الفلبي يوقف خطة FaceStealer التي سرقت 400 مليون دولار من العملات المشفرة

مكالمات فيديو مزيفة تستنزف محافظ العملات المشفرة

أصدر مكتب التحقيقات الفيدرالي الخميس 12 نوفمبر تحذيرًا لحاملي العملات الرقمية من خطة FaceStealer، وهي عملية هندسة اجتماعية تنفذها مجموعات قرصنة كورية شمالية استنزفت أكثر من 400 مليون دولار من ضحاياها خلال الـ18 شهرًا الماضية. ويتوضح المكتب، في وثيقة مشتركة مع وزارة العدل ينشرها على موقعها الرسمي، أن أي شخص يمتلك أصولًا رقمية أو يعمل في قطاع Web3 أو يدير كودًا مفتوح المصدر يقع ضمن دائرة الأهداف المحتملة. تبدأ الهجمة بدعوة اجتماع من حساب مسروق لضحية سابقة، وبمجرد دخول الهدف إلى المكالمة يسجّل المهاجمون كاميرا الويب الخاصة به سرًا، بينما يبثون مقاطع مسجلة مسبقًا لأشخاص يعرفهم، فتبدو جهات الاتصال الموثوقة وكأنها حاضرة على الخط. وتذكر وزارة العدل أن المجموعة تستخدم أيضًا تقنية التزييف العميق لأشهر الأسماء في قطاع الأصول الرقمية. تليها المرحلة الثانية باختراع عطل تقني، كأن يدّعي المهاجم أنه لا يسمع صوت الهدف، ثم إرسال ملف «الإصلاح» الذي يزرع في الحقيقة برمجية خبيثة. وفي عدة حالات موثقة، لم تحدث السرقة الفعلية إلا بعد شهور، بل وبعد أكثر من عام كامل من الاختراق الأول، ما يجعل تتبّع الاختراق وصلته بالمكالمة الأولى أمرًا بالغ الصعوبة. وتربط وزارة العدل الحملة بوحدات كورية شمالية تُتتبع تحت أسماء بينها Sapphire Sleet وBlueNoroff وAPT38. أسلوب المقاعد المزيفة ليس جديدًا على هذا الملف؛ فتقارير صدرت العام الماضي ربطت اجتماعات فيديو مزيفة بالفعل بسرقة 300 مليون دولار على يد جهات كورية شمالية، وفريق Mandiant التابع لشركة Google نبّه في وقت سابق من عام 2026 إلى حواجز مماثلة على منصة Zoom مستعينة بالذكاء الاصطناعي.

مصادرة 900 مقطع فيديو من كاميرات الضحايا

يقول المحققون الفيدراليون إنهم عطّلوا البنية التحتية السحابية التي تقوم عليها خطة FaceStealer، وصادروا أكثر من 900 مقطع فيديو التقطتها كاميرات ويب الضحايا، في تحقيق قاده مكتب التحقيقات الفيدرالي الميداني في لوس أنجلوس. ووصف باتريك غراندي، مدير المكتب المساعد المسؤول، الخطة بأنها استغلال للثقة في منصات مؤتمرات الفيديو الموجودة في كل مكان وللعلاقات الشخصية التي يقدّرها الناس، مضيفًا أن من لا يتصور وقوعه ضحية لها لا يفكر بعمق كافٍ في الموضوع. ويحتل المطورون العاملون على الكود المفتوح موقعًا متزايد الأهمية في سجل الأهداف؛ إذ يحذر المكتب من أن اختطاف حسابات مشرفين موثوقين يتيح للمهاجمين إدخال كود خبيث إلى برمجيات يستخدمها نطاق واسع من المستخدمين. وتتحول كل ضحية جديدة إلى منصة انطلاق لضحية تالية، لأن المهاجمين يفحصون قوائم جهات الاتصال ومنصات التواصل وتطبيقات الدردشة بحثًا عن الأهداف القادمة. وإلى جانب إجراءات FaceStealer، اتخذت وزارة العدل خطوة للاستيلاء على 1.2 مليار دولار مرتبطة باختراق منصة التداول Binance، بينما تُظهر بيانات تحليلات السلسلة أن المجموعات الكورية الشمالية نهبت 7.61 مليار دولار من الأصول الرقمية خلال هذا العام إجمالًا.

يشكّل إعلان وزارة العدل الوثيقة المرجعية في هذا الملف، ورقمان منه يحددان حجم التهديد بدقة: 400 مليون دولار انتزعت عبر حواجز FaceStealer خلال 18 شهرًا، و7.61 مليار دولار تُنسب إلى الجهات الكورية الشمالية على امتداد عام 2026. وقراءتنا في COINOTAG أن هذه الحملة تقوم على الثقة لا على خوف التفويت، ولهذا تتجاوز كل أطوار السوق، فهي نشطة في السوق الصاعدة وفي السوق الهابطة على حد سواء. ونمط السرقة المؤجل، الذي قد يمتد شهورًا بعد المكالمة الأولى، يعني أن الحاملين للأصول الرقمية يتعين عليهم التعامل مع أي دعوة اجتماع قادمة من جهة اتصال في قطاع العملات المشفرة بوصفها غير موثقة إلى أن تُؤكَّد عبر قناة تواصل ثانية. أما مصادرة 900 مقطع فيديو للضحايا فتدل على أن المكتب الفيدرالي يحتفظ الآن بدليل مباشر على الكيفية التي تزيّف بها الهويات بين هجمة وأخرى.