FBI 称 FaceStealer 通过假视频会议窃取超过 4 亿美元加密资产
FBI 将 18 个月内超过 4 亿美元的盗窃归因于 FaceStealer。攻击者劫持通信账户，邀请联系人参加假会议，播放受害者的录像，并以修复故障为由诱导安装恶意软件。美国当局打击了相关云基础设施，并扣押了 900 多段视频。
- 披露时间
- 2026年11月12日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 通过遭劫持或被冒用的通信账户收到联系的加密资产和 Web3 从业者及开源维护者。
- social engineering · cryptocurrency · supply chain · malware
- 在野利用
- 已发现
- FBI 记录了多起盗窃和一起试图入侵软件供应链的事件。
发生了什么
FBI 将 FaceStealer 归因于也被称为 Sapphire Sleet、UNC1069 和 BlueNoroff 等名称的朝鲜攻击者。攻击者接管通信或社交账户，再通过 Telegram、LinkedIn、Slack 或 Discord 等服务联系受害者的熟人。他们可能先发送正规的日程邀请，临开会才发来假会议链接。仿冒会议可以录下新目标的摄像头画面，并播放先前受害者的真实录像。FBI 也记录了部分使用生成式深度伪造视频的情况。
攻击者声称目标的音频或软件出了故障，要求对方安装更新、运行脚本或将命令粘贴到终端。FBI 记录的恶意软件会窃取浏览器 Cookie、记录键盘输入和屏幕画面，并留下后门。部分盗窃和账户接管发生在最初入侵数月甚至一年多后。攻击者还能利用新受害者的联系人和录像继续行骗。
FBI 称 18 个月内被盗金额超过 4 亿美元，并扣押了 900 多段摄像头视频。这里统计的是录像数量。FBI 还披露一起维护者设备遭感染的事件，攻击者利用获得的权限为一个未具名的 JavaScript 库创建恶意依赖。FBI 称及时发现和处置阻止了攻击大范围扩散，并披露还有其他针对 npm 和 Rust 维护者的攻击。已披露的盗窃和攻击目标支持定为 L4。美国司法部于 11 月 12 日公布对云基础设施的打击行动，并在同一公告中通报了另一起 Binance 盗窃案。
案发时间线
2026年11月12日
FBI 披露 FaceStealer 细节，司法部公布打击行动
FBI 称 18 个月内被盗金额超过 4 亿美元，并扣押了 900 多段摄像头视频。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- FBI FLASH AC-111226-MS一手来源说明攻击活动、域名示例、对维护者的攻击及响应步骤。
- FBI FaceStealer resource hub一手来源概述攻击流程及 FBI 公布的数字。
- US Department of Justice announcement一手来源公布对攻击基础设施的打击，以及另一起 Binance 资产处置行动。