Secondo l’FBI, hacker di Stato nordcoreani hanno rubato più di 400 milioni di dollari in crypto negli ultimi 18 mesi con una falsa videochiamata su Zoom o Teams: l'”amico” che compare sullo schermo è una clip registrata di nascosto dalla sua stessa webcam. In un avviso FLASH datato 12 novembre 2026 l’agenzia ha battezzato lo schema FaceStealer e ha dichiarato di aver sequestrato, in base a un mandato federale, oltre 900 di questi video delle vittime.
blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il Dipartimento di Giustizia americano ha dato l’annuncio lo stesso giovedì, in un comunicato che riguarda anche il furto a Binance di fine ottobre. Spiega di aver sequestrato l’infrastruttura cloud usata nello schema, in un’operazione guidata dalla Procura federale del Distretto Centrale della California e dall’FBI di Los Angeles. Per questa parte dell’inchiesta non sono stati annunciati arresti, incriminazioni né fondi sequestrati.
La novità per chi usa le crypto è meno la minaccia che il dettaglio. Le società di sicurezza avevano già descritto l’esca della falsa riunione, Microsoft in aprile tra le altre. Il FLASH ricostruisce invece l’intero ciclo, fase per fase, e si chiude con un elenco di precauzioni scritto dall’FBI.
Cosa hanno annunciato l’FBI e il Dipartimento di Giustizia il 12 novembre
Il FLASH, numerato AC-111226-MS e marcato TLP:CLEAR (libero da condividere), è di sette pagine. Il titolo parla di una “libreria segreta di registrazioni webcam” di oltre 900 lavoratori del settore tech. L’FBI dice di aver individuato e sequestrato più di 900 video di vittime che gli hacker usavano per impersonare persone in attacchi successivi; il Dipartimento di Giustizia li descrive come video webcam di vittime che lavorano nel mondo crypto e nel Web3 in tutto il pianeta.
L’agenzia attribuisce FaceStealer al gruppo nordcoreano che le società di sicurezza seguono con vari nomi: Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff e Stardust Chollima. Sono sette etichette per quello che l’FBI considera un unico attore statale.
Il comunicato cita Patrick Grandy, direttore responsabile dell’ufficio FBI di Los Angeles. Lo schema, ha detto, “sfrutta la nostra fiducia nelle piattaforme di videoconferenza onnipresenti e nei rapporti personali a cui teniamo”. Il suo avvertimento a chi si sente al sicuro: “Se non riuscite a immaginare uno scenario in cui potreste cadere in questa trappola, non state pensando in modo abbastanza creativo.” L’operazione è stata condotta dal vice procuratore federale Khaldoun Shobaki, del Distretto Centrale della California, con l’FBI di Los Angeles, e l’FBI ha aperto una pagina di risorse su fbi.gov/facestealer.
Lo stesso comunicato annuncia le misure sul caso Binance: il Dipartimento dice di avere l’autorizzazione di un tribunale a sequestrare o bloccare oltre 1,2 miliardi di dollari dei più di 6 miliardi sottratti all’exchange intorno al 29 ottobre, e che in tutto sono stati congelati più di 2,7 miliardi. L’FBI attribuisce quel furto a un’altra unità nordcoreana, TraderTraitor, come Coindaro ha raccontato quando l’agenzia ha indicato TraderTraitor come autore dell’attacco a Binance. I due casi condividono un comunicato stampa, non un metodo.
| Dato | A cosa si riferisce | Fonte |
|---|---|---|
| Più di 400 milioni di dollari | Crypto rubate con FaceStealer negli ultimi 18 mesi | FLASH dell’FBI, DOJ |
| Oltre 900 | Video webcam di vittime sequestrati in base a un mandato federale | FLASH dell’FBI, DOJ |
| 7 | Nomi usati dalle società di sicurezza per l’attore nordcoreano | FLASH dell’FBI |
| 6 | Fasi del ciclo d’attacco descritte dall’FBI | FLASH dell’FBI |
| Decine di milioni a settimana | Download della libreria JavaScript il cui manutentore è stato compromesso | FLASH dell’FBI |
| Più di 6 miliardi / 2,7 miliardi / 1,2 miliardi di dollari | Furto a Binance / totale congelato / coperto da ordini di sequestro (caso separato) | DOJ |
Entrambi i testi ufficiali indicano i 400 milioni come un totale unico per FaceStealer, ed è così che li riporta anche Coindaro. Nessuno dei due dice quante vittime abbiano perso denaro né quanto abbia perso ciascuna, e nemmeno la cronaca di CyberScoop del 12 novembre, tratta dallo stesso materiale, contiene una ripartizione.
Come una falsa videochiamata Zoom trasforma la clip di una webcam in un malware sul tuo computer
Il FLASH cita versioni false di Zoom, Microsoft Teams e Google Meet, e i suoi esempi riguardano le prime due. Il ciclo si articola in sei fasi, ciascuna alimenta la successiva: per questo, dice l’FBI, il bacino dei bersagli “cresce in modo esponenziale”.
