FaceStealer: FBI warnt vor gefälschten Zoom-Calls, die Krypto-Wallets leeren

Eine Einladung zum Videocall von einem bekannten Kontakt kann der Anfang eines Diebstahls sein. Das FBI warnt vor einer Masche namens FaceStealer: Nordkoreanische Hacker laden über gekaperte Konten zu gefälschten Zoom- und Teams-Sitzungen ein, spielen dort aufgezeichnete Videos echter Bekannter ab und bringen ihr Ziel dazu, selbst Schadsoftware zu installieren. Laut dem US-Justizministerium haben die Täter damit in den vergangenen 18 Monaten Kryptowährungen im Wert von mehr als 400 Millionen Dollar erbeutet.

Am 12. November 2026 hat das Ministerium die Cloud-Infrastruktur der Kampagne beschlagnahmt. Im selben Schritt meldete es, dass Gerichte die Beschlagnahme oder Sperrung von mehr als 1,2 Milliarden Dollar aus dem Binance-Hack vom 29. Oktober genehmigt haben. Beides steht in der Pressemitteilung des US-Justizministeriums vom 12. November. Die wichtigste Abwehr ist einfach: Starte Videokonferenzen nur über die offizielle App mit Meeting-Code und führe nie ein Skript aus, das dir jemand während eines Calls schickt.

FaceStealer: Wie die Masche mit gefälschten Zoom-Calls funktioniert

FaceStealer ist der Name, den das FBI einer Social-Engineering-Kampagne gegeben hat. Social Engineering bedeutet, dass Angreifer keine technische Lücke ausnutzen, sondern Menschen dazu bringen, ihnen selbst die Tür zu öffnen. Hinter FaceStealer stehen laut FBI Gruppen, die unter Namen wie Sapphire Sleet, UNC1069, BlueNoroff, APT38 oder Stardust Chollima bekannt sind. Alle werden dem nordkoreanischen Staat zugerechnet.

Das Prinzip ist ein Kreislauf. Jedes neue Opfer liefert den Tätern drei Dinge: Zugriff auf seinen Rechner, Zugriff auf seine Chat-Konten und ein heimlich aufgezeichnetes Webcam-Video. Mit Konto und Video sprechen die Täter dann die Kontakte des Opfers an. Das FBI hat nach eigenen Angaben per Durchsuchungsbeschluss mehr als 900 solcher Webcam-Aufnahmen sichergestellt. Jede davon steht für einen Menschen, dessen Gesicht bereits als Köder für den nächsten Angriff gedient hat.

Gekaperte Telegram-Konten als Türöffner für die Einladung

Der erste Kontakt kommt nicht von Fremden. Die Täter schreiben aus echten Konten früherer Opfer, das FBI nennt Telegram, LinkedIn, Slack und Discord. Weil sie die Chatverläufe mitlesen, können sie ihre Nachrichten an frühere Gespräche anpassen. Die Anlässe klingen harmlos: sich mal wieder austauschen, über eine Zusammenarbeit sprechen, eine Investitionsmöglichkeit besprechen.

Auf eine Zusage folgt eine Terminanfrage über Calendly oder einen ähnlichen Kalenderdienst. Auffällig ist laut FBI, dass diese Einladung oft noch keinen Link zur Videokonferenz enthält. Den schicken die Täter erst kurz vor dem Termin über das gekaperte Chat-Konto. So bleibt ihre Infrastruktur möglichst kurz sichtbar, und das Ziel hat bis dahin schon mindestens zwei Nachrichten aus einem vertrauten Konto bekommen.

Typosquatting: Gefälschte Zoom- und Teams-Seiten im Lobby-Look

Der Link führt nicht zu Zoom oder Microsoft Teams, sondern auf eine Seite der Angreifer. Das FBI spricht von Typosquatting: Die Täter registrieren Adressen, die echten Diensten zum Verwechseln ähneln, etwa durch vertauschte Buchstaben, Zusatzwörter oder Bindestriche. Als Beispiele nennt die Behörde uu01webzoom.us und teams.livemeet.us. Die nachgebaute Oberfläche soll sich vom Original nicht unterscheiden lassen, inklusive Warteraum, in dem du scheinbar auf den Einlass wartest.

