El gobierno de EE. UU. ha congelado más de 2.700 millones de dólares en criptomonedas robadas de Binance el 29 de octubre de 2026 o alrededor de esa fecha. El FBI afirma que Corea del Norte sustrajo más de 6.000 millones de dólares en ese robo.

Órdenes judiciales ya permiten que los funcionarios estadounidenses incauten o retengan más de 1.200 millones de dólares de los fondos congelados. El Departamento de Justicia anunció la acción el 12 de noviembre, junto con una medida separada contra una estafa norcoreana llamada FaceStealer.

El FBI culpa a un grupo norcoreano que llama TraderTraitor por el robo a Binance. Como señaló nuestro informe anterior sobre la atribución del robo de Binance por parte del FBI, la agencia vinculó el caso con Corea del Norte en cuestión de días.

El FBI, el Servicio Secreto y la Investigación Criminal del IRS afirman que los ladrones están convirtiendo la mayoría de los fondos robados en Ethereum. Luego planean mover el dinero a través de herramientas DeFi y servicios de intercambio instantáneo para ocultar su rastro.

El Departamento de Justicia dice que su División de Seguridad Nacional, la División Penal y la Fiscalía de los Estados Unidos para el Distrito de Columbia trabajaron con proveedores de servicios de criptomonedas para detener el dinero.

Los funcionarios dicen que los ladrones siguen moviendo fondos a través de puentes, mezcladores y exchanges. El FBI ha pedido a los proveedores de servicios que bloqueen cualquier transferencia vinculada a las direcciones que utilizan los hackers.

La propia Binance informó que los clientes fueron resarcidos. Los informes indican que el exchange cubrió las pérdidas con su fondo de emergencia SAFU, y los primeros hallazgos apuntan al portátil comprometido de un ingeniero.

EE. UU. congela 2.700 millones de dólares en fondos de un atraco cripto norcoreano

El Departamento de Justicia subrayó que FaceStealer es una campaña diferente al robo de Binance. El FBI dice que ha costado a las víctimas más de 400 millones de dólares en 18 meses.

Culpa a grupos rastreados como Sapphire Sleet, UNC1069, BlueNoroff, APT38 y Stardust Chollima. Los agentes incautaron servidores en la nube utilizados en el esquema, junto con más de 900 vídeos de webcams de víctimas grabados secretamente.

El truco comienza con una cuenta secuestrada, a menudo en Telegram. Los hackers envían mensajes a los contactos de la víctima y proponen una videollamada. Luego envían un enlace a un sitio falso de Zoom o Teams. En su interior, el objetivo ve un vídeo grabado de alguien que conoce, lo que hace que la llamada parezca real.

La campaña de malware utiliza falsos avisos de corrección de audio de la reunión para engañar a las víctimas y que instalen robadores de cookies, keyloggers, herramientas de captura de pantalla y puertas traseras, mientras que las imágenes robadas de la webcam alimentan más reuniones falsas.

Algunos ataques han utilizado IA para crear vídeos deepfake de figuras conocidas del mundo cripto. El FBI dice que el esquema todavía depende principalmente de vídeos reales robados. Los hackers también han esperado meses, o incluso más de un año, para vaciar las carteras, viendo cómo crecían los saldos.

El FBI advierte que el mismo truco ahora se dirige a los mantenedores de código abierto. A principios de este año, los hackers atrajeron al mantenedor de una popular librería de JavaScript a una llamada falsa de Teams e infectaron su ordenador.

Luego intentaron añadir dependencias maliciosas a una librería con decenas de millones de descargas semanales. Una detección rápida lo detuvo. Esto encaja en un patrón más amplio. Nuestra cobertura de UNC1069, que utilizó reuniones falsas de Zoom y Teams, mostró el mismo error falso y el paso de copiar y pegar.

El consejo del FBI es sencillo. Únete a las llamadas a través de la aplicación oficial de Zoom o Teams con un código de invitación en lugar de hacer clic en enlaces. Mantén tu webcam apagada hasta que puedas ver y oír a la persona que te invitó.

Nunca pegues comandos en una terminal para solucionar un problema de la reunión. Confirma las invitaciones a través de un segundo canal y activa la autenticación multifactor para Telegram, Slack y aplicaciones similares.

Mantén solo cantidades pequeñas en carteras de navegador y nunca guardes frases semilla en tus dispositivos. Si crees que te han atacado, mueve los fondos a una nueva cartera en un dispositivo limpio, cambia las contraseñas, cierra todas las sesiones, advierte a tus contactos y denúncialo en IC3.gov con la palabra clave “FaceStealer”.

La congelación demuestra que una acción rápida puede salvar los fondos robados. El caso FaceStealer demuestra que una videollamada convincente aún puede iniciar el próximo gran robo.