O Departamento de Justiça dos EUA apreendeu a infraestrutura em nuvem de hackers norte-coreanos responsáveis por roubar mais de 400 milhões de dólares em criptomoedas usando deepfakes e vídeos de webcam roubados. O esquema, batizado de “FaceStealer”, durou 18 meses e mirou profissionais do setor cripto. A operação revela como a engenharia social ultrapassou as barreiras técnicas tradicionais.
Como o “FaceStealer” transformava confiança em malware
O mecanismo era cirúrgico. Os criminosos invadiam contas legítimas e enviavam convites de videochamada para a lista de contatos da vítima. Ao entrar na reunião, o alvo via seu próprio vídeo sendo gravado e, segundos depois, assistia a um clipe pré-gravado — ou um deepfake gerado por IA — de um colega conhecido.
A simulação de uma falha técnica era a isca final. Os hackers ofereciam um link para “corrigir o problema”, que instalava o malware. Em alguns casos, o grupo esperava mais de um ano antes de mover os fundos, dificultando o rastreamento imediato.
O alvo preferido: desenvolvedores e a cadeia de suprimentos
Não eram investidores casuais. O foco recaiu sobre desenvolvedores de software de código aberto e profissionais de infraestrutura cripto. O objetivo aparente era contaminar a cadeia de suprimentos (supply chain), ampliando o raio de destruição muito além da vítima inicial.
O FBI apreendeu mais de 900 vídeos de webcams obtidos via mandado federal. Patrick Grandy, chefe do escritório de Los Angeles, resumiu a vulnerabilidade humana: “Se você não consegue imaginar um cenário em que cairia nesse golpe, não está pensando de forma suficientemente criativa”.
- Grupo identificado: Sapphire Sleet (também conhecido como UNC1069).
- Tempo de latência: Meses a mais de um ano entre infecção e roubo.
- Tática-chave: Deepfakes de figuras conhecidas do setor + engenharia social em videochamadas.
O caso Binance: um capítulo à parte com US$ 6 bi
Paralelamente, o DOJ obteve autorização para bloquear 1,2 bilhão de dólares ligados ao maior roubo de criptomoedas da história. O grupo TraderTraitor — distinto do FaceStealer — atacou a Binance por volta de 29 de outubro, levando estimados 6,3 bilhões de dólares (cerca de R$ 35,6 bilhões).
Até o momento, autoridades e empresas privadas congelaram 2,7 bilhões. M. Scott Proctor, vice-procurador-geral adjunto de segurança nacional, foi direto: “O regime norte-coreano financia seu programa de armas ilícitas via roubo de criptoativos”. Pyongyang nega envolvimento.
Por que isso muda o jogo para segurança corporativa
A sofisticação do FaceStealer enterra a ideia de que “treinamento de phishing” basta. A combinação de identidade visual roubada, IA generativa e paciência operacional cria um vetor de ataque que ignora firewalls e antivírus tradicionais. Empresas que dependem de chamadas de vídeo para validação de identidade ou aprovação de transações precisam rever seus protocolos agora.
O efeito cascata atinge seguros cibernéticos, due diligence de fornecedores e a confiança em ferramentas de colaboração remota. O roubo de 900 vídeos também expõe passivos de privacidade e conformidade (LGPD/GDPR) para as organizações das vítimas.
O que observar nos próximos meses
Três frentes merecem monitoramento contínuo: a evolução dos deepfakes em tempo real (já testados em golpes de “CEO fraud”), a migração de grupos como Sapphire Sleet para alvos fora do ecossistema cripto (fintechs, SaaS, governo) e a jurisprudência sobre recuperação de ativos misturados em mixers e exchanges descentralizadas. A ordem de apreensão da nuvem usada pelos hackers sinaliza que o DOJ tratará infraestrutura técnica como bem apreensível — precedente que deve acelerar ações futuras.
