米司法省（DOJ）は、北朝鮮が数十億ドル相当の暗号資産を盗むために用いたインフラや資産の掌握を強化していると発表した。特に、盗難に用いられた「FaceStealer」と呼ばれる手口のクラウドインフラ押収や、Binanceへの攻撃で盗まれた暗号資産約12億ドルの差し押さえ承認が含まれている。
この差し押さえ承認は、10月29日にBinanceから盗まれた60億ドル超のうち、27億ドル超の凍結に繋がった米当局と民間企業の協力による包括的な対策の一環である。FBIは同攻撃を、北朝鮮軍関係のハッキング組織「TraderTraitor」の仕業と判断している。
DOJによれば、捜査当局はブロックチェーンのブリッジやミキサー、取引所を通じて移動する盗難資産の追跡を継続し、さらなる資金凍結・回収を目指している。
国家安全保障担当の首席次官補代理、M. Scott Proctor氏は声明で「北朝鮮政府は暗号資産窃盗により、自らのならず者体制と違法な兵器計画に資金を供給している」と述べ、「今回の発表は米国がこの腐敗した政権のサイバー犯罪収益に断固として対抗する姿勢を示している。国家安全保障局はあらゆる手段を駆使し、北朝鮮の不正利益を押収し返還する」と強調した。
また、連邦捜査官はFaceStealerキャンペーンで使用されたクラウドインフラを押収したとし、FBIは過去18カ月間で4億ドル超の暗号資産がこの手口で盗まれたと説明している。
FaceStealerの手口は、ZoomやMicrosoft Teamsの偽ビデオ会議を用い、被害者にマルウェアをインストールさせるものだ。ハッカーは過去の被害者のウェブカメラ映像を使い信頼できる連絡相手を装い、近年はAI生成のディープフェイク動画も活用している。
被害者が不正会議に参加すると、技術問題を装ってソフトウェアのインストールやコマンド実行を指示し、その結果マルウェアが導入されて暗号資産が盗まれ、攻撃者に他システムへのアクセス権を与えてしまう。
FBIは攻撃者が収集したウェブカメラ映像900本超を押収したと報告している。また、攻撃対象には広く使われているオープンソースソフトウェアの開発者も含まれており、FBIは開発者が侵害されるとハッカーがアクセス権を得る危険性を指摘した。