أمريكا تعطل بنية FaceStealer بعد سرقة أكثر من 400 مليون دولار خلال 18 شهراً
الحقائق الرئيسية
أعلنت وزارة العدل الأمريكية في 12 نوفمبر 2026 تعطيل بنية سحابية استخدمها مخطط FaceStealer الكوري الشمالي، فيما قال مكتب التحقيقات الفيدرالي إن الحملة أدت إلى سرقة أكثر من 400 مليون دولار من العملات المشفرة خلال الأشهر الـ18 السابقة. وصادر المكتب، بموجب مذكرة اتحادية، أكثر من 900 تسجيل مصور بكاميرات الويب لضحايا المخطط، وفق الوزارة. واستهدف المشغلون حاملي العملات المشفرة ومطوري البرمجيات مفتوحة المصدر والقائمين على صيانتها، بحسب بيان الوزارة. وقالت الوزارة إن عائدات سرقات العملات المشفرة واسعة النطاق تمول برنامج كوريا الشمالية غير المشروع للأسلحة. وتُظهر تفاصيل القضية أن الاستهداف لم يقتصر على سرقة أموال مباشرة، بل شمل محاولات للوصول إلى حسابات مطوري البرمجيات وسلسلة توريدها.
بدأت إحدى طرق الاحتيال باختراق حسابات مراسلة، ثم إرسال دعوات إلى أهداف لحضور اجتماعات وهمية عبر زوم أو تيمز. وخلال الاجتماع، كان المخترق يشغّل تسجيل كاميرا ويب محفوظاً لضحية سابقة، بحسب وصف مكتب التحقيقات الفيدرالي. وبعد ذلك، كان المشغلون يدفعون الهدف إلى تثبيت برمجية ضارة على أنها حل تقني لمشكلة ما، وفق تنبيه مركز شكاوى جرائم الإنترنت التابع للمكتب. وقال المركز إن اختراق جهاز الهدف يتيح للمهاجمين سرقة العملات المشفرة أو استغلال صلاحية الوصول إلى بنية حاسوبية أخرى. وفي بعض الحالات، لم تقع السرقة أو السيطرة على حسابات الاتصال إلا بعد أشهر، أو بعد أكثر من عام على الاختراق الأول، بحسب وزارة العدل.
وامتدت محاولات FaceStealer إلى مطوري البرمجيات ومشغلي المستودعات، في مسعى للوصول إلى حساباتهم وإحداث اختراق في سلسلة توريد البرمجيات، وفق مكتب التحقيقات الفيدرالي. وشملت إحدى المحاولات استهداف مكتبة جافاسكريبت عبر تبعيات خبيثة، بحسب التنبيه. وقال المكتب إن المكتبة المستهدفة تتلقى عشرات الملايين من التنزيلات أسبوعياً، ما يوضح نطاق المستخدمين الذين قد يتأثرون إذا نجح اختراق سلسلة التوريد. ويمنح حساب المطور الموثوق المهاجم مدخلاً محتملاً إلى البرمجيات التي يعتمد عليها المستخدمون، وفق وصف المكتب لطبيعة محاولة الاختراق. وبذلك جمعت الحملة بين الهندسة الاجتماعية واستهداف بنية تطوير البرمجيات، إلى جانب استهداف حاملي الأصول الرقمية.
وقال مكتب التحقيقات الفيدرالي إن مشغلي المخطط بدأوا أيضاً استخدام مقاطع مزيفة مولدة بالذكاء الاصطناعي لشخصيات معروفة في مجالي العملات المشفرة وويب 3. لكنه أوضح أن الحملة ما زالت تعتمد في الغالب على مقاطع حقيقية مسروقة من ضحايا، لا على التزييف العميق. وأشار تنبيه المكتب إلى أن تسجيلات الضحايا تُستخدم أثناء الاجتماعات الوهمية لإضفاء المصداقية على التواصل مع الأهداف. ويعني ذلك أن الفيديو المزيف ليس الوسيلة الأساسية التي نسبها المكتب إلى FaceStealer، رغم دخول المقاطع المولدة بالذكاء الاصطناعي ضمن أساليب المشغلين. ونسب المكتب النشاط إلى مجموعة كورية شمالية تُعرف في القطاع الخاص بأسماء منها Sapphire Sleet وUNC1069 وStardust Chollima وAPT38 وBlueNoroff.
وفصلت وزارة العدل بين FaceStealer وسرقة منصة باينانس، التي نسبتها إلى عناصر كورية شمالية تعرف باسم TraderTraitor. وقالت الوزارة إن هؤلاء سرقوا أصولاً افتراضية تزيد قيمتها على 6 مليارات دولار من المنصة في 29 أكتوبر أو قرب ذلك التاريخ. وأضافت أن جهوداً حكومية وخاصة جمدت أكثر من 2.7 مليار دولار من الأموال المسروقة، وأن المحاكم أجازت مصادرة أو تقييد أصول تتجاوز قيمتها 1.2 مليار دولار من ذلك المبلغ. وهذه الأرقام تخص ملف باينانس المنفصل، ولا تدخل ضمن مبلغ السرقة الذي نسبه مكتب التحقيقات الفيدرالي إلى FaceStealer. وكانت الوزارة قد قالت إن متسللي باينانس يواصلون غسل الأموال عبر جسور العملات المشفرة والخلاطات والمنصات، بينما تستمر جهود تعقب الأصول وتجميدها ومصادرتها وملاحقتها قانونياً.
وتضع تقديرات Chainalysis القضية ضمن موجة أوسع من سرقات العملات المشفرة المنسوبة إلى كوريا الشمالية. فقد قدرت الشركة أن قراصنة مرتبطين بالبلاد سرقوا ما لا يقل عن 2.02 مليار دولار خلال 2025، بزيادة 681 مليون دولار عن 2024، أو 51% على أساس سنوي. وقالت إن الهجمات المرتبطة بكوريا الشمالية شكلت حصة قياسية بلغت 76% من اختراقات الخدمات في 2025. وفي تنبيه منفصل بتاريخ 31 أكتوبر 2026، دعا مكتب التحقيقات الفيدرالي مزودي خدمات الأصول الافتراضية وغيرهم في القطاع إلى حظر المعاملات المرتبطة بالعناوين التي استخدمها TraderTraitor. وتواصل وزارة العدل متابعة أصول ملف باينانس، بينما أعلن مكتب التحقيقات الفيدرالي تعطيل البنية السحابية المستخدمة في FaceStealer.