FaceStealer es el nombre que el FBI le dio a un esquema de ingeniería social con el que hackers patrocinados por Corea del Norte robaron más de US$400 millones en criptomonedas a más de 900 víctimas en los últimos 18 meses. No hay un exploit de por medio: los atacantes simulan videollamadas con contactos de confianza hasta que la víctima instala el malware con sus propias manos. Para cualquier startup que maneje wallets, claves de firma o repositorios de código, es la advertencia más concreta del año.
Cómo funciona FaceStealer: la videollamada que nunca existió
FaceStealer no empieza con un fallo técnico. Empieza con una invitación que parece venir de alguien conocido. Según el FBI y el Departamento de Justicia, los atacantes usan cuentas falsas o secuestradas —en servicios como Telegram, LinkedIn, Slack y Discord— para invitar a la víctima a una videollamada alojada en versiones impostoras de Zoom, Microsoft Teams y Google Meet.
Dentro de la llamada, el objetivo ve el video pregrabado de una persona que conoce. A veces los atacantes suman otros supuestos participantes para que la reunión resulte más creíble. A los pocos segundos aparece un mensaje: el audio no funciona. La solución que ofrecen —un enlace, un script o comandos para pegar en la terminal— instala en realidad el malware.
¿Y esto cómo se aplica en tu negocio?
Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.
👥 Quiero el Kit →El resultado, según las autoridades, es robo de wallets y frases semilla, secuestro de cuentas de mensajería, acceso a la lista de contactos y capacidad de capturar teclas y pantalla. Y algo más: la propia llamada graba la webcam de la víctima. Ese video se convierte en el material con el que se engaña a la siguiente persona. El FBI informó que incautó la infraestructura en la nube usada en la campaña y más de 900 videos de webcam de víctimas.
Jeremy Robertson, agente especial a cargo de la oficina de Los Ángeles del FBI, lo resumió sin rodeos: «Esto no es algo que podamos parchear». Patrick Grandy, subdirector de esa misma oficina, añadió que el esquema «explota nuestra confianza en las plataformas de videoconferencia y en las relaciones personales que valoramos». Y remató: «Si no puedes imaginar un escenario en el que caerías, no estás pensando con suficiente creatividad».
Por qué los desarrolladores de open source están en la mira
El FBI y el Departamento de Justicia señalan que FaceStealer «ataca agresivamente» a quienes trabajan en los sectores cripto y web3, en particular a los que participan del desarrollo y mantenimiento de software open source. La lógica es estratégica: quien mantiene una librería popular tiene acceso a los sistemas de miles de organizaciones que dependen de ella.
La campaña ya llegó a ese punto. Según Nextgov, los hackers entraron en la computadora de un desarrollador que mantiene software de uso extendido y usaron ese acceso para insertar código malicioso que podía llegar a cualquiera que lo descargara. El ataque se detectó y se detuvo antes de propagarse. The Hacker News reportó que el esquema se usó contra el responsable del paquete Axios de npm para publicar una versión troyanizada que distribuía un troyano de acceso remoto multiplataforma.
Los números de Arctic Wolf, una de las firmas que asistió al FBI, dimensionan el fenómeno: 677 objetivos identificados en 58 países, con más del 80% de ellos founders y ejecutivos de nivel C. En un informe de abril de 2026, la compañía había contabilizado más de 400 víctimas en más de 20 países, con el 80% concentrado en finanzas cripto y blockchain (54%) o en sectores financieros adyacentes (26%), y con CEOs y founders representando el 45% del total de objetivos. «Lo que hemos visto en los últimos seis meses es una evolución significativa tanto en la escala como en la sofisticación de esta operación», dijo Justin Moore, director de operaciones de adversarios de Arctic Wolf.
El negocio detrás: por qué Corea del Norte roba cripto
«El régimen norcoreano depende de los ingresos del robo de criptomonedas a gran escala para financiar su programa de armas ilícitas», dijo Brett Leatherman, director de operaciones de la rama cibernética del FBI. La frase explica por qué estos ataques no se detienen: no buscan un golpe único, buscan un flujo de caja permanente.
El caso más grande es el de Binance. Según Nextgov, el exchange sufrió un robo de unos US$6.300 millones reportado a fines de octubre de 2026, y el Departamento de Justicia anunció autorización judicial para incautar o restringir más de US$1.200 millones de esos fondos. Esa cifra forma parte de los más de US$2.700 millones que el sector público y el privado lograron congelar en total, no se suma a ellos. El FBI atribuyó el ataque al grupo TraderTraitor, y The New York Times recogió el rechazo de Pyongyang: Kim Yo-jong calificó la acusación de «provocación política».