Sobald du den Link anklickst, läuft bereits die Aufnahme deiner Webcam. Im Meeting siehst du dann das Video des Bekannten, der dich eingeladen hat, oft ergänzt um weitere Teilnehmer. Tatsächlich sind das abgespielte Aufnahmen früherer Opfer. Wer seine Kamera einschaltet, liefert dabei das Material für die nächste Runde.

Der vorgetäuschte Tonfehler als Malware-Falle

Nach kurzer Zeit meldet sich der vermeintliche Bekannte per Chatnachricht im Meeting: Man könne dich nicht hören. Die übrigen Teilnehmer erhöhen den Druck, denn nur du scheinst das Problem zu haben. Dann kommt die angebliche Lösung. Du sollst auf eine Update-Meldung klicken, ein Skript ausführen oder einen Befehl in die Kommandozeile kopieren.

Genau dieser Schritt installiert die Schadsoftware. Laut FBI lädt sie unter anderem ein Programm, das Browser-Cookies abgreift, einen Keylogger, der Tastatureingaben mitschneidet, ein Werkzeug für Bildschirmaufnahmen und eine Hintertür für den dauerhaften Zugriff. Sicherheitsforscher nennen dieses Vorgehen ClickFix: Das Opfer führt den schädlichen Befehl selbst aus, weshalb viele Schutzprogramme nicht anschlagen. Eine technische Auswertung solcher Angriffe hat das Sicherheitsunternehmen Arctic Wolf in einem eigenen Bericht veröffentlicht.

Deepfake-Videos bekannter Krypto-Köpfe als neue Stufe

Neu an der Warnung ist der Einsatz von Deepfakes. Ein Deepfake ist ein mit künstlicher Intelligenz erzeugtes Video, das eine reale Person zeigt, die so nie vor der Kamera stand. Laut FBI erstellen die Täter solche Videos inzwischen aus öffentlich verfügbaren Fotos und Clips bekannter Personen aus der Krypto- und Web3-Branche. Die Qualität muss dabei nur für ein Webcam-Bild reichen.

Ein falsches Gesicht bekannter Größen im Call soll das Vertrauen zusätzlich erhöhen. Das FBI betont aber, dass die Kampagne weiterhin überwiegend mit gestohlenen Videos echter Opfer arbeitet. Für dich heißt das: Ein bekanntes Gesicht im Bild ist kein Beweis mehr, dass die Person wirklich am anderen Ende sitzt.

Seed Phrase auf dem Rechner: Warum die Täter monatelang warten

Besonders heikel ist ein Detail aus der Warnung. Nach einer erfolgreichen Infektion durchsucht die Schadsoftware den Rechner nach Krypto-Wallets, Seed Phrases und anderen Zugängen. Die Seed Phrase ist die Wortfolge, mit der sich eine Wallet vollständig wiederherstellen lässt. Wer sie besitzt, besitzt die Coins.

Die Täter schlagen nicht sofort zu. In mehreren Fällen kam der Diebstahl laut FBI erst Monate bis mehr als ein Jahr nach der ursprünglichen Infektion. Die Täter kopieren die Wiederherstellungswörter, beobachten die Guthaben auf der Blockchain und räumen die Wallet erst leer, wenn nach einer größeren Einzahlung genug zu holen ist. Ein Rechner, der vor Monaten befallen wurde, ist deshalb auch heute noch eine Gefahr, selbst wenn bisher nichts gefehlt hat.

Binance-Hack: 1,2 Milliarden Dollar beschlagnahmt, 2,7 Milliarden eingefroren

Der zweite Teil der Mitteilung betrifft den Binance-Hack. Am oder um den 29. Oktober haben Angehörige des nordkoreanischen Militärs, vom FBI TraderTraitor genannt, laut Justizministerium virtuelle Vermögenswerte im Wert von mehr als 6 Milliarden Dollar von Binance entwendet. Wie der Angriff ablief und wer dahintersteckt, haben wir in unserem Bericht zum Binance-Hack und TraderTraitor zusammengefasst.

Behörden und Unternehmen haben seitdem gemeinsam mehr als 2,7 Milliarden Dollar eingefroren. Für mehr als 1,2 Milliarden Dollar davon liegt bereits eine gerichtliche Genehmigung zur Beschlagnahme oder Sperrung vor. Die Suche läuft weiter, denn die Täter schleusen die Beute laut Ministerium über Bridges, Mixer und Börsen. Eine Bridge ist ein Dienst, der Token zwischen zwei Blockchains überträgt; ein Mixer vermischt Zahlungen vieler Nutzer, um die Herkunft zu verschleiern. Assistant Attorney General A. Tysen Duva erklärte, man habe etwa die Hälfte des historischen Diebstahls sofort aufhalten können.

