ФБР: кража криптовалюты может начаться за месяцы до вывода средств

ФБР 12 ноября выпустило предупреждение о схеме FaceStealer, связанной с Северной Кореей. Злоумышленники получают доступ к аккаунтам жертв в мессенджерах и с помощью поддельных видеозвонков заставляют новых людей установить вредоносное ПО. В ряде случаев хищение происходило через месяцы или даже больше года после заражения компьютера.

Сид-фраза позволяет восстановить приватные ключи от кошелька. Если её скопировали, владелец не теряет доступ — оба могут распоряжаться средствами одновременно. Блокчейн-эксплорер покажет депозиты и переводы, но не покажет, что ключи попали в чужие руки. Поэтому владелец спокойно пользуется кошельком, пока злоумышленник ждёт, когда баланс вырастет.

Атака начинается с захвата аккаунта предыдущей жертвы в мессенджере. От его имени хакеры пишут контактам о встрече, совместном проекте или инвестиционной возможности и присылают ссылку на фальшивый видеозвонок. Внутри запускают украденные записи с веб-камеры жертвы, чтобы создать видимость её присутствия, а затем просят собеседника что-то скачать или выполнить команду — так устанавливается вредоносное ПО. В ходе расследования власти изъяли более 900 украденных записей с веб-камер. По оценке ФБР, за 18 месяцев схема принесла хакерам более $400 млн в криптовалюте.

Удаление вредоносного ПО не возвращает контроль над скомпрометированным кошельком: сид-фраза, скопированная ранее, остаётся у злоумышленников. Разработчик кошелька Phantom советует переносить активы на новый кошелёк с новой сид-фразой и проверять все стейкинг-позиции, NFT и DeFi-активы перед переводом.

Эксперты рекомендуют заходить в видеозвонки только через официальное приложение, подтверждать неожиданные запросы через другой канал связи и не запускать команды, присланные в чате. Тем, кто ранее мог установить подозрительное «исправление», стоит проверить, какие кошельки и аккаунты были доступны с того устройства.