DOJ FaceStealer’ı çökertti: Kuzey Kore’nin 400 milyon doları aşkın deepfake soygununun anatomisi

FaceStealer nasıl çalışıyor

Bakanlığın açıkladığına göre yöntemin ilk adımı güven: saldırganlar, önceki kurbanlardan ele geçirilen hesaplarla hedefe toplantı daveti gönderiyor. Görüşme başladığında kurbana tanıdık geldiği bilinen kişilerin web kamerasıyla önceden alınmış görüntüleri ekranda oynatılıyor; hedef, karşısındaki kişiyi tanıdığı biriyle görüşüyor sanıyor. Bundan sonrası numara: kamera ve mikrofon “arızalanıyor” ve ses duyulmadığı bahanesiyle devreye bir “onarım” bağlantısı giriyor. Bağlantıya tıklayan hedefin bilgisayarına zararlı bir yazılım kuruluyor ve bu yolla kripto fonları çalınıyor.

En bilinen kripto figürlerine deepfake bantlar da seçeneğin bir parçası. FBI, tanınmış kripto kişiliklerinin yapay zekâ ile üretilmiş görüntülerinin görüntülü aramalarda kullanılmaya başlandığını, bu sayede kandırmanın çok daha kolaylaştığını belirtiyor. Yöntemin bir diğer dikkat çekici yanı sabır: bazı vakalarda saldırganlar fonları çalmak için aylarca, hatta bir yılı aşkın süre bekledi. Hedeflerin çoğu kripto ve internet sektöründe çalışıyor.

Operasyonun ölçeğini en net gösteren rakam FBI’dan: kurum, bir federal emirle FaceStealer kurbanlarının 900’den fazla web kamerası kaydına el koydu.

Operasyonun geri kalanı: Binance fonları ve Kuzey Kore hedefi

Aynı duyuruda Bakanlık, 29 Ekim 2026’daki Binance soygununa ait 1,2 milyar doları aşkın fonun zaptedilmesine veya bloklanmasına dair mahkeme yetkisi aldığını da açıkladı. FBI, soygunun Kuzey Koreli TraderTraitor grubu tarafından 29 Ekim civarında gerçekleştirildiğini söylüyor. Çalınan tutar için Adalet Bakanlığı yaklaşık 6,4 milyar dolar derken FBI 6 milyar doların üzerinde bir rakam veriyor. ABD kurumları ve özel şirketler tarafından şimdiye kadar bloklanan tutar ise 2,7 milyar doları geçti.

FBI’a göre FaceStealer’ın arkasındaki grup, Sapphire Sleet, BlueNoroff, APT38 veya UNC1069 adlarıyla bilinen küme. Soygunun ötesinde bir tehdit daha var: Bakanlık, saldırganların açık kaynak yazılım geliştiricilerini giderek artan biçimde hedef aldığını, amacın zincir arzı saldırılarını kolaylaştırmak olabileceğini belirtti.

Kuzey Kore yönetimi ise Binance soygunuyla hiçbir ilgisi olmadığını savunuyor ve FBI’ın tespitini politik bir kışkırtma olarak değerlendiriyor. FBI, FaceStealer operasyonu ile Binance soygununun ayrı takımların ayrı işleri olduğunu, iki olayın karıştırılmaması gerektiğini de vurguluyor.

Çalınan Binance fonlarının takip ve iade çalışmaları sürüyor.