El historial es largo. Según el recuento de FinanceFeeds, el hackeo a Bybit de febrero de 2025, por US$1.500 millones, se atribuyó al grupo Lazarus; antes hubo el ataque a Ronin Network por US$625 millones en marzo de 2022 y a WazirX por unos US$235 millones en julio de 2024. La firma Elliptic contabilizó más de 30 hackeos vinculados a Corea del Norte hasta octubre de 2025, con más de US$2.000 millones robados. Y la tendencia no baja: TRM Labs reportó US$972 millones en robos de cripto solo en el primer semestre de 2026.
Recuperar el dinero es cada vez más difícil. Un alto funcionario del Departamento de Justicia explicó que los atacantes dividen los fondos en montos pequeños y los distribuyen entre redes de blanqueo. El investigador de blockchain ZachXBT reportó en octubre de 2026 que una red criminal china blanqueó más de US$1.000 millones para Lazarus, según recogió 247wallst.
Qué significa esto para tu startup
FaceStealer no se arregla con un parche ni con un antivirus. El propio FBI lo dijo: es un problema de proceso y de cultura. Estas son las medidas que puedes implementar esta semana.
- Prohibición absoluta de instalar cosas durante una llamada. Ningún miembro de tu equipo ejecuta comandos, scripts o «actualizaciones» mientras está en una videollamada. Si alguien lo pide, se corta la llamada y se verifica por otro canal. Esta sola regla desactiva el corazón del esquema.
- Verificación por un canal distinto. Cualquier reunión que llegue por Telegram, LinkedIn, Slack o Discord —sobre todo si viene de un contacto con el que no sueles hablar por ahí— se confirma por teléfono, Signal o correo antes de entrar. La cuenta del remitente puede ser legítima y estar secuestrada.
- Separa la custodia del portátil de trabajo. Las claves de firma y los fondos no deberían vivir en la misma máquina donde abres enlaces. Hardware wallets, multisig y llaves de seguridad físicas en lugar de 2FA por SMS reducen la exposición, según el repaso de FinanceFeeds.
- Aísla cualquier código que descargues. Si tu equipo hace entrevistas técnicas, revisiones de repos o pruebas de terceros, que todo corra en una máquina virtual desechable y nunca en el portátil corporativo. JFrog documentó una empresa señuelo, AccuraSoftHire, con sitio web, página de LinkedIn, avisos de empleo y reclutadores verificados, creada solo para que los candidatos ejecutaran malware.
- Asume la propagación en tu plan de respuesta. Si alguien del equipo cae, el atacante ya tiene su lista de contactos. Avisar rápido a clientes, inversores y colaboradores es parte del incidente, no un detalle posterior.
Conclusión
La parte incómoda de FaceStealer es que funciona. No depende de que la víctima sea descuidada: depende de que confíe en un rostro conocido y en una herramienta que usa todos los días. El FBI identificó 677 objetivos en 58 países y más del 80% son founders y ejecutivos, es decir, exactamente el perfil que lee este medio.
Para una startup hispanohablante, la conclusión práctica es simple: la seguridad ya no es solo un problema de infraestructura, es un problema de hábitos del equipo. Una regla clara —nadie instala nada durante una llamada— y una verificación por segundo canal cuestan cero y bloquean el vector principal. Y una vez que los fondos entran en las redes de blanqueo, recuperarlos es lento y difícil: el propio Departamento de Justicia advirtió que los atacantes fragmentan los montos para dificultar el rastreo. Prevenir sigue siendo mucho más barato que recuperar.
Fuentes
- North Korean hackers used fake video calls in $400M crypto hack, says FBI (fuente original)
- FBI disrupts intricate North Korean fake-call scheme tied to $400M in crypto theft
- FBI Says North Korean Hackers Stole Over $400 Million in Crypto Using Deepfake Video Calls
- North Korean Hackers Stole Billions, the F.B.I. Says. It’s Not Their First Heist.
- Biggest Crypto Hacks and Heists Explained
- A Chinese Network Laundered More Than $1 Billion for North Korea’s Lazarus Group, Says ZachXBT
¿Y esto cómo se aplica en tu negocio?
Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.
👥 Quiero el Kit →
