FBI切断造成4亿美元加密盗窃的FaceStealer骗局

虚假视频会议掏空加密钱包

美国联邦调查局(FBI)在11月12日向加密货币持有者发出警告:一个代号FaceStealer的社会工程骗局正在被朝鲜黑客用于窃取资产,过去18个月内已从受害者处卷走超过4亿美元。该局与司法部联合发布的公告称,任何持有数字资产、在Web3行业工作或维护开源代码的人都可能成为目标。攻击的起点往往只是一封会议邀请,发送该邀请的账号此前已被黑客盗取。一旦目标加入会议,攻击者会暗中录下对方的摄像头画面,同时播放事先录好的、来自目标熟人的视频片段,让与会者误以为可信的联系人也在线上。司法部指出,该团伙还会利用数字资产行业知名人士的深度伪造(deepfake)影像。接下来,黑客会编造一个技术故障,例如声称听不到对方讲话,再以“修复”的名义推送恶意软件。多起已记录的案例显示,真正的资产盗窃发生在首次入侵之后数月,甚至一年以上,这使得入侵行为极难回溯到最初的那次会议。司法部将这一攻击行动归因于朝鲜的多个黑客单元,包括被追踪为Sapphire Sleet、BlueNoroff和APT38的组织。此类手法并不新鲜:去年已有报告将虚假Zoom会议与朝鲜黑客窃取的3亿美元联系起来,谷歌旗下Mandiant团队也在2026年早些时候标记过类似的、由人工智能加持的Zoom诱骗手段。

900段摄像头视频被查获

联邦调查人员表示,他们已经切断了FaceStealer背后的云端基础设施,并查获超过900段受害者的摄像头视频,此次调查由FBI洛杉矶外勤办事处牵头。该办事处助理主任帕特里克·格兰迪(Patrick Grandy)形容,这一骗局利用的是人们对无处不在的视频会议平台以及对个人关系的信任,并补充说,任何认为自己不可能上当的人,想象力都不够丰富。开源开发者正日益成为重点目标:FBI警告,如果朝鲜黑客劫持受信任的维护者账号,就能把恶意代码塞进被广泛使用的软件之中。每一名新受害者同时也会成为下一个跳板,因为攻击者会翻查联系人名单、社交媒体和聊天应用,寻找新的下手对象。与打击FaceStealer的行动同步,司法部还发起了针对与加密货币交易所币安(Binance)遭攻击相关的12亿美元资产的没收程序。链上分析数据显示,朝鲜黑客今年以来窃取的数字资产总额已达76.1亿美元。

司法部的这份公告是本案最关键的文件,其中两个数字精确勾勒出威胁的规模:18个月内通过FaceStealer诱骗窃取的4亿美元,以及2026年全年归因于朝鲜黑客的76.1亿美元。COINOTAG的判断是,这一攻击链条依赖的是信任,而非FOMO情绪,因此无论牛市还是熊市,它都能贯穿周期的每个阶段持续奏效。鉴于盗窃往往发生在初次通话数月之后,持有者应当把任何来自加密圈联系人的会议邀请都视为未经核实的信息,直到通过第二个渠道确认对方身份为止。而900段受害者视频被查获这一点表明,调查机构现在手中已掌握直接证据,足以还原攻击之间身份被冒用的完整过程。