El DOJ incauta más de 1.200 millones del ciberataque de Corea del Norte a Binance y desmonta FaceStealer. Son dos acciones separadas, anunciadas a la vez y con la misma mano detrás: la constelación de unidades norcoreanas que el FBI persigue bajo etiquetas como TraderTraitor, Sapphire Sleet, BlueNoroff o APT38. Una pone el dinero bajo custodia judicial. La otra le arranca al régimen el sistema nervioso de la operación, el servidor en la nube desde el que se fabricaban las reuniones falsas.
Le pongo en contexto, porque el titular se queda corto. El Departamento de Justicia no ha anunciado una incautación: ha anunciado dos y las ha presentado juntas para que se entienda el patrón. Por un lado, la incautación de la infraestructura en la nube empleada en FaceStealer, un esquema de ingeniería social que acumula más de 400 millones de dólares robados en dieciocho meses. Por otro, la incautación y el embargo judicial de más de 1.200 millones procedentes del asalto a Binance del 29 de octubre, una brecha que las autoridades cifran en 6.000 millones.
Casi la mitad del botín sigue al alcance de la ley. Del total sustraído a Binance, la coordinación entre agencias federales y el sector privado ha permitido inmovilizar más de 2.700 millones. De esa cantidad, el DOJ tiene autorización de un tribunal para incautar o restringir 1.200. La Criminal Division, a través de su Computer Crime and Intellectual Property Section, lo describe como haber congelado media brecha histórica antes de que se evaporase por el sistema financiero.
La doble jugada del DOJ: el dinero y la infraestructura
El resto se está moviendo. Los operadores de TraderTraitor siguen blanqueando a través de puentes entre cadenas, mezcladores, y exchanges, y por eso el FBI, junto al Secret Service y la Investigación Criminal del IRS, emitió la semana pasada una alerta conjunta con las direcciones concretas que los proveedores de servicios de activos virtuales deben bloquear. El dinero duerme en el expediente; la infraestructura, no.
Hay un detalle que suele pasar desapercibido y que aquí importa. La incautación de la infraestructura de FaceStealer no la firma el DOJ en abstracto: la lidera la Fiscalía Federal del Distrito Central de California con la oficina de campo del FBI en Los Ángeles, y el fiscal adjunto Khaldoun Shobaki al frente. Traducción: hay una investigación judicial abierta, con material incautado bajo orden federal, y no solo una nota de prensa.
Corea del Norte no roba criptomonedas para enriquecerse: las roba para financiar misiles. Y ese detalle cambia el rasero con el que debe medirse cada incautación.
Anatomía de FaceStealer: la reunión que nunca ocurrió
El oficio aquí no es un zero-day ni un exploit elegante. Es paciencia y una cámara encendida. La secuencia, según el informe que el FBI publicó junto al anuncio, arranca con una invitación a una videollamada enviada desde una cuenta que los atacantes robaron a una víctima anterior. El destinatario ve el nombre de alguien que conoce. Acepta.
En la reunión no hay nadie al otro lado en tiempo real. Hay un vídeo pregrabado de una víctima previa o un deepfake de una figura conocida del sector cripto y Web3, generado con herramientas de inteligencia artificial que el propio FBI califica de avanzadas. El objetivo es uno solo: que la persona al otro lado baje la guardia. Después llega el truco de siempre, el ‘oye, no te oigo, prueba este enlace para arreglar el audio’. El enlace instala el malware.
El dato que hiela la sangre son los tiempos de espera. En varios casos documentados, los atacantes aguantaron meses, y en alguno más de un año, antes de mover un solo satoshi o de secuestrar una cuenta. Ese tiempo lo dedicaron a saquear la libreta de contactos, las redes sociales y las aplicaciones de mensajería del nuevo infectado para preparar la siguiente ronda.
Cada víctima se convierte en munición para la siguiente.
Bajo orden federal, el FBI se incautó de más de 900 vídeos de webcam grabados a víctimas del esquema. Piense un momento en qué significa eso. Las mismas grabaciones que sirvieron para engañar a unos son el material en bruto con el que se fabricarán los deepfakes que engañarán a otros. Un bucle que se alimenta solo y que no depende de un servidor concreto, por mucho que el DOJ haya tumbado el actual.