- Il ciclo parte da una persona già violata, che l’FBI chiama Vittima A. Gli hacker hanno passato al setaccio il dispositivo in cerca di wallet e seed phrase, hanno preso il controllo dell’account Telegram o di un altro messenger cifrato escludendone il proprietario, hanno copiato contatti e cronologie delle chat e hanno registrato la webcam mentre la Vittima A aspettava l’inizio di una chiamata.
- Fingendosi la Vittima A, scrivono ai suoi contatti e propongono una chiamata per fare il punto, discutere una collaborazione o parlare di un investimento. Con la cronologia delle chat in mano, possono adattare il messaggio alle conversazioni passate. Usano anche account Telegram, LinkedIn, Slack e Discord nuovi o sottratti ad altri.
- Prima arriva un invito in stile Calendly, senza link video. Poco prima della riunione parte il vero link, dall’account della Vittima A. Punta a un dominio simile all’originale, registrato in anticipo; l’FBI cita come esempi uu01webzoom.us e teams.livemeet.us. La pagina risiede su un server controllato dagli hacker e imita Zoom o Teams, costruita, nelle parole dell’FBI, per essere “indistinguibile dalle interfacce autentiche”.
- Il bersaglio attende in quella che sembra una normale sala d’attesa. Una volta ammesso, gli hacker mandano il video registrato della Vittima A, spesso con altre clip, così che la chiamata sembri avere più partecipanti.
- Dopo un breve ritardo la “Vittima A” scrive in chat che il bersaglio non si sente. La soluzione proposta è un aggiornamento, uno script o una riga di codice da incollare nel terminale. Seguirla scarica un malware che installa un raccoglitore di cookie del browser, keylogger, un programma di cattura dello schermo e una backdoor. La webcam del bersaglio è già registrata dal primo clic sul falso link.
- Il video e i contatti della nuova vittima diventano il materiale per il giro successivo di inviti.
Due dettagli rendono lo schema più difficile da scoprire di un normale link di phishing. L’invito arriva da un account vero con cui il bersaglio ha già parlato, e il volto sullo schermo è un filmato reale di quella persona. L’FBI aggiunge che gli hacker sono pazienti: in diversi casi hanno rubato fondi e preso il controllo di account mesi dopo la prima compromissione, in alcuni casi oltre un anno dopo, aspettando che i saldi dei wallet crescessero. Copiano le seed phrase, osservano gli indirizzi on chain e ricostruiscono il wallet dopo un grosso trasferimento.
Deepfake: un di più, per l’FBI il lavoro lo fanno ancora i video reali rubati
Giovedì gran parte dei media ha aperto con la parola “deepfake”. Il FLASH è più prudente. Dice che gli hacker hanno iniziato a usare strumenti di IA, che il documento chiama “super intelligence (SI)”, per trasformare foto e video pubblici di figure note del mondo crypto e del Web3 in finti partecipanti alla chiamata. Quelle clip possono sostituire o affiancare i filmati rubati alle vittime, e la loro qualità “deve solo essere abbastanza buona da passare per un video di webcam”.
Ma l’FBI afferma senza giri di parole che FaceStealer “continua oggi a basarsi in modo schiacciante sul furto di video autentici delle vittime”. Ringrazia la società di sicurezza Arctic Wolf per il contributo sulla produzione dei deepfake. In pratica, un controllo che cerca i segni di un volto sintetico non avrebbe fermato la maggior parte di questi attacchi: i volti erano veri, a essere falso era solo il momento.
Il punto conta per gli strumenti venduti come rilevatori di deepfake. Coindaro ne ha esaminato uno il mese scorso, quando World ID ha proposto alle banche un controllo anti-deepfake per Zoom. Il filmato registrato di un collega reale pone un problema diverso da un volto generato, e i consigli del FLASH non dipendono dal riconoscere né l’uno né l’altro.
Manutentori open source: una libreria JavaScript ha rischiato di distribuire malware
FaceStealer serve soprattutto a rubare crypto, dice l’FBI, ma la stessa esca è stata puntata contro i manutentori di software, perché un solo manutentore compromesso può spingere codice malevolo a tutti gli utenti di un pacchetto. All’inizio del 2026, secondo il FLASH, gli hacker hanno attirato il manutentore di una libreria JavaScript open source importante in una falsa chiamata Teams con più partecipanti, tra cui almeno una persona che lui conosceva.
Gli è stato detto che c’era un problema sul suo sistema; ha seguito la soluzione suggerita e si è infettato il computer. Gli aggressori hanno poi usato il suo accesso per aggiungere dipendenze malevole che sarebbero state scaricate insieme alla libreria, che registra decine di milioni di download a settimana. Secondo l’FBI, un rilevamento rapido ha fermato l’operazione. L’agenzia non nomina la libreria.
Il FLASH aggiunge che altri tentativi hanno preso di mira manutentori sul registro JavaScript npm e, di recente, manutentori di crate Rust. Per chi usa le crypto il rischio va oltre il proprio computer: wallet, dApp e strumenti degli exchange poggiano su questi pacchetti. Coindaro ha raccontato un caso di supply chain diverso il 10 novembre, quando una release di Swarm distribuiva una backdoor ruba-wallet; nulla di pubblicato collega quell’episodio alla Corea del Nord.
