El Departamento de Justicia de Estados Unidos (DOJ) anunció dos acciones coordinadas contra el robo de criptomonedas atribuido a Corea del Norte.
Por un lado, obtuvo autorización judicial para incautar o retener más de $1.200 millones sustraídos a Binance el 29 de octubre. Por el otro, incautó infraestructura en la nube de FaceStealer, un esquema de videollamadas falsas que, según el FBI, permitió robar más de $400 millones en los últimos 18 meses.
El primer golpe al botín de Binance
El robo a Binance, de unos $6.300 millones, es el mayor registrado en la industria cripto. El FBI atribuyó el ataque a TraderTraitor, un grupo de hackers norcoreanos, mientras que Pyongyang negó su participación y calificó la acusación de «grave provocación política».
Los fondos alcanzados por la orden judicial forman parte de los más de $2.700 millones que las autoridades estadounidenses y el sector privado habían congelado. En los días posteriores al ataque, Tether, Circle, Ripple y World Liberty Financial congelaron parte de las stablecoins robadas.
A las 11:49 ET (UTC−5) del jueves 12 de noviembre, Binance confirmó en X la reposición y difundió una instantánea de reservas de 198 tokens. Para cubrir el faltante, el exchange había comprometido más de $6.340 millones de fondos propios, con aportes del fondo SAFU, el seguro de futuros y su tesorería.
Según la empresa, la prueba de conocimiento cero tardará entre 40 y 50 horas en generarse y permitirá a los usuarios verificar un respaldo de al menos 1:1 para los tokens afectados. Los retiros siguen reabriendo por etapas.
La reposición deja abierta la pregunta de quién recibirá los fondos que se incauten, un punto que el Departamento de Justicia no aclaró en su comunicado.
FaceStealer suplanta a contactos en videollamadas
La segunda acción apunta a Sapphire Sleet, también conocido como UNC1069 o BlueNoroff. Según Reuters, es un grupo norcoreano distinto del vinculado al hackeo de Binance.
El FBI advierte que las invitaciones a estas videollamadas pueden llegar desde cuentas comprometidas de Telegram, LinkedIn, Slack o Discord.
En las reuniones, que imitan servicios como Zoom, Microsoft Teams o Google Meet, los delincuentes usan grabaciones de personas conocidas y simulan fallas técnicas para inducir a las víctimas a instalar software malicioso. Las grabaciones de sus cámaras pueden reaparecer en intentos posteriores de suplantación.
El FBI incautó más de 900 videos de víctimas del esquema. Según el Departamento de Justicia, los atacantes también usan Inteligencia Artificial para crear deepfakes de figuras de la industria cripto y cada vez más apuntan a desarrolladores de código abierto, con el aparente objetivo de comprometer la cadena de suministro de software.
«El régimen norcoreano depende de los ingresos del robo de criptomonedas a gran escala para financiar su programa ilícito de armas», afirmó Brett Leatherman, director de operaciones de la División Cibernética del FBI.
Cómo protegerse, según el FBI
El aviso del FBI recomienda verificar las invitaciones y proteger las cuentas de comunicación y las billeteras.
- Entrar a las videollamadas desde la aplicación oficial con un código de invitación.
- Mantener la cámara apagada hasta poder ver, oír y hablar con quien hizo la invitación.
- Evitar ejecutar scripts o pegar comandos en la terminal si se pide «actualizar» el programa de videollamadas.
- Confirmar la reunión por un canal distinto al de la invitación.
- Activar la autenticación multifactor y las alertas de inicio de sesión en Telegram, WhatsApp y Slack.
- Mantener los saldos elevados en una billetera física separada y guardar las frases semilla y las claves privadas fuera de la computadora y el teléfono.
