美国司法部于美国时间 2026 年 11 月 12 日宣布，已查封朝鲜黑客利用视频会议窃取加密货币的手法“FaceStealer”所使用的云端基础设施。据司法部介绍，该手法在过去 18 个月造成的损失超过 4 亿美元。司法部还在同一份公告中表示，在另一起案件中，法院已批准查封和冻结 10 月 29 日前后从加密货币交易所 Binance 被盗资产中的超过 12 亿美元。
本文依据美国司法部新闻稿“Justice Department Announces Actions to Disrupt North Korea's Massive Theft of Cryptocurrency”（新闻稿编号 26-1356，2026 年 11 月 12 日）撰写。
查封 FaceStealer 基础设施，并获取超过 900 段受害者视频
根据司法部的公告，FaceStealer 是一种社会工程学手法，攻击对象是加密货币持有者，以及从事开源软件供应链工作的人员。过去 18 个月被盗的加密货币超过 4 亿美元，此外还有黑客试图入侵开源开发相关人员的情况。
此次行动由加州中区联邦检察官办公室和 FBI 洛杉矶分局牵头，司法部刑事司、国家安全司以及哥伦比亚特区联邦检察官办公室也参与其中。FBI 还依据联邦搜查令，查获了超过 900 段 FaceStealer 受害者的摄像头视频。
利用熟人录像和虚假故障，诱使受害者安装恶意软件
公告介绍的手法流程如下：
- 黑客使用从此前受害者那里盗取的账户，邀请目标参加视频会议
- 目标加入后，黑客悄悄录下目标的摄像头画面，同时播放目标认识的此前受害者的预录视频，让目标以为自己正在和可信的人交谈
- 有时还会在会议中使用加密货币和 Web3 领域知名人士的深度伪造视频
- 制造“听不到对方声音”之类的虚假技术故障，并以修复为名提供链接或操作步骤。执行这一“修复”就会安装恶意软件
- 从被入侵的电脑中窃取加密货币，或以此为跳板入侵其他系统。也有在感染数月至一年多之后才发生窃取或账户被劫持的案例
黑客还会从被入侵的设备中读取通讯录、社交媒体和即时通讯应用的聊天内容。新受害者的摄像头画面，又成为欺骗下一个目标的素材。司法部在新闻稿中，将黑客用来制作知名人士深度伪造视频的技术称为“super intelligence（SI）”。
攻击者被称为“APT38”“BlueNoroff”等
司法部表示，实施 FaceStealer 的是以 Sapphire Sleet、UNC1069、Dangerous Password、CryptoCore、APT38、BlueNoroff、Stardust Chollima 等名称为人所知的朝鲜黑客。这些都是安全厂商等机构取的名称，司法部还指出，朝鲜政府通过窃取加密货币为政权筹集资金。
Binance 被盗资产中超过 12 亿美元被查封和冻结
同一份公告还提到了与 FaceStealer 无关的另一起事件：10 月 29 日前后，Binance 价值超过 60 亿美元的加密资产被盗。司法部认为，这是被 FBI 称为“TraderTraitor”的朝鲜军方人员所为。在被盗资产中，超过 12 亿美元已经法院批准被查封或冻结，政府和民间的冻结金额合计超过 27 亿美元。
FBI 发布防范报告并开设专门页面
FBI 此次发布了汇总防范措施和受害后处理步骤的报告，并开设了集中介绍 FaceStealer 信息的专门页面。这一手法的入口是视频会议邀请，而邀请来自此前受害者被盗的真实账户。即便发送者的名字和面孔属于熟人，仅凭这一点也不能认定安全。
笔者观点
笔者认为，这一手法的棘手之处不在于深度伪造的逼真程度，而在于它利用了熟人的真实账户和真实录像。看到对方的脸、听到对方的声音就放心，这种传统的确认方式已经不太可靠。如果在会议中被要求“听不到你的声音，请安装这个工具”，比较现实的做法是先退出会议，再通过电话等其他渠道向本人核实。
在日本，同样有不少加密货币持有者、Web3 企业员工和开源开发者，都可能成为这一手法的目标。考虑到从感染到实际被盗可能相隔一年以上，如果记得曾在可疑的视频会议中安装过什么，不妨考虑对自己的设备进行检查。
总结
美国司法部宣布查封朝鲜黑客利用视频会议窃取加密货币的手法“FaceStealer”的基础设施，并表示过去 18 个月的损失超过 4 亿美元。该手法的特点是结合熟人录像、深度伪造视频和虚假技术故障，诱使受害者安装恶意软件。在另一起 Binance 被盗案中，法院已批准查封和冻结超过 12 亿美元的资产。
