Хакери КНДР навчилися красти криптовалюту за допомогою чужих облич

Підроблене обличчя знайомої людини на екрані може стати першим кроком до втрати криптовалюти. Північнокорейські хакери створили схему FaceStealer, за допомогою якої за 18 місяців викрали цифрові активи на понад $400 млн. Про це повідомляє «Главком» з посиланням на Міністерство юстиції США та Федеральне бюро розслідувань США.

Як працювала схема FaceStealer

Зловмисники полювали насамперед на працівників криптовалютних компаній та представників індустрії Web3. Для цього вони зламували облікові записи реальних людей у месенджерах і соціальних мережах, а потім запрошували їхніх знайомих на відеоконференції. Повідомлення надходили з акаунтів, яким потенційні жертви вже довіряли.

Хакери використовували підроблені версії популярних сервісів відеозв'язку, зокрема Zoom і Microsoft Teams. Під час зустрічі на екрані з'являлися заздалегідь записані відео попередніх жертв. Завдяки цьому створювалося враження, що співрозмовниками є знайомі люди. У деяких випадках до відеоконференцій додавали кількох фальшивих учасників, щоб зробити обман переконливішим.

Після початку розмови хакери інсценували технічну несправність. Наприклад, повідомляли, що не чують співрозмовника або не можуть розібрати його слова. Під виглядом усунення проблеми людині пропонували натиснути на посилання, встановити оновлення, запустити скрипт або скопіювати певний код у командний рядок комп'ютера.

Насправді ці дії завантажували шкідливе програмне забезпечення. Воно давало зловмисникам змогу збирати дані браузера, фіксувати натискання клавіш, робити знімки екрана та отримувати віддалений доступ до пристрою. Після зараження комп'ютера хакери могли викрасти доступні криптовалютні активи або використати робочі облікові записи для проникнення в інші системи.

Записані жертви ставали приманкою для наступних

Особливість FaceStealer полягала в тому, що кожна нова жертва могла допомогти зловмисникам знайти наступну. Отримавши доступ до пристрою, хакери записували людину через вебкамеру, викрадали її контакти та листування. Потім використовували ці матеріали для нових підроблених відеозустрічей.

За даними ФБР, правоохоронці вилучили понад 900 відеозаписів із вебкамер постраждалих. На цих матеріалах зловмисники будували наступні атаки, видаючи себе за людей, яких потенційні жертви знали особисто.

«FaceStealer – це надзвичайно ефективна схема соціальної інженерії, здатна обдурити навіть найдосвідченішого користувача комп'ютера, який добре знається на технічній безпеці», – заявив помічник директора польового офісу ФБР у Лос-Анджелесі Патрік Ґранді.

У деяких випадках між зараженням комп'ютера та безпосереднім викраденням грошей минали місяці або навіть понад рік. Хакери могли чекати, поки на криптовалютному гаманці накопичиться достатня сума, а вже потім скористатися отриманими раніше даними.

Штучний інтелект допомагав підробляти відомих людей

Окремим інструментом FaceStealer стали дипфейки. За інформацією ФБР, північнокорейські хакери почали використовувати штучний інтелект для створення реалістичних відео відомих та впливових представників криптовалютної індустрії й Web3. Для цього брали фотографії та відеозаписи, доступні у відкритому доступі, і перетворювали їх на підроблені зображення людей.

Американське відомство звертає увагу на важливу деталь: дипфейки не були основою всієї операції. Найчастіше зловмисники використовували справжні відеозаписи попередніх жертв, отримані після зламу їхніх пристроїв. Штучний інтелект став додатковим засобом, який розширював можливості обману.

Хакери націлилися і на розробників програмного забезпечення

ФБР попередило, що FaceStealer почали використовувати не лише для викрадення криптовалюти. Зловмисники намагалися проникнути до пристроїв розробників та адміністраторів відкритого програмного забезпечення, щоб отримати доступ до облікових записів із правами керування програмними бібліотеками.

В одному з описаних випадків хакери заманили розробника популярної JavaScript-бібліотеки на підроблену відеоконференцію в Microsoft Teams. Після зараження комп'ютера вони спробували додати шкідливі залежності до програмного забезпечення. Ця бібліотека мала десятки мільйонів завантажень щотижня. Спробу вдалося виявити та зупинити до того, як шкідливий код поширився серед користувачів.

За оцінкою американських правоохоронців, успішне проникнення до таких проєктів могло б поставити під загрозу мільйони людей та організацій, які використовують відповідне програмне забезпечення.

США конфіскували інфраструктуру хакерів

12 листопада 2026 року Міністерство юстиції США оголосило про заходи з припинення роботи інфраструктури, яку північнокорейські хакери використовували для FaceStealer. За рішенням суду ФБР вилучило хмарні ресурси, задіяні в організації шахрайських відеоконференцій.

Американські правоохоронці пов'язують кампанію з північнокорейськими кіберугрупованнями, відомими під назвами Sapphire Sleet, UNC1069, BlueNoroff та APT38. За оцінкою ФБР, викрадені кошти допомагають фінансувати північнокорейський режим та його незаконні військові програми.

Окремо американська влада повідомила про іншу масштабну операцію: наприкінці жовтня 2026 року угруповання TraderTraitor, яке ФБР також пов'язує з КНДР, викрало понад $6 млрд із криптовалютної біржі Binance. Це інша кібероперація, не пов'язана безпосередньо з FaceStealer. За даними Міністерства юстиції США, спільними зусиллями державних органів та приватних компаній вдалося заморозити понад $2,7 млрд викрадених активів, а суд дозволив конфіскувати або заблокувати понад $1,2 млрд.

Нагадаємо, «Главком» раніше розповідав, як у Північній Кореї готують майбутніх кіберзлочинців. За даними журналістського розслідування Reuters, влада країни щороку відбирає здібних школярів для спеціального навчання, після якого найкращих залучають до роботи у військових хакерських підрозділах.