El Departamento de Justicia de Estados Unidos anunció el 12 de noviembre de 2026 la incautación de infraestructura en la nube utilizada por FaceStealer. Según el comunicado, el FBI atribuye esta campaña a actores norcoreanos y calcula que ocasionó el robo de más de 400 millones de dólares en criptomonedas durante los últimos 18 meses.
De acuerdo con la descripción oficial, los responsables envían invitaciones a reuniones virtuales desde cuentas robadas y reproducen videos de contactos conocidos para ganarse la confianza de sus objetivos. Después simulan un problema técnico y ofrecen una supuesta reparación que instala software malicioso. El comunicado señala que el acceso permite sustraer criptomonedas y utilizar contactos de las víctimas para extender el esquema.
El Departamento de Justicia también informó de intentos de comprometer a personas involucradas en el desarrollo y mantenimiento de software de código abierto. Esta descripción corresponde a la evaluación de las autoridades estadounidenses, no a una comprobación independiente de cada ataque. Associated Press corroboró que el FBI anunció la atribución de FaceStealer a Corea del Norte y reportó pérdidas estimadas en 400 millones de dólares durante 18 meses; su cobertura distingue esta campaña de la investigación sobre el robo a Binance.