美國司法部於十一月十二日公布，已搗破北韓當局用以竊取加密貨幣的 FaceStealer 社交工程計劃所使用的雲端基建。聯邦調查局指，該計劃在過去十八個月造成逾四億美元加密貨幣失竊，並已根據聯邦搜查令檢獲逾九百段受害人視像。攻擊者以先前受害人的帳戶發送視像會議邀請，播放預錄或深偽畫面冒充受信任聯絡人，再藉口技術故障誘使對方安裝惡意程式。同一公報並公布另一項、與 FaceStealer 分開的行動：就十月底幣安虛擬資產失竊案，美方與私營機構已凍結逾二十七億美元，其中司法部已取得法院授權，檢取或限制逾十二億美元。本文已核對司法部新聞稿及聯邦調查局專頁，來源真實性已驗證。

美國司法部／聯邦調查局／官方：搗破北韓 FaceStealer 雲端基建——過去十八個月竊逾四億美元加密貨幣，並檢獲逾九百段受害人視像；另就幣安失竊案已獲法院授權檢取或限制逾十二億美元

美國司法部公共事務辦公室於二零二六年十一月十二日（星期四）發表新聞稿，宣布針對朝鮮民主主義人民共和國政府透過大規模竊取加密貨幣為政權融資的計劃，採取協調行動。行動包括檢取 FaceStealer 社交工程計劃所使用的雲端基建，以及就近日自虛擬貨幣交易所幣安失竊的虛擬資產，取得法院授權檢取及限制逾十二億美元。聯邦調查局同日設立專頁，並發布更詳細的技術說明。以下內容核對該官方新聞稿及聯邦調查局專頁，來源真實性已驗證。

一、核心事件：搗破 FaceStealer 雲端基建

技術細節

加州中區聯邦檢察官辦公室宣布，已搗破北韓駭客在 FaceStealer 計劃中使用的雲端基建。聯邦調查局把該計劃稱為高度有效的社交工程手法，依賴暗中錄下的視像，以及人工深偽內容。官方指，該計劃在過去十八個月已造成逾四億美元加密貨幣失竊，並試圖入侵參與開源軟件供應鏈的人士。

司法部新聞稿列明，相關北韓駭客在公開場合亦被稱為 Sapphire Sleet、UNC1069、Dangerous Password、CryptoCore、高級持續威脅三十八（APT38）、BlueNoroff 及 Stardust Chollima。聯邦調查局專頁的歸屬名單包括 Sapphire Sleet、UNC1069、Stardust Chollima、APT38 及 BlueNoroff。攻擊者會利用先前受害人被盜的帳戶，向新目標送出視像會議邀請。目標加入會議後，攻擊者會錄下對方的網絡攝影機畫面，並播放先前受害人、且為目標所認識的人的預錄視像，藉此製造「可信聯絡人正在與會」的假象，以取得信任。官方並指，攻擊者會使用「超級智能」（super intelligence）製作加密貨幣及 Web3 業界知名或具影響力人士的深偽視像，再在會議中播放，使手法更有效。

會議進行期間，攻擊者會製造假的技術故障，例如聲稱聽不到對方聲音，並提供連結或提示，要求對方「修復」。所謂修復會在目標電腦上暗中安裝惡意程式。電腦一旦被入侵，攻擊者便可竊取加密貨幣，或利用目標對其他電腦基礎設施的存取權。官方寫明，在若干已報告的個案中，攻擊者會在初次入侵後數個月、甚至一年以上，才竊取加密貨幣並劫持通訊帳戶。他們亦會取用新受害人的聯絡人名單、社交媒體及通訊應用，再向其私人及專業聯絡人下手。

攻擊對象主要是加密貨幣及 Web3 從業員。官方並指，他們日益以 FaceStealer 手法鎖定開源軟件的開發及維護人員，試圖取得其裝置及所控制的軟件倉庫帳戶。司法部新聞稿認為，這種針對「看來是經過計算，以便發動軟件供應鏈攻擊」。聯邦調查局專頁進一步寫明，其目標是入侵軟件供應鏈：一旦滲透受信任開發者或維護者的帳戶，威脅行為者便有可能透過廣泛使用的軟件分發惡意程式碼，影響下游數以百萬計用戶。根據聯邦搜查令，聯邦調查局已檢獲逾九百段 FaceStealer 受害人的網絡攝影機視像；專頁補充，這些受害人在全球各地從事加密貨幣及 Web3 工作。

