El decomiso de APT38 y Binance anunciado por el DOJ recupera 1.200 millones y desmonta la nube que sostenía el FaceStealer norcoreano.
El Departamento de Justicia de Estados Unidos anunció el jueves 12 de noviembre dos acciones coordinadas contra las campañas de robo de criptomonedas del régimen de Pyongyang. El DOJ golpea dos veces el mismo programa: por un lado incauta la infraestructura en la nube que sostenía una campaña de ingeniería social bautizada como FaceStealer; por otro, y esto es lo que mueve la aguja, ejecuta el decomiso autorizado por un tribunal de más de 1.200 millones de dólares sustraídos al exchange Binance. Le adelanto que ninguna de las dos es rutinaria. La segunda toca el corazón financiero del aparato norcoreano.
La cifra global es la que impresiona. El FBI atribuye al grupo de hackers militares norcoreanos que denomina TraderTraitor el robo de más de 6.000 millones en activos virtuales a Binance. Los investigadores, trabajando con proveedores privados de servicios de activos virtuales, han congelado más de 2.700 millones de ese botín, y los tribunales han autorizado la incautación de más de 1.200 millones. A. Tysen Duva, fiscal general adjunto al frente de la División Criminal del DOJ, lo resumió con precisión administrativa: su sección de delitos informáticos y sus socios congelaron los fondos ‘antes de que quedaran fuera del alcance de la ley’, deteniendo ‘aproximadamente la mitad de esta brecha histórica’.
Detrás de FaceStealer hay una mecánica que conozco bien y que no deja de funcionar porque explota lo único que ningún parche arregla: la confianza. Los hackers conocidos como Sapphire Sleet, BlueNoroff, APT38 y Stardust Chollima secuestran cuentas en Telegram, LinkedIn, Slack, y Discord, e invitan a sus objetivos a videollamadas. Los enlaces llevan a dominios que imitan Zoom y Teams con errores tipográficos deliberados, versiones falsas que, según la alerta del FBI, están ‘diseñadas por los hackers para ser indistinguibles de las interfaces genuinas’.
FaceStealer: cómo se roba una cara y se convierte en una llave
El detalle que convierte este caso en algo distinto es la biblioteca. La infraestructura incautada por el FBI contenía más de 900 grabaciones secretas de webcam que los atacantes reproducían para suplantar a sus víctimas en ataques posteriores. El material se capturó mientras las víctimas esperaban a que empezara la videollamada, con la cámara encendida y la guardia baja. La alerta publicó ejemplos censurados y difuminados de ese archivo, y no es una concesión estética: es lo que se puede enseñar sin volver a exponer a los grabados.
Cada compromiso genera el vídeo y la lista de contactos de la siguiente víctima. Por eso el conjunto de objetivos ‘crece de forma exponencial’, advierte el FBI. No es un robo puntual, es una cadena de contagio social, y esa es la razón por la que una operación de este tipo no se cierra con una sola incautación.
Una cara grabada sin permiso vale más que cualquier contraseña: abre la puerta siguiente sin que nadie mire dos veces al que entra.
En los últimos dieciocho meses la campaña ha drenado más de 400 millones del sector de criptomonedas y Web3. Patrick Grandy, director adjunto de la oficina de campo del FBI en Los Ángeles, señaló que el esquema es ‘capaz de engañar incluso al usuario de ordenador más experto y concienciado en seguridad’, porque ‘explota nuestra confianza en plataformas de videoconferencia omnipresentes y en relaciones personales que valoramos’. Traducido al oficio: no buscan al torpe, buscan al que tiene algo que valga la pena.
La alerta mostró además el alcance fuera de las víctimas directas. Este año, los atacantes usaron el mismo señuelo para llevar al mantenedor de una biblioteca JavaScript de código abierto relevante a una reunión falsa de Teams. Con ese acceso crearon dependencias maliciosas que podían descargarse junto a las legítimas. Un solo mantenedor engañado expone media cadena de suministro. Piense en la escala: no hablamos de vaciar una cartera, hablamos de envenenar el código que otros instalan confiando en que alguien lo revisó.
A eso se suma el negocio paralelo que sostiene la estructura: la colocación de trabajadores norcoreanos en empresas estadounidenses como personal remoto de TI, con identidades falsas, para blanquear el dinero y esquivar las sanciones. El trabajador remoto y el hacker de criptomonedas no son dos programas distintos. Son el mismo programa con dos nóminas.
