators, instant exchanges, DeFi services, blockchain analytics firms, and other virtual asset service providers to block transactions with or derived from addresses TraderTraitor actors are using to launder these stolen assets. A list of addresses associated with this activity is available here: https://t.co/g0oIWx0WeD

— FBI Cyber Branch (@FBICyberBranch) October 31, 2026

Un ataque distinto al robo de Binance

La revelación coincidió con nuevas medidas por el robo de aproximadamente USD 6.300 millones a Binance, cometido a fines de octubre. En ese expediente, la Justicia estadounidense autorizó incautar o inmovilizar activos por más de USD 1.200 millones. Sin embargo, el FBI atribuye ese golpe a otro grupo norcoreano, por lo que no forma parte de FaceStealer. La advertencia es sencilla: reconocer un rostro en pantalla ya no garantiza que la reunión sea legítima.