聯邦調查局當日亦發布報告，說明該計劃的運作細節、防範做法，以及萬一遭入侵時受害人可採取的步驟，並設立專頁 https://www.fbi.gov/facestealer 作為資料匯集點。專頁把手法歸納為五步：暗中錄下受害人網絡攝影機、劫持其通訊帳戶並向其聯絡人發訊、向新目標送出看似可信的假視像連結、誘使對方進入逼真的假視像聊天，以及用預錄畫面冒充原受害人、誘使新目標自行感染。專頁並強調，計劃使用常見視像會議平台的冒充版本、暗中錄下的網絡攝影機畫面，以及電腦入侵。

加州中區聯邦助理檢察官 Khaldoun Shobaki 與聯邦調查局洛杉磯外勤處主導搗破 FaceStealer 的行動。

二、技術原理深度解析

FaceStealer 的核心，不是單靠破解錢包軟件或交易所介面，而是把「信任鏈」拆開再重組。視像會議在遠端協作中已成日常，參加者習慣憑面孔、聲音與通訊錄裡的名字判斷對方身份。攻擊者先掌握舊受害人的帳戶與畫面，再讓新目標在同一場會議裡「看見」自己認識的人，從而使後續的「修復連結」看起來像會務故障，而不是陌生附件。官方所稱的深偽視像，則補上目標可能並未親自認識、但在業界具認受性的人物，進一步降低懷疑。

惡意程式並不一定在會議當日立刻轉走資產。司法部寫明，部分個案會把竊取與帳戶劫持推遲數個月甚至一年以上。這段潛伏期讓受害人更難把後來的失竊，與一場早已淡忘的「會議故障」連起來，也讓攻擊者有時間擴大對通訊錄、社交媒體及基礎設施的存取。對開源維護者而言，風險還包括倉庫憑證被用於在受信任套件中植入惡意程式碼，把單一裝置入侵，擴展成供應鏈事件。

聯邦調查局把平台層面的偽裝稱為「常見視像會議平台的冒充版本」，重點是視覺與流程近似日常工具，而不是在官方產品內公開提供惡意功能。防護因此不能只依賴「認得出官方商標」，而要驗證會議連結的真正來源、拒絕在會議中按對方指示安裝修復工具，並把高權限倉庫、錢包及生產系統的操作，與一般視像會議裝置隔離。

三、日常應用場景

1. 開發者與技術團隊

開源維護者、節點營運商及錢包開發者已是官方點名的目標類型。即使一場會議看起來有熟識同事或業界名人出鏡，也不應在會議中按對方指示開啟「修復音訊」連結或執行指令。倉庫、簽署金鑰與發布流水線應使用獨立裝置或硬件金鑰，並為異常的新登入、新授權應用及異常發布設置告警。若懷疑會議遭錄影或帳戶被接管，應立即輪換憑證、檢查套件發布紀錄，並按聯邦調查局專頁建議的步驟處理，而不是先在同一部已可能中招的電腦上「自行修復」。

2. 企業與隱私敏感行業

金融、支付、虛擬資產及任何依賴遠端視像盡職審查的企業，都應假設「視像中的面孔」並不能單獨作為身份證明。高風險會議應改用公司核發的會議系統、預先核實的日曆邀請，以及獨立頻道（例如已核實的電話或企業即時通訊）作二次確認。若員工的個人通訊錄或社交帳戶被用作跳板，企業的客戶、供應商與開源貢獻者都可能被波及。就雲端工作負載隔離、零信任存取與事故應變，香港企業可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊 99.99% SLA），見 https://ysk.hk/services/cloud-security 。

3. 一般用戶

一般用戶若收到熟人突然邀請「即時視像會議」，又在會上遇到音訊故障並被要求點擊修復連結，應先在另一個原本已在使用的通訊渠道向對方核實，切勿在會議視窗內安裝任何修復程式。官方提醒，即使是有技術及安全意識的使用者，也可能被這種手法欺騙。不要在來路不明的視像會議中展示錢包助記詞、驗證碼或屏幕上的敏感資料；一旦懷疑中招，應立即在另一部清潔裝置上轉移資產、凍結相關帳戶，並保留會議邀請及連結作為證據。

4. 香港與亞洲市場視角

香港是亞洲重要的虛擬資產及金融科技據點，業界日常以視像會議對接交易所、做市商、錢包供應商及開源貢獻者。聯邦調查局指受害人遍及全球加密貨幣及 Web3 從業員，這類手法並不限於美國時區。本地持牌機構、家族辦公室及開發團隊，應把「假視像會議加修復連結」列入社交工程演練，並檢視遠端員工是否在同一部電腦上同時處理錢包操作、代碼發布與私人通訊。涉及智能合約、節點或鏈上系統的開發工作，亦可參考 YSK Limited 的 Web3 區塊鏈開發服務，見 https://ysk.hk/services/web3-blockchain 。

