FaceStealer: Nordkoreanische Hacker erbeuten über 400 Millionen Dollar

US-Sicherheitsbehörden haben ein großangelegtes Social-Engineering-Netzwerk aufgedeckt, über das nordkoreanische Hacker mehr als 400 Millionen US-Dollar in Kryptowährungen erbeutet haben.

Nach Angaben des US-Justizministeriums und der Bundespolizei FBI nutzten staatlich unterstützte Akteure eine Kampagne namens FaceStealer, um Krypto- und Web3-Akteure über manipulierte Videokonferenzen anzugreifen. Innerhalb von 18 Monaten summierten sich die Verluste demnach auf über 400 Millionen US-Dollar beziehungsweise umgerechnet rund 361 Millionen Euro.

Das FBI und das US-Justizministerium konnten die cloudbasierte Infrastruktur der Kampagne stören. Wie die Ermittler am 12. November 2026 bekanntgaben, wurden im Rahmen des Zugriffs über 900 heimlich aufgezeichnete Webcam-Videos von weltweiten Opfern beschlagnahmt.

Mindestens 900 Personen seien von Identitätsmissbrauch betroffen. Die Aktivitäten werden Bedrohungsgruppen wie Sapphire Sleet/UNC1069, BlueNoroff, APT38 und Stardust Chollima zugeschrieben.

Die Angreifer übernahmen zunächst Konten früherer Opfer auf Plattformen wie Telegram, LinkedIn, Slack und Discord. Anschließend verschickten sie über den Terminierungsdienst Calendly Einladungen zu angeblichen Videogesprächen via Zoom, Microsoft Teams oder Google Meet. Die Links führten jedoch auf nachgeahmte Web-Adressen wie uu01webzoom[.]us.

Traten die Zielpersonen dem Gespräch bei, spielten die Angreifer ein zuvor aufgezeichnetes Webcam-Video des tatsächlichen Kontakts ab. Über die integrierte Chatfunktion meldeten die Kriminellen ein vermeintliches Tonproblem und forderten das Gegenüber auf, ein Skript zur Fehlerbehebung auszuführen.

Hinter dieser Datei verbarg sich Schadsoftware, die Keylogger, Cookie-Diebstahl, Bildschirmaufnahmen und Hintertüren umfasste. Damit erhielten die Akteure Zugriff auf die betroffenen Computer, Krypto-Bestände und Social-Media-Konten. Zunehmend setzen die Hacker laut Ermittlungsberichten auch auf KI-Deepfakes bekannter Branchenpersönlichkeiten.

In mehreren Fällen griffen die Täter nicht sofort zu, sondern warteten Monate bis über ein Jahr, bis die Guthaben in den Krypto-Wallets weiter angewachsen waren. Zu den Opfern zählten erfahrene Web3-Führungskräfte, Software-Entwickler und Cybersicherheitsexperten. Justin Moore vom Sicherheitsunternehmen Arctic Wolf identifizierte über 677 Angriffsziele in 58 Ländern.

Zunehmend visieren die Angreifer auch Verwalter von Open-Source-Projekten an. Insbesondere Maintainer der Paketverwaltungen npm und Rust-Crates gerieten ins Visier. Patrick Grandy, Assistant Director in Charge des FBI Los Angeles, und Special Agent Jeremy Robertson warnten am 12. November 2026 vor den Risiken für die globale Lieferkette.

Ein Maintainer einer weitverbreiteten JavaScript-Bibliothek mit zweistelligen Millionen-Downloadzahlen pro Woche war bereits in ein gefälschtes Microsoft-Teams-Meeting gelockt und infiziert worden; dieser Vorfall konnte jedoch gestoppt werden.

Brett Leatherman, Cyber-Direktor beim FBI, betonte am 12. November 2026, dass Nordkorea mit den Diebstählen sein staatliches Waffenprogramm finanziere. Parallel zu diesen Maßnahmen erhielt das US-Justizministerium gerichtliche Genehmigungen zur Beschlagnahme von über 1,2 Milliarden US-Dollar aus einem weiteren Diebstahl beim Krypto-Handelsplatz Binance, bei dem zuvor Gelder im Umfang von über 2,7 Milliarden US-Dollar eingefroren worden waren.

Beim Vorfall um Binance, der um den 29. Oktober stattfand, hatte die nordkoreanische Gruppe TraderTraitor über 6 Milliarden US-Dollar gestohlen. Die FaceStealer-Kampagne wird von den Behörden separat von TraderTraitor geführt. Nordkorea bestritt eine Beteiligung an dem Binance-Angriff; Kim Yo Jong bezeichnete die Anschuldigungen in einem Bericht vom 12. November 2026 als banale Provokation.