# FaceStealer, la red norcoreana de estafas con deepfakes y cripto > El DOJ desmonta la infraestructura de FaceStealer, con 400 millones robados en 18 meses y 900 vídeos de webcam incautados a la red norcoreana. > Por José Maldonado · Ciberseguridad · 2026-11-13 Una invitación a una videollamada desde la cuenta de un colega abre la puerta. Al otro lado no hay nadie: hay un vídeo grabado de ese colega, reproducido en directo para simular que está presente. Ese es el mecanismo de FaceStealer, la campaña que el Departamento de Justicia de Estados Unidos intervino el pasado 12 de noviembre de 2026 y que ha robado más de 400 millones de dólares en 18 meses, de acuerdo con el [comunicado oficial del departamento](https://www.justice.gov/opa/pr/justice-department-announces-actions-disrupt-north-koreas-massive-theft-cryptocurrency). La operación tuvo dos frentes separados. Uno, la incautación de la infraestructura en la nube que sostenía la campaña, anunciada por la fiscalía federal del Distrito Central de California junto al FBI. Otro, la autorización judicial para incautar o retener más de 1.200 millones de dólares robados a Binance el 29 de octubre de 2026, dentro de un total superior a 2.700 millones congelados entre autoridades y empresas privadas. El botín de Binance ya tiene su propio relato y no es la noticia de esta semana. Lo nuevo es el método: el FBI incautó más de 900 vídeos de webcam de víctimas de la campaña, material que la red reutilizaba después para suplantar a esas personas ante sus contactos. Y los objetivos han dejado de ser solo inversores con monedero: cada vez más son desarrolladores de software libre, la vía más corta hacia un ataque a la cadena de suministro. ## Un esquema con siete nombres en la lista El Departamento de Justicia enumera siete alias públicos para el mismo equipo: Sapphire Sleet y UNC1069; Dangerous Password y CryptoCore; APT38, BlueNoroff y Stardust Chollima. Tanta etiqueta no indica siete bandas distintas, sino siete bautizos de proveedores que detectaron la misma actividad desde ángulos diferentes. La [ficha del FBI sobre el esquema](https://www.fbi.gov/investigate/cyber/facestealer-cryptocurrency-theft-scheme) recorta la lista a cinco de esos nombres y añade un detalle que el comunicado no subraya: los atacantes también montan copias falsas de plataformas de videoconferencia populares. El vector, entonces, no es solo la cuenta robada, sino el programa que la víctima cree estar usando mientras comparte pantalla. Cifra Qué mide Origen 400 millones de dólares Robado con FaceStealer en 18 meses DOJ y FBI 900 vídeos Grabaciones de webcam incautadas por el FBI DOJ 1.200 millones Incautados o retenidos por orden judicial del robo a Binance DOJ 2.700 millones Congelados entre autoridades y sector privado DOJ 6.000 millones Robados a Binance el 29 de octubre de 2026 DOJ Las primeras filas describen la campaña de ingeniería social y la respuesta policial; la última explica por qué la operación se confundió con el caso Binance. ## La llamada en la que tú no eres quien habla El guion del fraude empieza con una cuenta comprometida días o meses antes. Desde ella sale la invitación al objetivo, que reconoce el nombre y acepta. Dentro de la reunión, los atacantes reproducen un vídeo grabado de una víctima anterior conocida por el objetivo y graban su webcam, de modo que en la siguiente ronda la cara que aparece en pantalla es la suya. Dos recursos aceleran el engaño. El primero son los vídeos de figuras influyentes del sector generados con IA, la técnica que el DOJ llama superinteligencia y que sirve para dar credibilidad a la reunión. El segundo es una avería fingida: los atacantes dicen que no se oye al objetivo y le pasan un enlace con el que arreglarlo. Ese enlace es el malware. Con el equipo comprometido, la red puede vaciar monederos o usar el acceso de la víctima a otras cuentas, y en varios casos lo hizo entre varios meses y más de un año después del primer contacto, cuando la llamada ya se había olvidado. ## ¿Por qué la videollamada vence al correo? Un correo de phishing se juzga en dos segundos por la dirección del remitente y la ortografía. Una videollamada se juzga por la cara y la voz de alguien en quien ya confías, y esos dos indicadores