四、與 FaceStealer 分開的幣安失竊資產攔截

司法部新聞稿明確寫道，以下行動與 FaceStealer 計劃分開。官方指，約在十月二十九日，北韓軍方成員（聯邦調查局稱之為 TraderTraitor）從幣安加密貨幣交易所竊取逾六十億美元虛擬資產。其後，國家安全司國家安全網絡科、刑事司電腦犯罪及知識產權科、哥倫比亞特區聯邦檢察官辦公室及執法夥伴，與虛擬資產服務供應商合作攔截失竊資產。官方稱，美國政府與私營機構合力至今已凍結逾二十七億美元；司法部已取得法院授權，就其中逾十二億美元予以檢取或限制。哥倫比亞特區聯邦檢察官 Jeanine Ferris Pirro 在稿中表示，當局已檢取逾十二億美元被盜資產。刑事司助理部長 A. Tysen Duva 則指，刑事司作為部門與數碼資產業界的聯絡窗口，迅速運用專業能力，立即阻止了這次歷史性入侵中約一半的失竊資產。

官方並寫明，追蹤、凍結、檢取及充公工作仍在進行，因為 TraderTraitor 行為者繼續經由各種加密貨幣跨鏈橋、混幣器及交易所清洗資產。例如，聯邦調查局上週曾聯同特勤局及國稅局刑事調查部門發出網絡警報，把竊案歸屬該組織，並呼籲虛擬資產服務供應商攔截與洗錢地址相關的交易。聯邦調查局洛杉磯外勤處、網絡司及虛擬資產組正協調追回工作，並與特勤局及國稅局刑事調查部門合作。讀者應把這部分理解為同一日公報中的另一項執法進展，而不是 FaceStealer 雲端基建本身的數字。

五、專業評價與潛在考量

優勢

官方把 FaceStealer 的雲端基建搗破，與幣安失竊資產的凍結及法院授權檢取分開陳述，避免把兩組數字混為同一事件。新聞稿及專頁對手法的描述具體：盜用帳戶、預錄與深偽視像、假技術故障、延遲竊取，以及對開源供應鏈的轉向，均有助企業把防護重點放在會議驗證與憑證隔離，而不是只升級錢包界面。檢獲逾九百段受害人視像，亦說明執法部門掌握了可核對的物證規模，而不只是定性描述。

需要留意的地方

「逾四億美元」「逾九百段視像」「逾二十七億美元凍結」「逾十二億美元檢取或限制」「逾六十億美元失竊」及「約一半」都是官方在十一月十二日公報中的下限或約數，後續追蹤可能使凍結或檢取金額變動。深偽所稱的「超級智能」是官方用語，本文不把它理解為對某一個商業模型的鑑定。新聞稿沒有公布個別受害人身份、中招機構名單，或惡意程式的具體家族名稱；亦沒有聲稱 FaceStealer 的全部基礎設施或全部涉案人員已經清零。把幣安案的六十億美元失竊當成與 FaceStealer 四億美元同一筆帳，或把法院授權檢取的十二億美元理解成已全數歸還受害人，都超出原文所寫。

結語

美國司法部與聯邦調查局的十一月十二日行動，揭示北韓關聯行為者如何把假視像會議、預錄畫面與深偽內容，變成可長期潜伏的加密貨幣竊盜及供應鏈跳板。對香港及亞洲的開發者、虛擬資產企業與遠端協作團隊而言，重點是把會議身份驗證、修復連結禁令，以及錢包與代碼發布環境的隔離，寫進日常操作，而不能只信賴屏幕上的熟悉面孔。若要加強雲端隔離、零信任與事故應變，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

• 美國司法部公共事務辦公室新聞稿：Justice Department Announces Actions to Disrupt North Korea’s Massive Theft of Cryptocurrency（二零二六年十一月十二日）：https://www.justice.gov/opa/pr/justice-department-announces-actions-disrupt-north-koreas-massive-theft-cryptocurrency
• 美國聯邦調查局：FaceStealer Cryptocurrency Theft Scheme：https://www.fbi.gov/investigate/cyber/facestealer-cryptocurrency-theft-scheme
• 聯邦調查局資料匯集頁：https://www.fbi.gov/facestealer
• 發現來源：BleepingComputer，US disrupts North Korean campaign behind $400 million crypto theft：https://www.bleepingcomputer.com/news/security/us-disrupts-north-korean-campaign-behind-400-million-crypto-theft/