In de afgelopen achttien maanden heeft een netwerk van door de Noord-Koreaanse staat gesteunde hackers een som van meer dan $400 miljoen (rond de 350 miljoen euro) aan cryptovaluta weten af te troggelen. De Amerikaanse opsporingsdienst heeft de operatie een eigen naam gegeven: FaceStealer. Het project bestond uit een reeks ingenieuze phishing-aanvallen die zich vermomden als gewone videogesprekken, maar in werkelijkheid een volledig geautomatiseerde valsteen vormden.
Hoe de nep-videogesprekken werken
De misdadigers beginnen met het kapen van accounts van bekenden op platforms als Telegram, LinkedIn, Slack en Discord. Via deze gecompromitteerde profielen sturen ze een uitnodiging voor een video-call. De link leidt echter niet naar legitieme diensten zoals Zoom, Microsoft Teams of Google Meet, maar naar klonen die op kwaadaardige domeinen worden gehost. Op die pagina wordt een vooraf opgenomen deepfake-video afgespeeld waarin het gezicht van de vertrouwde contactpersoon te zien is, soms aangevuld met kunstmatig gegenereerde stemfragmenten. Wanneer het slachtoffer meldt dat er geen geluid is, verschijnt er een foutmelding met een link of script dat zogenaamd het probleem moet oplossen.
Technische trapladder
Door op de aangeleverde link te klikken, installeert het slachtoffer onbewust een pakket met keyloggers, een schermopnemer en een zogenaamde backdoor. Deze software geeft de aanvallers volledige toegang tot de computer, waardoor ze wachtwoorden, e-mailaccounts en, vooral, cryptowallet-adressen kunnen uitlezen. Tegelijkertijd activeert de kwaadaardige code de webcam, die het slachtoffer filmt. De beelden worden opgeslagen en later opnieuw gebruikt om andere contacten te misleiden, waardoor een kettingreactie van frauduleuze video-calls ontstaat.
Doelwitten, schaal en financiële impact
De dubbelle informatie-stroom richt zich primair op personeel uit de crypto- en web3-sector, maar ook op beheerders van opensourcesoftware. In sommige gevallen wachtte de hacker tot een wallet-saldo aanzienlijk was gegroeid, soms meer dan een jaar, voordat hij toesloeg. De FBI heeft meer dan 900 video-opnames van slachtoffers in beslag genomen. De totale gestolen waarde van $400 miljoen is een van de grootste digitale diefstallen in de geschiedenis van cryptobedreigingen.
Reactie van de FBI en het FaceStealer-onderzoek
Onder een federaal bevel heeft de federale politie de servers, domeinen en meer dan 1,2 miljard dollar aan bevroren crypto-activa rond de Binance-inbraak veiliggesteld. De operatie werd gekoppeld aan bekende Noord-Koreaanse groepen, waaronder Sapphire Sleet, BlueNoroff en APT38. Volgens de directeur van het FBI-kantoor in Los Angeles maakt deze tactiek gebruik van het vertrouwen dat mensen hebben in alomtegenwoordige video-platforms en in hun persoonlijke netwerken. De dienst raadt aan om nooit code van onbekende bronnen te plakken en om eerst de webcam van de tegenpartij te verifiëren voordat men zich verbindt.
Verband met de Binance-inbraak en bredere impact
Terwijl het FaceStealer-onderzoek nog loopt, heeft de FBI recent een update gegeven over een afzonderlijke aanval op het grote cryptoplatform Binance. Op 29 oktober 2026 werd er een bedrag van ruim 6 miljard dollar gestolen, een aanval die wordt toegeschreven aan de Noord-Koreaanse groep TraderTraitor. Tot nu toe is meer dan 2,7 miljard dollar bevroren, en een rechterlijk bevel heeft de autoriteiten het mogelijk gemaakt om 1,2 miljard dollar definitief in beslag te nemen. Noord-Korea ontkent elke betrokkenheid en bestempelt de beschuldigingen als politieke provocatie, terwijl Amerikaanse analisten stellen dat de buit een belangrijke bron van financiering vormt voor het regime’s wapenprogramma.
De gecombineerde bevindingen laten zien hoe geavanceerd en gedisciplineerd de cyber-capaciteiten van de Koreaanse staat zijn. Door traditionele beveiligingsmaatregelen te omzeilen en emotionele vertrouwensbanden te exploiteren, hebben ze een enorme som geld weten te liquideren, zonder dat veel slachtoffers zich bewust waren van de onderliggende dreiging.