El director de Operaciones de la Rama Ciber del FBI, Brett Leatherman, lo puso por escrito: ‘El régimen norcoreano depende de los beneficios del robo masivo de criptomonedas para financiar su programa de armas ilícitas’, y añadió que su servicio sigue comprometido a ‘identificar, perturbar e imponer coste’ a esos actores. Palabras suyas, no mías.
Dossier Moncloa: Ojos en la Sombra
Vayamos al hueso. El vector es una infiltración HUMINT ejecutada con medios digitales, no un asalto frontal a la red. FaceStealer no rompe nada: convence a alguien con acceso para que abra la puerta. Es la vieja escuela del reclutamiento —identificar al objetivo, ganarse su confianza, explotar la relación— con la diferencia de que ahora el reclutador es un vídeo generado por IA y la safe house es una sala de videoconferencia.
En el apartado de agencias, la atribución es inusualmente sólida. Atacante: el Reconnaissance General Bureau norcoreano y sus satélites, con TraderTraitor ejecutando el robo a Binance y Sapphire Sleet —también conocido como BlueNoroff y APT38— sosteniendo el esquema de ingeniería social. Defensor: el FBI, la Criminal Division del DOJ, el Secret Service, el IRS-CI y la industria de análisis de cadena que aporta la trazabilidad. Terceros mirando de reojo: el CNI, el CCN-CERT, Europol y los servicios surcoreanos, todos con interés directo. No es habitual que una atribución venga refrendada por una orden judicial, y eso aquí juega a favor de Washington.
Nivel de clasificación estimado: Secreto. Lo que hay en juego no es solo el dinero. Los 900 vídeos, los contactos comprometidos y los repositorios de código abierto a los que apuntan las cuentas infectadas conforman un paquete de inteligencia que ningún servicio quiere ver publicado.
El precedente que conviene tener en la cabeza es el Banco de Bangladés, 2016. Ochenta y un millones de dólares salieron por la red SWIFT y el mundo descubrió que el grupo Lazarus no era una leyenda de blog. Diez años después, el mismo modus operandi, la misma paciencia y un objetivo nuevo: los mantenedores de software libre, que son la puerta de atrás de media industria tecnológica occidental. Lo escribí hace años en El quinto elemento y lo sostengo: el próximo 11S empezará con un clic, y probablemente se lo enviarán a alguien con privilegios de escritura en un repositorio.
Y aquí viene el punto débil de mi propio análisis. La atribución es buena; la respuesta, incompleta. Solo se ha recuperado parte del botín y el resto circula. Tumbar un servidor en la nube no desmonta una factoría de deepfakes que ya es casi de consumo. La herramienta se ha democratizado: ese es el verdadero problema, y no el de un solo régimen.
Lo que el CCN-CERT debería mirar de FaceStealer
Nadie ha publicado una lista de víctimas españolas del esquema, y eso no significa que no las haya. El perfil objetivo es concreto: gente con acceso a tesorería en empresas de activos virtuales, fundadores de proyectos Web3 y, cada vez más, desarrolladores que mantienen dependencias críticas de código abierto. España tiene los tres perfiles, con un ecosistema fintech notable y una comunidad de software libre que sostiene infraestructura pública.
Si usted gestiona un equipo técnico, la lección operativa cabe en una frase: ninguna videollamada con un enlace para ‘arreglar el audio’ es una videollamada. El FBI ha colgado el material completo en su centro de recursos sobre FaceStealer, y merece la pena leerlo antes de la próxima due diligence.
La incautación de 1.200 millones es una victoria real y hay que reconocérsela al DOJ. También es una foto fija. Los expedientes de decomiso seguirán su curso en los tribunales federales de California durante meses, y el dinero tardará en volver. Mientras tanto, el resto del botín de Binance se persigue con las direcciones que el FBI atribuye a Lazarus Group y a sus derivados.
Le adelanto lo que yo vigilaría: el salto del esquema desde el sector cripto hacia la cadena de suministro de software. Ese es el movimiento que convertirá un robo de 400 millones en un incidente de ciberseguridad nacional para media Europa. Y cuando ocurra, nadie podrá decir que no estaba avisado.
