Mais de US$ 400 milhões (cerca de R$ 2,24 bilhões) em criptomoedas saíram de carteiras digitais nos últimos 18 meses depois que profissionais atenderam chamadas de vídeo com rostos conhecidos e baixaram uma suposta correção de áudio. Os dados foram divulgados nesta quinta-feira (12) pela polícia federal dos Estados Unidos, o FBI, que atribui a operação a grupos de hackers apoiados pelo governo da Coreia do Norte.
Batizado pelos investigadores de FaceStealer ("ladrão de rostos", em tradução livre), o esquema combina inteligência artificial e engenharia social, nome dado a táticas de manipulação psicológica usadas para enganar a vítima em vez de quebrar senhas à força. Os invasores primeiro tomam o controle de redes sociais e aplicativos de mensagens de um alvo, acionam a câmera do computador sem que a pessoa perceba e gravam sua imagem. Com esse material em mãos, enviam convites para a lista de contatos da vítima usando páginas falsas que imitam plataformas populares de reunião, como Zoom (abre em nova aba), Microsoft Teams (abre em nova aba) e Google Meet (abre em nova aba).
Quem aceita o convite entra em uma armadilha visual. Na tela, o rosto de um colega de trabalho ou de uma figura conhecida do mercado, exibido a partir das gravações roubadas ou de vídeos falsos gerados por inteligência artificial (os chamados deepfakes) para ganhar a confiança do participante. A conversa começa, mas o som falha. Os golpistas usam a desculpa do defeito técnico no áudio para pedir que a pessoa instale um programa de atualização. Esse arquivo é, na verdade, um vírus capaz de esvaziar carteiras de moedas digitais, copiar dados de aplicativos e capturar toda a agenda de contatos para alimentar o ataque seguinte.
Ao todo, o FBI identificou mais de 900 vítimas em um ano e meio. A operação mirou com força trabalhadores do mercado de criptomoedas e da Web3 (conjunto de tecnologias voltado para aplicativos de internet que funcionam sem uma empresa central no controle), especialmente programadores que cuidam de softwares de código aberto, aqueles projetos públicos em que desenvolvedores do mundo inteiro colaboram. Para frear o golpe, operado por um grupo rastreado sob nomes como Sapphire Sleet, UNC1069 e APT38, o Departamento de Justiça americano derrubou servidores em nuvem usados pela quadrilha e apreendeu mais de 900 vídeos de webcams gravados em segredo pelo mundo.
Para o diretor de operações cibernéticas do FBI, Brett Leatherman, o dinheiro desviado abastece diretamente o programa militar de Pyongyang. Isolada do sistema bancário tradicional por severas sanções internacionais, a Coreia do Norte dependeria desses roubos em larga escala para financiar o desenvolvimento de armamentos ilícitos. O alerta vem apenas uma semana após a corretora Binance (abre em nova aba) revelar um desvio recorde de US$ 6,3 bilhões (mais de R$ 33 bilhões), operação em que outra equipe associada por Washington ao regime norte-coreano, a TraderTraitor, usou falsas entrevistas de emprego para comprometer sistemas internos. Só que a acusação esbarra na negativa oficial de sempre: o governo norte-coreano rejeita qualquer envolvimento nos dois casos.
Como os criminosos partem de contas reais invadidas para exibir vídeos convincentes de amigos, mas ainda dependem que a própria vítima instale o arquivo malicioso para liberar o acesso às carteiras, o alerta do FBI vale para qualquer pessoa que guarde criptomoedas ou trabalhe na área. Se uma reunião online travar o áudio e pedir a instalação de um programa, desligue. A imagem na tela já não prova quem está do outro lado.