O FBI apreendeu a infraestrutura em nuvem que sustentava uma operação de engenharia social sem precedentes: hackers ligados à Coreia do Norte roubaram mais de US$ 400 milhões em criptomoedas ao longo de 18 meses usando deepfakes e vídeos gravados de vítimas reais. Paralelamente, a justiça americana autorizou o bloqueio de US$ 1,2 bilhão proveniente do maior ataque da história contra a Binance. O esquema, batizado de FaceStealer, transforma uma simples videochamada em armadilha letal para carteiras digitais.
Como a armadilha funcionava na prática
Os criminosos comprometiam contas legítimas e enviavam convites de reunião para contatos da vítima. Ao entrar na chamada, o alvo tinha seu rosto e áudio capturados. Em seguida, os hackers exibiam um vídeo pré-gravado — ou um deepfake gerado por IA — de alguém conhecido pelo alvo, criando a sensação de uma conversa real entre colegas de confiança.
Simulavam então uma falha técnica e enviavam um link para “corrigir o problema”. O clique instalava malware capaz de espionar, roubar credenciais e acessar carteiras frias. Em casos documentados, os invasores aguardaram mais de um ano antes de mover os fundos, usando a lista de contatos da vítima para expandir a rede de alvos.
Quem estava na mira dos hackers
O foco principal recai sobre profissionais do ecossistema cripto: fundadores, desenvolvedores de protocolos, gestores de fundos e, cada vez mais, mantenedores de projetos de código aberto. O objetivo aparente é contaminar a cadeia de suprimentos de software — um único pacote comprometido pode atingir milhares de aplicações downstream.
O FBI apreendeu mais de 900 vídeos de webcams obtidos via mandato judicial. “Se você não consegue imaginar um cenário em que cairia nesse golpe, não está pensando de forma suficientemente criativa”, declarou Patrick Grandy, chefe do escritório do FBI em Los Angeles.
Dois grupos, duas operações distintas
A investigação separa duas células norte-coreanas com perfis técnicos diferentes:
- Sapphire Sleet (UNC1069): responsável pelo FaceStealer, focado em engenharia social avançada e roubo direto de chaves privadas.
- TraderTraitor: atribuído ao ataque à Binance em outubro, que drenou entre US$ 6 bilhões e US$ 6,3 bilhões — o maior roubo de criptoativos já registrado.
Autoridades americanas e empresas privadas conseguiram congelar US$ 2,7 bilhões do ataque à Binance até o momento. O Departamento de Justiça afirma que o regime de Pyongyang financia seu programa de armas e a manutenção do poder por meio dessas operações.
O que muda para quem opera no mercado
A sofisticação do FaceStealer eleva o patamar de risco: não basta mais desconfiar de e-mails suspeitos. Videochamadas com rostos conhecidos — inclusive deepfakes de figuras públicas do setor — tornaram-se vetores de ataque. A latência entre infecção e exfiltração (meses ou anos) dificulta a detecção por ferramentas tradicionais de monitoramento.
Desenvolvedores de código aberto passam a ser alvos estratégicos. Um commit malicioso em uma biblioteca amplamente usada pode propagar backdoors para milhares de projetos sem que os mantenedores percebam.
O que observar nos próximos meses
A apreensão da infraestrutura em nuvem interrompe a operação atual, mas o modelo é replicável. Espera-se migração para provedores menos cooperativos, uso intensivo de IA generativa para deepfakes em tempo real e expansão do alvo para setores adjacentes — fintechs, gestoras tradicionais e tesourarias corporativas que passaram a custodiar ativos digitais.
Para o profissional do mercado, a lição prática: trate toda videochamada não agendada como suspeita, verifique links em canal fora de banda (Telefone, Signal, presencial) e exija assinatura criptográfica ou MFA hardware para qualquer transação de valor relevante. A próxima onda não avisará que chegou.
