Aktivně zneužívané Aktuálně

FaceStealer: FBI narušila severokorejskou kampaň falešných videohovorů, USA zajistily 1,2 miliardy dolarů z krádeže na Binance

Americké ministerstvo spravedlnosti 12. listopadu 2026 oznámilo dva zásahy proti severokorejským krádežím kryptoměn. FBI narušila cloudovou infrastrukturu kampaně FaceStealer, která lidi z kryptoměnové branže a vývojáře open source zve na falešné videohovory a pod záminkou „opravy zvuku“ jim nainstaluje malware. Z krádeže více než 6 miliard dolarů na burze Binance (29. 10.) soud povolil zajistit přes 1,2 miliardy. Jak trik poznat a co dělat, když jste do takového hovoru vstoupili.

Redakce Kyberkitu · 13. listopadu 2026 · událost ze dne 12. listopadu 2026 · čtení na 4 minuty · Pro správce a analytiky

Ve zkratce

FBI podle ministerstva spravedlnosti (DOJ) 12. 11. 2026 narušila cloudovou infrastrukturu kampaně FaceStealer a na základě soudního příkazu zajistila přes 900 nahrávek z webkamer obětí.
Útočníci posílají pozvánky na videohovor z ukradených účtů dřívějších obětí, v hovoru přehrávají záznamy známých lidí nebo deepfake videa a pak předstírají technickou chybu – „oprava“ nainstaluje malware.
FaceStealer podle FBI za 18 měsíců ukradl přes 400 milionů dolarů v kryptoměnách. Cílem jsou i vývojáři open source – FBI v tom vidí přípravu útoků na dodavatelský řetězec softwaru.
Z krádeže více než 6 miliard dolarů na burze Binance z 29. 10. 2026, kterou FBI připisuje KLDR (TraderTraitor), se podařilo zmrazit přes 2,7 miliardy; soud povolil zajistit nebo obstavit přes 1,2 miliardy.

Co se stalo

Americké ministerstvo spravedlnosti (DOJ) 12. listopadu 2026 oznámilo dva zásahy proti krádežím kryptoměn, které připisuje Severní Koreji.

FaceStealer. Státní zastupitelství pro centrální Kalifornii a losangeleská pobočka FBI narušily cloudovou infrastrukturu této kampaně sociálního inženýrství. FBI na základě soudního příkazu zajistila přes 900 nahrávek z webkamer obětí. Kampaň podle FBI za posledních 18 měsíců vynesla přes 400 milionů dolarů v kryptoměnách a zahrnovala i pokusy o napadení lidí z dodavatelského řetězce open source softwaru. DOJ k ní uvádí skupiny známé jako Sapphire Sleet, UNC1069, BlueNoroff, APT38, CryptoCore, Dangerous Password a Stardust Chollima.

Binance. Zhruba 29. října 2026 ukradli podle DOJ příslušníci severokorejské armády, které FBI označuje jako TraderTraitor, z burzy Binance virtuální aktiva za více než 6 miliard dolarů. Peníze dál perou přes přemostění mezi blockchainy (bridges), mixéry a burzy. Americké úřady a soukromé firmy zatím zmrazily přes 2,7 miliardy, z toho přes 1,2 miliardy smí ministerstvo na základě soudního povolení zajistit nebo obstavit.

Jak útoky fungovaly

Postup FaceStealeru podle oznámení DOJ:

Zjednodušeno podle oznámení DOJ (12. 11. 2026)

Podle FBI se některé krádeže a převzetí účtů odehrály až měsíce, někdy přes rok po prvním napadení. Útočníci navíc stahují seznamy kontaktů, sociální sítě a zprávy oběti, aby mohli oslovit její známé a kolegy – proto pozvánka působí důvěryhodně.

Stejný trik už 9. února 2026 podrobně popsal Mandiant (Google) u skupiny UNC1069, kterou DOJ mezi označeními kampaně uvádí. V jím vyšetřovaném případě přišla zpráva z ukradeného účtu na Telegramu, odkaz přes Calendly vedl na podvrženou schůzku Zoom na serveru útočníků a „oprava zvuku“ byl příkaz pro Terminál v macOS, který stáhl a spustil skript (technika ClickFix). Pro Windows měla stránka připravené jiné příkazy. Následovalo sedm rodin malwaru, mimo jiné WAVESHAPER, HYPERCALL, SUGARLOADER a DEEPBREATH, které kradly přihlašovací údaje, data z prohlížeče a relace.