son justo los que la campaña falsifica. El deepfake no necesita ser perfecto porque la conversación no se graba ni se revisa. La parte técnica de FaceStealer es la más barata del ataque. Grabar la webcam de una víctima, guardar el vídeo y reproducirlo en la siguiente reunión requiere almacenamiento y algo de coordinación, no un exploit de día cero. El gasto real está en conseguir cuentas de gente con reputación, y esa parte se resuelve con paciencia. ### Del monedero al repositorio El objetivo clásico son personas con criptoactivos en el móvil o en la extensión del navegador. El cambio de 2026 tiene otra naturaleza: el FBI documenta que los atacantes apuntan a quienes desarrollan y mantienen software de código abierto, para entrar en sus equipos y en las cuentas que controlan sus repositorios. La lógica del salto es sencilla y poco tranquilizadora. Un mantenedor con permiso de escritura sobre una biblioteca popular entrega, sin saberlo, una vía para distribuir código malicioso entre miles de proyectos que confían en esa dependencia. El [repaso del botín de Binance](https://observatorioblockchain.com/ciberseguridad/fbi-robo-binance-corea-del-norte/) ya mostró la capacidad del grupo para esperar meses dentro de una red comprometida. Para el ecosistema cripto el problema es doble, porque buena parte de sus monederos, nodos y librerías dependen de paquetes mantenidos por voluntarios. Una cuenta de repositorio robada vale más que una cartera con saldo: la cartera se vacía una vez, la cuenta se usa cada vez que alguien actualiza. ## Los 1.200 millones son contexto, no la noticia La segunda acción del 12 de noviembre es la incautación y la retención de activos del robo a Binance, cifrado en más de 6.000 millones de dólares y atribuido a TraderTraitor, el brazo del mismo aparato estatal. La congelación conjunta supera los 2.700 millones y la operación judicial cubre más de 1.200 millones de ese total. Ambas medidas se presentaron como acciones coordinadas contra la financiación del régimen, no como dos casos separados, y el relato de la operación contra FaceStealer y Binance las recoge en el mismo anuncio del 12 de noviembre. El dinero no se queda quieto. El departamento describe un blanqueo en curso con puentes, mezcladores e intercambios. La semana pasada, el FBI y el Servicio Secreto, junto a la unidad de investigación fiscal, emitieron un aviso para que los proveedores de servicios de activos virtuales bloqueen las direcciones vinculadas al botín. La [cronología del robo de 6.300 millones](https://observatorioblockchain.com/ciberseguridad/binance-robo-6300-millones-trm-lazarus/) ayuda a situar los números que hoy maneja la fiscalía y el tamaño de lo que queda por delante. Sin la cooperación de los intercambios, una orden judicial sobre direcciones concretas sirve de poco más que un gesto. El negocio de la red tiene dos patas que se retroalimentan. Una es el robo de carteras individuales por ingeniería social, con cantidades medianas y miles de víctimas. Otra es el asalto a plataformas grandes, que financia el aparato y necesita meses de blanqueo antes de tocar el sistema financiero. ## La confianza no se parchea El consejo del FBI es razonable y llega tarde: desconfiar de reuniones que nadie convocó, verificar por un segundo canal y no instalar nada que llegue por enlace mientras dura una llamada. Ese hábito protege a un inversor particular y no escala a un mantenedor que recibe diez peticiones al día de gente que conoce de vista. Lo que cambia con la operación es el coste para la red. Perder la infraestructura y ver publicados 900 vídeos obliga a reconstruir logística y a quemar cuentas robadas, aunque la [maquinaria de blanqueo con memecoins y puentes](https://observatorioblockchain.com/ciberseguridad/memecoins-usar-tirar-blanquear-botin-binance/) siga funcionando con la misma paciencia. La parte barata del fraude es grabar a alguien; la cara es montar la siguiente tapadera. La incautación no cierra el caso, y ahí está la incomodidad para cualquiera que mantenga una biblioteca abierta. Si un contacto real te invita a una videollamada con su cara y su voz, la pregunta ya no es si el vídeo es auténtico, sino qué compruebas por otra vía antes de instalar lo que te pide.