L’invito a una falsa riunione che i lettori di Coindaro hanno già visto
Diversi incidenti recenti hanno usato esche di ingegneria sociale simili, anche se l’FBI non ne collega nessuno a FaceStealer per nome. Il 6 novembre la piattaforma di opzioni SignalPlus ha ricondotto un attacco a un falso invito Teams, dicendo che la perdita è stata inferiore a 82.000 dollari. Binance ha dichiarato che la sua violazione di fine ottobre è partita da un finto colloquio di lavoro, e Microsoft ha documentato un’intrusione di Sapphire Sleet su macOS, dall’esca alla compromissione, in un rapporto del 16 aprile 2026 citato dall’FBI.
Altri due rapporti di aziende citati dall’FBI contengono elenchi di indicatori di compromissione: “Still in the meeting: BlueNoroff six months on” di Arctic Wolf e un’analisi di Jumpsec su un kit ClickFix di BlueNoroff. “ClickFix” è il nome che il settore dà al trucco della quinta fase, in cui la vittima viene convinta a eseguire da sola il comando dell’aggressore.
Cosa dice l’FBI di fare prima, durante e dopo una videochiamata
Sette precauzioni chiudono il FLASH. Valgono sia che il volto in chiamata sia un filmato rubato sia che sia un deepfake, e la maggior parte non costa nulla.
- Entra con l’applicazione ufficiale di Zoom o Teams e con l’ID della riunione, senza cliccare un link verso una versione web, soprattutto se l’invito arriva da un contatto nuovo o sentito di rado.
- Tieni la fotocamera spenta finché non puoi vedere, sentire e parlare con la persona che ti ha invitato.
- Se una chiamata ti chiede di aggiornare qualcosa, non eseguire mai uno script e non incollare codice in un terminale. Aggiorna l’app separatamente, oppure entra dalla versione web ufficiale con l’ID della riunione.
- Controlla che gli inviti di calendario contengano un link video. Gli hacker spesso lo omettono e lo mandano a ridosso dell’orario, per esporre il meno possibile la propria infrastruttura.
- Conferma la riunione su un canale diverso da quello dell’invito: un messaggio o una telefonata, se l’invito è arrivato su Telegram.
- Proteggi Telegram, WhatsApp, Slack e gli altri messenger con l’autenticazione a più fattori, gli avvisi di accesso e i messaggi a scomparsa. Gli hacker prendono gli account accedendo da un altro dispositivo, cambiando il numero di recupero e chiudendo le tue sessioni.
- Tieni solo piccole somme nei wallet come estensione del browser. I saldi più grandi vanno su un dispositivo hardware separato e scollegato, oppure presso un exchange, e nessuna frase di recupero o chiave privata va conservata su un tuo dispositivo.
Per chi pensa di essere caduto nella trappola, l’ordine dell’FBI è chiaro. Prima si crea un nuovo wallet con una nuova seed phrase su un dispositivo mai usato per parlare con gli aggressori e vi si spostano i fondi; la vecchia frase va considerata copiata. Poi si cambiano le password, si chiudono tutte le sessioni attive e si aggiunge l’autenticazione a più fattori, anche sugli account di sviluppo. Si avvisano i contatti e, se sul dispositivo c’erano file di lavoro, il datore di lavoro. Si chiede alle piattaforme di chiudere o ripristinare gli account persi e si presenta una segnalazione su IC3.gov con la parola chiave “FaceStealer”.
La nostra guida su come conservare una seed phrase offline spiega perché una frase che ha toccato anche una sola volta un dispositivo connesso a internet va messa da parte, mentre quella su come evitare le truffe crypto passa in rassegna i segnali d’allarme e dove denunciare un furto.
Cosa non dice l’annuncio
I documenti pubblici lasciano diversi vuoti. Non indicano il tribunale che ha emesso il mandato, né i domini o i server messi fuori uso, né quanti fossero. Non danno il numero delle vittime che hanno perso denaro, le perdite per singola vittima né i nomi delle vittime. Non è nominato alcun imputato e per FaceStealer non risultano fondi sequestrati. La libreria JavaScript non è identificata.
Resta poco chiaro anche quante delle 900 persone registrate sappiano di essere state riprese. L’FBI chiede a chiunque sospetti una compromissione di segnalarla con la parola chiave FaceStealer. In passato la Corea del Nord ha respinto come provocazione politica le accuse americane di furti di crypto; alle 17:45 UTC del 13 novembre non risultava alcuna reazione di Pyongyang a questo annuncio, né nuovi dettagli ufficiali dopo il comunicato di giovedì.
Le prossime informazioni arriveranno probabilmente dalle società di sicurezza citate dall’FBI, i cui rapporti contengono gli indicatori tecnici, e da eventuali atti giudiziari nel Distretto Centrale della California. L’articolo sarà aggiornato se la libreria verrà nominata o se arriveranno incriminazioni.