Koho se to týká

lidí z kryptoměnové a Web3 branže – zaměstnanců burz, fondů a startupů i investorů,
vývojářů a správců open source projektů, protože jejich účty v repozitářích a registrech balíčků otevírají cestu k uživatelům projektu,
nepřímo všech jejich kontaktů: ukradené účty a nahrávky z webkamer slouží k oslovení dalších obětí.

Malware ani názvy domén z nové kampaně FBI v oznámení nezveřejnila. Krádež z Binance se běžných lidí přímo týkat nemusí, velké krádeže ale často bývají záminkou podvodných „vymáhačů ztracených peněz“.

Jak poznat napadení

Vstoupili jste do hovoru, ve kterém „nefungoval zvuk“ a dostali jste odkaz, soubor nebo příkaz na opravu – a spustili jste ho.
Váš kontakt tvrdí, že vám poslal pozvánku, o které nevíte (váš účet mohl být zneužit).
Mandiant u UNC1069 zveřejnil tyto síťové indikátory (z února 2026, nová infrastruktura FaceStealeru se může lišit). Zneškodněné, k vyhledání v DNS a proxy logech:

mylingocoin[.]com
zoom[.]uswe05[.]us
supportzm[.]com
zmsupport[.]com
breakdream[.]com
dreamdie[.]com
support-zoom[.]us
cmailer[.]pro

Seznam domén z vlastních logů nebo e-mailů rychle vytáhnete naším extraktorem IOC – běží jen ve vašem prohlížeči.

Co udělat

Pozvánku ověřte jiným kanálem – zavolejte nebo napište tomu člověku přes jinou aplikaci, než kterou pozvánka přišla.
Během hovoru nic nespouštějte. Žádný příkaz do Terminálu či PowerShellu, žádný „ovladač“, „plugin“ ani „aktualizace SDK“. Skutečné videokonference se připojují z oficiální aplikace nebo domény výrobce.
Když jste „opravu“ spustili: zařízení odpojte od sítě, neodesílejte z něj kryptoměny a z jiného, čistého zařízení vyměňte hesla, odhlaste všechny relace, zrušte tokeny k repozitářům, registrům balíčků a cloudu a přesuňte prostředky z peněženek, ke kterým měl počítač přístup. Postup pro oběti je v upozornění IC3. Nová silná hesla vytvoří generátor hesel.
Varujte své kontakty, že od vás mohou přijít podvržené pozvánky.
Nahlaste to. V Česku Policii ČR (158) a při incidentu v organizaci podle zákona o kybernetické bezpečnosti, na Slovensku Polícii SR (158) nebo SK-CERT přes formulář na sk-cert.sk. Ve FBI jde nahlásit přes ic3.gov.

Časová osa

Podle DOJ, FBI a Mandiantu

Aktualizace

13. 11. 2026 – první verze článku.

Časté otázky

Jak FaceStealer poznám?

Podle FBI přichází pozvánka od člověka, kterého znáte, ale z jeho ukradeného účtu. V hovoru vidíte známé tváře (nahrávky z dřívějších hovorů nebo deepfake), a pak se objeví „technický problém“ – typicky že vás není slyšet – a k němu odkaz nebo příkaz na opravu. Žádná skutečná videokonference po vás nechce, abyste kvůli zvuku něco stahovali nebo vkládali do Terminálu.

Do takového hovoru jsem vstoupil, ale nic jsem nespustil. Jsem v pořádku?

Nákaza podle popisu FBI přichází až s „opravou“. Počítejte ale s tím, že útočníci mohli nahrávat obraz z vaší webkamery a použít ho proti vašim kontaktům. Upozorněte lidi, se kterými jste ve spojení, a ověřte, že váš účet (Telegram, LinkedIn, e-mail), přes který pozvánka šla, nikdo nepřevzal.

Proč by útočníky zajímali vývojáři open source?

FBI uvádí, že útočníci cílí na vývojáře a správce open source kvůli přístupu k jejich zařízením a účtům v repozitářích, a hodnotí to jako přípravu útoků na dodavatelský řetězec softwaru. Ukradený token k repozitáři nebo k registru balíčků může zasáhnout tisíce uživatelů projektu.

Přišli zákazníci Binance o peníze?

Oznámení ministerstva spravedlnosti se k zůstatkům zákazníků nevyjadřuje – uvádí jen ukradenou částku (přes 6 miliard dolarů), zmrazených 2,7 miliardy a 1,2 miliardy zajištěných na základě soudního povolení. Stav účtů ověřujte jen v oficiální aplikaci burzy; e-maily a zprávy slibující „vrácení peněz z hacku“ jsou častý podvod.

Zdroje

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.