FBI: deepfakes norcoreanos roban $400M en cripto

El FBI ha confirmado que hackers norcoreanos patrocinados por el Estado utilizaron sofisticadas videollamadas con deepfakes para robar más de 400 millones de dólares en criptomonedas durante un periodo de 18 meses, un esquema bautizado como FaceStealer. En una operación coordinada anunciada el 12 de noviembre de 2026, las autoridades estadounidenses incautaron infraestructura en la nube e identificaron más de 900 grabaciones de webcam de víctimas en todo el mundo.

¿Qué es el esquema cripto con deepfakes FaceStealer del FBI?

FaceStealer es el nombre que el FBI da a una operación de ingeniería social norcoreana que atrae a profesionales de criptomonedas y empleados de Web3 a videollamadas falsas. Los atacantes vinculados al grupo hacker norcoreano Sapphire Sleet —también conocido como APT38, BlueNoroff y Stardust Chollima— envían invitaciones desde cuentas secuestradas en Telegram, LinkedIn, Slack y Discord que apuntan a réplicas de Zoom, Microsoft Teams o Google Meet alojadas en servidores norcoreanos.

Al conectarse, la víctima ve lo que parece un colega de confianza: en realidad es una grabación robada a una víctima anterior o un deepfake de IA de una figura conocida del sector.

Cómo ejecutaron el ataque los hackers norcoreanos

El truco de la videollamada falsa

Durante la llamada, el atacante alega un problema de conexión o audio y envía un enlace con la supuesta solución. Quien hace clic entrega el control a los hackers, que acceden a carteras, correos y mensajes.

Malware, grabación de webcam y secuestro de cuentas

El malware activa la webcam para grabar material que servirá para suplantar a la víctima en futuras llamadas. En algunos casos, los investigadores señalan que vigilaron a las víctimas durante más de un año antes de actuar.

¿A quién atacaron y cuánto robaron?

El FBI reporta pérdidas superiores a 400 millones de dólares (más de 350 millones de euros) en 18 meses, centradas en grandes actores del sector. 'Fue un método tan eficaz que incluso los usuarios más expertos y cautelosos cayeron', advirtió la oficina. El esquema también apunta a mantenedores de código abierto, lo que genera preocupación por la seguridad de la cadena de suministro de software.

Impacto en las criptomonedas y el código abierto

El desmantelamiento coincidió con una actualización sobre el robo de 6.000 millones de dólares a Binance en octubre de 2026: el FBI ya incautó o bloqueó 1.200 millones, cerca de la mitad, y atribuye el hackeo al grupo TraderTraitor. Según documentos judiciales, los fondos del hackeo del exchange Binance se blanquean creando una nueva cartera cada 25 segundos.

Advertencia del FBI y consejos de recuperación

El FBI insta a quien crea haber sido objetivo de FaceStealer a actuar de inmediato:

• Transferir las criptomonedas a una cartera nueva y no comprometida.
• Cerrar sesión en todos los dispositivos y sesiones.
• Cambiar contraseñas y activar la autenticación multifactor.
• Revisar dispositivos y actividad desconocidos.
• Denunciar el incidente al Centro de Quejas por Delitos en Internet del FBI.

Verifique además las URL de las reuniones carácter por carácter y confirme los contactos por otro canal antes de instalar software.

FAQ: Robo de criptomonedas con deepfakes de Corea del Norte

¿Qué es el esquema FaceStealer del FBI?

Es una campaña norcoreana de ingeniería social que usa videollamadas falsas, grabaciones robadas y deepfakes de IA para robar criptomonedas a profesionales de cripto y Web3.

¿Cuánto robó Corea del Norte con deepfakes?

Más de 400 millones de dólares en 18 meses, según el FBI.

¿Cómo funcionan las videollamadas falsas?

Invitan a versiones falsas de Zoom, Teams o Meet, muestran vídeo pregrabado o generado por IA de contactos de confianza y envían un enlace malicioso disfrazado de solución técnica.

¿Corea del Norte está detrás del hackeo de Binance?

Sí. El FBI atribuye el robo de 6.000 millones a TraderTraitor y ya ha bloqueado 1.200 millones.

¿Qué hago si creo que fui víctima de FaceStealer?

Mover las criptomonedas a una cuenta nueva, cerrar sesiones, cambiar contraseñas, activar la autenticación multifactor y denunciar al FBI.