North Korean Hackers Steal $400m Through Fake Video Calls

North Korean Hackers Steal $400m Through Fake Video Calls

North Korean hackers stole over $400 million in cryptocurrency using fake video calls, deepfakes and malware, the FBI warns.

North Korean hackers have stolen more than $400 million worth of cryptocurrency over the past 18 months by using sophisticated fake video calls, stolen online accounts and artificial intelligence-generated deepfakes, according to the Federal Bureau of Investigation (FBI). The operation highlights the growing cybersecurity risks facing cryptocurrency businesses, Web3 companies and technology professionals.

The FBI has identified the campaign as FaceStealer, a social engineering operation designed to trick victims into believing they are communicating with trusted colleagues, business partners or industry contacts. The hackers reportedly use manipulated video meetings to gain access to victims' computers, steal sensitive information and eventually obtain cryptocurrency.

How the FaceStealer Cyberattack Works

According to the FBI and the US Department of Justice, the attackers begin by compromising the social media and communication accounts of individuals. They then use these accounts to send convincing invitations to video meetings to people within the victims' professional and personal networks. The invitations may appear to come from familiar contacts, making them difficult to identify as fraudulent. Victims are directed to imitation versions of popular video conferencing platforms, including Zoom, Microsoft Teams and Google Meet.

Once the meeting begins, hackers play prerecorded webcam footage of someone the target recognises. In some cases, they also use AI-generated deepfake videos featuring influential individuals from the cryptocurrency and blockchain industries. The attackers then introduce a fake technical problem, such as an audio malfunction, and instruct the victim to follow troubleshooting steps.

However, the suggested solution is actually a malicious link or command that installs malware on the victim's computer. Once the device is compromised, hackers can access sensitive information, steal cryptocurrency and take control of additional online accounts.

Hackers Exploit Trust to Expand Their Operations

One of the most concerning aspects of the FaceStealer campaign is its ability to use existing relationships to identify new victims.

After gaining access to a compromised computer, attackers can obtain contact lists, social media accounts and private communications. They then use this information to approach additional individuals, making subsequent attacks appear more believable. The FBI has also reported that some victims experienced cryptocurrency theft and account takeovers months or even more than a year after their devices were initially compromised.

Authorities have seized more than 900 webcam videos connected to victims of the operation under a federal warrant. These recordings demonstrate how the attackers collect material that can potentially be used to impersonate other individuals.

North Korean Hackers Increasingly Target Software Developers

The FaceStealer campaign is not limited to cryptocurrency investors and blockchain professionals. Investigators have also identified attempts to compromise individuals involved in developing and maintaining open-source software.

According to the US Department of Justice, attackers are targeting developers to obtain access to their computers and software repository accounts. Such access could potentially allow hackers to introduce malicious code into widely used software projects. This creates a broader cybersecurity threat because open-source software is widely used by businesses, technology companies and developers around the world.

A successful software supply-chain attack could expose numerous organisations and users to security risks, extending the impact beyond the original victim.

The FBI has linked the FaceStealer activity to North Korean hacking groups and threat clusters known by names including Sapphire Sleet and UNC1069.

US Authorities Disrupt FaceStealer Infrastructure

On November 12, 2026, the US Department of Justice announced coordinated actions to disrupt North Korea's cryptocurrency theft operations.

As part of the action, authorities seized cloud-based infrastructure used in the FaceStealer campaign. The FBI also issued a cybersecurity warning explaining how the operation works and providing guidance to potential victims.

The operation represents an effort to disrupt the technical infrastructure supporting the attacks and increase awareness among cryptocurrency holders, technology professionals and software developers.

The authorities have also established a dedicated FBI resource page to provide information about the FaceStealer threat and recommended security measures.

Separate $6.3 Billion Binance Cryptocurrency Theft

The announcement also included developments involving a separate North Korean-linked cryptocurrency theft targeting Binance, one of the world's largest cryptocurrency exchanges.

According to the Department of Justice, the FBI attributed this separate incident to North Korean military-linked hackers known as TraderTraitor. The theft involved more than $6 billion in virtual assets. US authorities and private-sector partners have collectively frozen more than $2.7 billion connected to the Binance theft. The Justice Department also obtained court authorisation to seize or restrain more than $1.2 billion worth of the stolen cryptocurrency.

Officials stressed that the Binance incident and the FaceStealer campaign involve separate hacking operations. The two cases illustrate the different methods North Korean-linked cybercriminals are using to target the global cryptocurrency industry.

What Cryptocurrency Users and Businesses Should Do

The FaceStealer campaign highlights the importance of stronger cybersecurity practices, particularly for businesses handling digital assets and sensitive information.

Security experts and law enforcement agencies recommend several precautions:

Businesses should also provide cybersecurity awareness training to employees, particularly those working with financial systems, cryptocurrency platforms and software development environments.

Growing Cybersecurity Challenges for the Cryptocurrency Industry

The $400 million FaceStealer operation demonstrates how cybercriminals are combining social engineering, artificial intelligence and malware to make cryptocurrency theft increasingly sophisticated.

Traditional cybersecurity measures may not be sufficient when attackers can impersonate trusted contacts and manipulate video communications. As AI-generated deepfakes become more convincing, individuals and organisations will need to place greater emphasis on verifying identities and securing their digital communications.

The FBI's warning also highlights the growing risks to open-source software developers, whose access to widely used technology projects could make them attractive targets.

For the global cryptocurrency industry, the latest incident is another reminder that protecting digital assets requires more than secure trading platforms. Strong identity verification, employee awareness and continuous monitoring will be essential in responding to increasingly advanced cyber threats.

Source : https://www.bbc.com/news/articles/cqdj1ellpd70o

Follow The Global Biz Insider for more such International News .