قراصنة كوريا الشمالية سرقوا أكثر من 400 مليون دولار عبر حملة FaceStealer
الحقائق الرئيسية
قال مكتب التحقيقات الفيدرالي الأمريكي إن حملة FaceStealer المرتبطة بقراصنة من كوريا الشمالية استهدفت العاملين في قطاعي العملات المشفرة وWeb3، وأسفرت عن سرقة أكثر من 400 مليون دولار خلال الأشهر الثمانية عشر السابقة. وأعلنت وزارة العدل الأمريكية في 12 نوفمبر 2026 إجراءات منسقة ضد مخططات كورية شمالية، شملت مصادرة بنية تحتية سحابية استُخدمت في الحملة. وتعكس القضية اعتماد المهاجمين على استدراج مهنيين عبر قنوات اتصال تبدو مألوفة، قبل تثبيت برمجيات خبيثة على أجهزتهم. وقالت الوزارة إن الحملة نفذت عبر الهندسة الاجتماعية، فيما أشار تحذير FBI إلى استخدام مقاطع فيديو مسروقة وأحياناً مقاطع مزيفة بالذكاء الاصطناعي. ويجمع الإعلان بين تعطيل جزء من البنية التشغيلية للمخطط والتحذير من أساليب تستهدف الأفراد وشبكاتهم المهنية.
بحسب وزارة العدل، تبدأ بعض محاولات الاستدراج بدعوات إلى اجتماعات فيديو تُرسل من حسابات سُرقت من ضحايا سابقين. وخلال الاجتماع، ينتحل المهاجمون أشخاصاً يعرفهم الهدف، ثم يختلقون عطلاً تقنياً في الصوت أو الفيديو ويعرضون رابطاً أو مطالبة لإصلاحه. لكن «الإصلاح» يثبت سراً برمجية خبيثة على جهاز المستهدف، بدلاً من معالجة مشكلة الاتصال. وقال FBI إن المحتالين يستخدمون أحياناً مقاطع مزيفة بالذكاء الاصطناعي لشخصيات معروفة في قطاعي العملات المشفرة وWeb3، ما يوسع خيارات الاستهداف. ومع ذلك، تظل الحملة معتمدة أساساً على مقاطع حقيقية مسروقة من ضحايا، وفق تحذير المكتب.
ولا يقتصر الخطر على سرقة الأصول فور اختراق الجهاز. ففي حالات أُبلغ عنها، قال مسؤولو الوزارة إن العملات المشفرة سُرقت وحسابات الاتصال اختُطفت بعد أشهر من الاختراق الأولي، وأحياناً بعد أكثر من عام. وبعد السيطرة على الحسابات، استخدم المهاجمون قوائم اتصال الضحايا للوصول إلى معارفهم واستهدافهم بدورهم. وذكر FBI أن جهات التهديد استخدمت حسابات جديدة أو مخترقة على Telegram وLinkedIn وSlack وDiscord لبدء التواصل مع أهدافها. ويوسع هذا الأسلوب دائرة الاستهداف من صاحب المحفظة إلى زملائه ومعارفه، مستفيداً من الثقة التي توحي بها الحسابات المعروفة.
وامتد الاستهداف إلى مطوري البرمجيات مفتوحة المصدر والقائمين على صيانتها، في محاولة للوصول إلى أجهزتهم وحساباتهم في مستودعات البرمجيات تمهيداً لهجمات على سلسلة التوريد. وقال FBI إن المهاجمين حاولوا استغلال صلاحيات صيانة لإضافة تبعيات خبيثة إلى مكتبة JavaScript تتلقى عشرات الملايين من التنزيلات أسبوعياً. وأُحبطت المحاولة بعد اكتشاف الاختراق والاستجابة له، بحسب المكتب. وأضاف التحذير أن الهجوم الفاشل كان يمكن أن يؤدي، لولا سرعة اكتشافه والتعامل معه، إلى «إصابة أعداد كبيرة جداً من الضحايا». وتُظهر هذه الواقعة كيف يمكن لاختراق حساب مطور واحد أن يفتح مساراً للوصول إلى مستخدمي برنامج واسع الانتشار.
وقال FBI إنه حدد وصادر أكثر من 900 مقطع فيديو مسروق من كاميرات الضحايا. وتُظهر هذه المقاطع جانباً من المواد التي يقول المكتب إن المهاجمين استغلوها لانتحال أشخاص موثوقين خلال اجتماعات الفيديو. ووردت في إعلان وزارة العدل أسماء متعددة لمجموعات أو جهات تهديد مرتبطة بهذه الأنشطة، بينها Sapphire Sleet وUNC1069 وDangerous Password وCryptoCore وAPT38 وBlueNoroff وStardust Chollima. وقال مسؤول في FBI إن النظام الكوري الشمالي يعتمد على عائدات سرقة العملات المشفرة لتمويل برنامجه غير المشروع للأسلحة. ولم تذكر الوزارة أن هذه الأموال مرتبطة بشخص بعينه؛ بل وصفتها بأنها تمول النظام وبرنامجه للأسلحة.
ويأتي التحذير ضمن نمط أوسع من سرقات العملات المشفرة المنسوبة إلى قراصنة كوريا الشمالية. فقد قال تقرير Chainalysis إنهم سرقوا ما لا يقل عن 2.02 مليار دولار خلال 2025، بزيادة 51% على أساس سنوي، رغم تراجع العدد المقدّر للهجمات. ورفع ذلك التقدير التراكمي الأدنى للأموال المسروقة المنسوبة إلى كوريا الشمالية إلى 6.75 مليار دولار بنهاية 2025. وفي إعلان منفصل في 12 نوفمبر 2026، قالت وزارة العدل إنها حصلت على إذن قضائي لمصادرة أو تقييد استخدام أكثر من 1.2 مليار دولار من الأموال المسروقة من Binance؛ وقدّر تقرير لوكالة أسوشيتد برس قيمة السرقة الأصلية بنحو 6.3 مليار دولار. وتُعد قضية Binance منفصلة عن حملة FaceStealer، وإن كان الإعلانان يسلطان الضوء على إجراءات أمريكية ضد أموال مرتبطة بسرقات مختلفة.
ونشر FBI إرشادات للحد من مخاطر الاستدراج، داعياً المشاركين في اجتماعات الفيديو إلى استخدام التطبيق الرسمي ورمز الدعوة بدلاً من الضغط على روابط للانضمام إلى نسخ الويب. كما أوصى بعدم تشغيل نصوص أو لصق أوامر في الطرفية لتثبيت تحديث يطلبه شخص خلال اجتماع فيديو. ولمن يشتبه في تعرضه للاختراق، أوصى المكتب بنقل الأصول المشفرة إلى محفظة جديدة بعبارات استرداد جديدة، على جهاز لم يُستخدم للتواصل مع المهاجمين. وشملت الإرشادات تأمين الحسابات وإبلاغ جهات الاتصال، في ضوء احتمال استخدام قوائم الضحايا لاستهداف أشخاص آخرين. وقالت Chainalysis إنها ستواصل خلال الأسابيع التالية تتبع الأموال المسروقة المرتبطة بقضية Bitget، ووسم عناوين جديدة والتنسيق مع منصات التداول ومصدري العملات والجهات القانونية لتعطيل حركة الأموال.