FBI confirma roubo de mais de US$ 400 mi em cripto por hackers norte‑coreanos usando chamadas de vídeo deepfake

O Federal Bureau of Investigation (FBI) dos Estados Unidos divulgou que atores de ameaça ligados à República Popular Democrática da Coreia (DPRK) furtaram mais de US$ 400 milhões em criptomoedas nos últimos 18 meses. O ataque, batizado de FaceStealer, combina engenharia social avançada com vídeos deepfake para enganar vítimas do setor de cripto e Web3.

Investigação do FBI e do DOJ

Em comunicado oficial, o FBI atribuiu o crime ao grupo de hackers norte‑coreanos conhecido como BlueNoroff – também referenciado pelos nomes APT38, CageyChameleon, CryptoCore, entre outros. A agência afirmou que a infraestrutura baseada em nuvem utilizada para a campanha foi apreendida como parte de um conjunto coordenado de ações anunciadas pelo governo dos EUA.

Paralelamente, o Departamento de Justiça (DoJ) informou a apreensão judicial de mais de US$ 1,2 bilhão em criptomoedas vinculadas ao grupo TraderTraitor, que teria agido após o ataque à exchange Binance. Segundo o DoJ, os recursos roubados são destinados a financiar o programa de armas ilícitas de Pyongyang.

Como funciona o esquema FaceStealer

O FaceStealer se baseia em convites para videoconferências enviados a partir de contas comprometidas de vítimas anteriores. Quando a vítima aceita, a chamada é gravada secretamente enquanto, simultaneamente, um vídeo pré‑gravado – ou um deepfake – de um contato confiável é reproduzido para gerar confiança.

Alguns segundos após o início da reunião, os atacantes simulam um erro técnico (por exemplo, “não conseguimos ouvir você”) e enviam um link malicioso que, ao ser clicado, instala malware no dispositivo da vítima. O código costuma ser distribuído por meio de um “ClickFix” – um lure que baixa e executa um payload capaz de roubar chaves privadas, seed phrases e outras credenciais de carteira.

Etapas típicas do ataque

• Comprometimento inicial: coleta de wallets, seed phrases e hijack de contas de comunicação (Telegram, LinkedIn, Slack, Discord).

• Uso da conta comprometida para enviar convites falsos de Zoom ou Microsoft Teams, muitas vezes via Calendly.

• Envio de links typosquatted que imitam URLs legítimas de plataformas de videoconferência.

• Reprodução de vídeos gravados ou deepfakes de contatos conhecidos para criar a ilusão de presença real.

• Apresentação de um suposto erro técnico e entrega de um link ou script malicioso que instala o payload.

• Propagação: o dispositivo comprometido passa a ser usado para atacar novos contatos, fechando um ciclo auto‑propagante.

Escala e alvos da campanha

Relatórios da Arctic Wolf, publicados em abril de 2026, apontam que o FaceStealer já teria atingido mais de 400 vítimas em 20 países, com concentração nos EUA, Singapura, Reino Unido, Hong Kong, Coreia do Sul e Emirados Árabes Unidos. Cerca de 80 % dos alvos atuam diretamente em finanças de criptomoedas ou setores adjacentes, e quase metade são CEOs ou fundadores.

O número total de alvos cresceu para 677 indivíduos em 58 países, com 80 % deles ocupando cargos de C‑suite. A campanha também passou a empregar geração de conteúdo por IA (ChatGPT, Google, SpaceXAI Grok, Wondershare AI) para criar avatares, imagens e vídeos deepfake ainda mais convincentes.

Variações e campanhas relacionadas

O FaceStealer compartilha técnicas com a campanha ClickFake Interview, uma ramificação do Contagious Interview, que utiliza lures de recrutamento em plataformas como LinkedIn. Em outubro de 2026, Alina Krasavina, gerente de engenharia da Delivery Hero, relatou ter sido alvo de duas tentativas distintas de entrevista falsa, ambas envolvendo a entrega de código malicioso.

Além disso, o grupo tem explorado entregas de malware via repositórios de código aberto, manipulando arquivos de configuração do Visual Studio Code (tasks.json) e scripts de git hooks para executar payloads ao abrir projetos. A Sophos identificou um caso em que um workspace de VS Code continha um loader JavaScript (BeaverTail) que baixava um backdoor Python (InvisibleFerret).

Recomendações práticas para organizações e usuários

Com base nas informações divulgadas pelas autoridades e pelos pesquisadores, recomenda‑se que empresas e profissionais adotem as seguintes medidas imediatas:

1. Desconfie de convites de videoconferência enviados por contatos que já foram comprometidos; verifique a autenticidade por outro canal.

2. Implemente políticas de “sandbox” para abrir arquivos e repositórios desconhecidos, preferencialmente em máquinas virtuais isoladas.

3. Desative a execução automática de scripts em ambientes de desenvolvimento (VS Code, git hooks) e revise as configurações de terminal integradas.

4. Monitore contas de comunicação (Telegram, Slack, Discord) por atividades suspeitas, como envios de links encurtados ou typosquatted.

5. Atualize regularmente softwares de videoconferência e desative recursos de gravação automática que possam ser abusados.

6. Eduque equipes sobre a existência de deepfakes e a necessidade de confirmar a identidade de participantes por meios independentes.

Ao adotar essas práticas, organizações podem reduzir significativamente a superfície de ataque explorada pelo FaceStealer e por campanhas derivadas.

Perguntas frequentes