El historial: de Bangladesh a la nube de Binance
He seguido a este conglomerado durante años y su historial es una escalada sin pausa. El mismo ecosistema que en 2016 vació 81 millones del Banco de Bangladesh a través del sistema SWIFT, que en 2017 desplegó el gusano que paralizó hospitales británicos y que en 2022 drenó más de 600 millones del puente Ronin del universo Axie Infinity. Cada puerta cerrada se abría con otro nombre y otro alias: Lazarus para el público, APT38 para los analistas, TraderTraitor para el FBI, Sapphire Sleet para Microsoft. La nomenclatura es lo de menos. Lo que importa es que hablamos de una unidad militar con nómina estatal y con un objetivo económico declarado.
Puede consultarse el rastro público del grupo en la ficha de Lazarus Group en Wikipedia, que sirve de glosa para quien llegue nuevo a esta serie. Justin Moore, director de operaciones de adversario en Arctic Wolf, lo dijo a CyberScoop sin rodeos: hay una ‘evolución significativa tanto en escala como en sofisticación’. ‘Aunque las tácticas siguen evolucionando, el objetivo sigue siendo el mismo: explotar la confianza para bajar la guardia del objetivo y convencerlo de que haga algo que lleve al compromiso’. El FBI acredita la asistencia de Arctic Wolf, Jumpsec y el Microsoft Threat Intelligence Center.
Aquí conviene una advertencia de oficio. La atribución a Pyongyang descansa en indicadores cruzados: infraestructura reutilizada, cuentas de correo trazadas, patrones de lavado coincidentes y una coincidencia temporal con objetivos del sector financiero. Eso es respaldo técnico, no una declaración política de conveniencia. No se equivoque conmigo: cuando solo hay un informe de una agencia, yo lo digo y lo pongo en condicional. Aquí hay varios, y de distinto origen.
Dossier Moncloa: Ojos en la Sombra
El vector es mixto, y esa es la novedad. La parte HUMINT se ejecuta con ingeniería social de manual: un perfil creíble, una invitación y un dominio que imita al auténtico. La parte puramente cibernética llega después, con infraestructura en la nube que aloja la webcam ajena convertida en máscara. No hay zero-day. No hay exploit exótico. Hay typosquatting, alojamiento web y paciencia. El sabotaje no entra por una vulnerabilidad sin parche: entra por una reunión de Teams.
Quién ataca: APT38, también conocido como Sapphire Sleet, BlueNoroff, Stardust Chollima y TraderTraitor, bajo el paraguas del aparato de reconocimiento del régimen. Quién defiende: el FBI con su oficina de Los Ángeles al frente, la División Criminal del DOJ y tres firmas privadas que han puesto analistas e indicadores. Quién mira: Corea del Sur, Japón y el ecosistema cripto occidental, que lleva años financiando sin querer el programa de misiles norcoreano. Las empresas españolas con plantilla remota son el eslabón blando de esa misma cadena: el CNI y el CCN-CERT no aparecen en esta operación, pero el patrón les afecta de lleno. Contratar sin verificación biométrica es invitar al inquilino a dormir en casa.
A juzgar por la naturaleza del material, estimo que la documentación del decomiso y las más de 900 grabaciones manejadas por el FBI se mueven en un nivel equivalente a Secreto, con partes en Top Secret por la trazabilidad de las cuentas y la cooperación de proveedores privados. Lo que hoy es público es la versión censurada. La biblioteca completa no lo será en años, si acaso lo es alguna vez.
El precedente que mejor ilumina esto no es Operación Olympic Games. Es el asalto al Banco de Bangladesh. Entonces el mundo descubrió que un Estado con hambre de divisas podía usar el sistema financiero como arma. Una década después, el mismo Estado ha convertido una webcam en un instrumento de suplantación masiva. El dinero y la identidad son las infraestructuras menos protegidas del inventario crítico, y nadie ha asumido todavía la factura de protegerlas. Ya advertí en El quinto elemento que el próximo 11S empezará con un clic. Este caso añade el matiz que faltaba: empezará con una sonrisa en una videollamada.
Queda un cabo suelto que nadie ha cerrado. Los 3.300 millones restantes de los 6.000 sustraídos siguen fuera del alcance de la ley, la alerta del FBI no lleva fecha de caducidad y el procedimiento de decomiso permanece abierto en el Distrito Central de California. Las firmas de atribución vigilan si la red se reconstruye con otro nombre, como ha hecho siempre. Lo veremos. Y cuando lo veamos, volverá a ser con una videollamada.
