加密货币欺诈 , 欺诈管理与网络犯罪

FBI 挫败朝鲜深度伪造加密货币窃取计划

美国执法部门挫败了由财务驱动的朝鲜黑客使用的云基础设施，这些黑客利用一种类似蠕虫的深度伪造（deepfake）诈骗方案在受害者之间进行传播。

另见： 利用 Crypto.com 确保可扩展增长

这项社会工程活动被 FBI 称为 FaceStealer，归因于名为 BlueNoroff、Sapphire Sleet 或 Stardust Chollima 的平壤组织。该组织针对加密货币和 Web3 行业，在过去的 18 个月里通过恶意软件和人工智能驱动的诱饵窃取了至少 $400 million 的加密货币。

同一个威胁行为体还对近几个月来的一系列开源软件供应链攻击负责，这些攻击污染了与人工智能框架 Mastra 以及 JavaScript 和 Python 库相关的包。该组织利用从单一受损维护者处获得的访问权限，触及更广泛的下游受害者群体。

“使这项活动特别令人担忧的是其在适应性方面的复杂性，”FBI 网络分部行动总监 Brett Leatherman 在周四的记者电话会议上表示。“朝鲜黑客正越来越多地融合网络入侵、社会工程和深度伪造等新兴技术，使其冒充行为更具说服力和可扩展性。”

虽然这次加密货币盗窃活动的参与者和 Binance 攻击背后的 TraderTraitor 组织有着共同的目标，即向朝鲜政权输送窃取的加密货币，但 Leatherman 表示，这两个计划和威胁行为体是相互独立的。

“在归因方面，我们定期与行业合作。他们对自己追踪特定的 APT 组合拥有极高的可见性。在这种情况下，我们与 Arctic Wolf、JumpSec、Microsoft Threat Intelligence Center 等机构进行了合作，”Leatherman 说。

FBI 探员 Jeremy Robertson 表示，FaceStealer 攻击者首先向先前受害者的联系人发送消息，请求叙旧或进一步讨论之前在 Zoom 或 Teams 上的对话。但他们提供的日历邀请链接是经过域名抢注（typosquatted）的，会指向一个由攻击者控制、外观酷似真实应用程序的视频会议平台。

Robertson 说，攻击者还利用 AI 生成的深度伪造视频来说服受害者加入会议。

在视频通话期间，攻击者会播放一段受害者认识的人的录像，这段录像是在早前的诈骗通话中捕获的。Robertson 说，他们假装音频有问题，并指示受害者点击链接以更新他们的设备。

该链接会下载恶意软件，扫描受害者的设备以获取有价值的访问权限，如加密货币钱包和助记词（seed phrases），获取该人的社交媒体账号和联系人权限，并秘密记录受害者的网络摄像头视频——正是这种方案帮助了当前的攻击并导致了下一次攻击的发生。

下一个受害者会再次看到他们认识的人在努力解决技术问题。FBI 表示，已从威胁行为体的云存储中查获了 900 多段受害者的网络摄像头视频。

目前对 FaceStealer 造成的财务损失的估计仅来自 FBI 能够识别的受害者。该机构已经建立了一个网站，供潜在受害者联系。

Leatherman 表示，FBI 尚不清楚 FaceStealer 恶意软件是否被用于 Binance 攻击，尽管可以合理假设朝鲜国家行为体在一定程度上存在工具共享。

Binance 的攻击者也依赖第三方供应链受损来获得初始访问权限。他们污染了 Homebrew（一个适用于 macOS 的第三方包管理器）的一个版本，一名 Binance 钱包基础设施工程师下载了该篡改版本，因为它出现在搜索结果中，而不是合法的安装程序。

一名司法部高级官员在同一次记者电话会议上表示，政府最近冻结了 $2.7 billion，并获得了授权，从 Binance 被盗的价值 $6.3 billion 的加密货币中再扣押 $1.2 billion。