FBI破获朝鲜黑客网络，冻结超12亿美元币安被盗资产

美国**部于11月12日宣布，联邦调查局（FBI）成功阻断一起由朝鲜黑客组织实施的长期加密货币窃取行动。该行动通过伪装成可信联系人，在18个月内累计造成超过4亿美元的数字资产损失。此次行动代号为“FaceStealer”，攻击者利用被入侵的通信账户、秘密录制的视频以及人工智能生成的深度**内容，诱导受害者参与虚假视频会议并安装恶意软件。

执法部门查封了支撑该活动的云服务器基础设施，并没收了超过900段受害者的视频资料。值得注意的是，此次行动与10月29日发生的币安黑客事件属独立案件，后者导致超过60亿美元资产被盗，相关资金已被追查并冻结。

FaceStealer如何利用视频会议实施**？

不同于传统钓鱼邮件，FaceStealer依赖的是对人际关系的信任漏洞。攻击者先控制目标的通讯账号，再以合法名义邀请其同事加入看似正常的商业会议。在会议中，他们播放预先录制的目标熟人影像，制造出真实参与的假象。与此同时，新受害者被实时录下，用于后续冒充素材。

这些会议通常伪装成Zoom、Microsoft Teams或Google Meet等主流平台。当出现音频异常时，攻击者会引导用户点击链接或下载修复程序，从而植入恶意代码。一旦得手，攻击者可窃取加密资产、接管账户或渗透企业系统。部分行为甚至在初始感染后数月才被触发。

**部披露，该活动关联多个威胁标识，包括Sapphire Sleet、UNC1069、BlueNoroff、CryptoCore和Stardust Chollima。这些名称代表重叠情报线索，而非独立组织。

为何开发者也成为攻击目标？

调查发现，攻击范围已从普通持币者扩展至开源项目维护者。黑客试图入侵开发者的设备及代码仓库账户，以实现对广泛使用的软件进行篡改，进而发动供应链攻击。虽然目前未确认已有软件包被污染，但此类行为已构成严重潜在威胁。

使用深度**视频提升欺诈可信度已成为新趋势。调查人员指出，攻击者已制作知名行业人士的**影像，使对话更具迷惑性。类似手法也出现在其他朝鲜关联的招聘诱骗活动中，涉及超过3,100个不同**的IP地址。

币安事件与FaceStealer有何区别？

币安事件归因于名为TraderTraitor的另一黑客组织，其通过被入侵的工程系统和虚假招聘流程获取内部权限，**导致客户资产大规模流失。根据**部信息，政府与私营机构合作已冻结总额超27亿美元资金，其中法院授权扣押或冻结的部分达12亿美元。

需注意，这12亿美元是整体冻结金额的一部分，并非额外追回。资产冻结不等于没收或返还，追踪仍面临挑战，尤其涉及区块链桥接器、混合器和去**化交易所等复杂路径。此前分析显示，攻击者曾利用新创**和流动性池掩盖资金流向。

相比之下，对于FaceStealer案件，**部未公布具体追回金额或赔偿安排，仅强调中断行动本身具有预防意义。

FBI行动对行业安全意味着什么？

尽管基础设施已被查封，但**部尚未确认所有攻击者身份，也无法保证被入侵设备已****风险。由于部分攻击具有延迟性，早期感染的系统可能仍在持续**于监控之下。

FBI已发布技术指南，建议企业加强异常会议请求的验证机制，限制非必要软件安装权限，并将日常办公设备与客户资产访问系统隔离。

投资者应如何应对？

FaceStealer造成的4亿美元损失是18个月内的累计数据，而非本次执法行动所追回的资金。这一区别至关重要：中断攻击链能防止未来损失，但无法保证历史被盗资产能够被追回或补偿。