Für Kunden einer Börse zeigt der Fall, wie wichtig Aufsicht und klare Regeln für die Verwahrung sind. Eine Zulassung nach der europäischen MiCA-Verordnung verpflichtet Anbieter in der EU unter anderem zur getrennten Verwahrung von Kundengeldern.

Open-Source-Lieferkette: npm- und Rust-Pakete im Visier

FaceStealer zielt nicht nur auf Krypto-Guthaben. Zunehmend sprechen die Täter laut FBI Menschen an, die Open-Source-Software entwickeln und pflegen. Gelingt der Zugriff auf deren Rechner, können sie Schadcode in Programmpakete einschleusen, die anschließend Millionen Nutzer herunterladen. Fachleute sprechen von einem Angriff auf die Lieferkette.

Anfang des Jahres wäre das laut FBI fast gelungen. Der Betreuer einer großen JavaScript-Bibliothek mit zig Millionen Downloads pro Woche folgte in einem gefälschten Teams-Call der vermeintlichen Fehlerbehebung. Die Täter nutzten seinen Zugang, um schädliche Abhängigkeiten in die Bibliothek einzuschleusen. Nur die schnelle Entdeckung verhinderte einen Großschaden. Weitere Versuche richteten sich gegen Betreuer von Paketen im JavaScript-Verzeichnis npm und zuletzt gegen Rust-Pakete, sogenannte Crates. Auch Wallet-Software baut auf solchen Paketen auf.

Patrick Grandy, Leiter des FBI-Büros in Los Angeles, beschreibt die Masche als hoch wirksam, selbst gegen technisch versierte und sicherheitsbewusste Nutzer. FaceStealer nutze das Vertrauen in allgegenwärtige Videokonferenzen und in persönliche Beziehungen aus. Wer sich kein Szenario vorstellen könne, in dem er darauf hereinfällt, denke nicht kreativ genug, sagte Grandy laut Pressemitteilung.

So schützt du dich vor gefälschten Videocalls und ClickFix-Malware

Was passiert ist: Am 12. November 2026 haben das US-Justizministerium und das FBI die Infrastruktur der nordkoreanischen FaceStealer-Kampagne beschlagnahmt. Die Täter locken über gekaperte Chat-Konten in nachgebaute Zoom- und Teams-Sitzungen und bringen ihre Ziele per vorgetäuschtem Tonfehler dazu, Schadsoftware zu installieren. Der Schaden liegt laut Ministerium bei mehr als 400 Millionen Dollar in 18 Monaten.

Bist du betroffen? Im Fokus stehen laut FBI Menschen aus der Krypto- und Web3-Branche sowie Entwickler von Open-Source-Software. Weil die Täter Kontaktlisten ihrer Opfer abarbeiten, kann aber jeder angeschrieben werden, der mit diesen Menschen vernetzt ist. Ein Warnsignal ist ein Videocall, bei dem du über einen Link statt über die App einsteigst und während des Gesprächs ein Update, Skript oder Befehl ausführen sollst. Hast du das in den vergangenen Monaten getan, behandle den Rechner als befallen.

1. Meeting-Code statt Link: Tritt Zoom- oder Teams-Sitzungen nur über die installierte App mit dem Meeting-Code bei, vor allem bei Einladungen von Kontakten, mit denen du selten sprichst.
2. Kamera erst später: Schalte deine Webcam erst ein, wenn du die einladende Person live siehst, hörst und ihr eine Frage gestellt hast, die nur sie beantworten kann.
3. Keine Befehle im Call: Führe während eines Meetings nie ein Skript aus und kopiere keinen Code in die Kommandozeile; aktualisiere die App bei Bedarf getrennt über die Herstellerseite.
4. Zweiter Kanal: Bestätige jeden Termin über einen anderen Weg als den, über den die Einladung kam, etwa per Anruf, wenn die Anfrage über Telegram eintraf.
5. Chat-Konten absichern: Aktiviere bei Telegram, WhatsApp und Slack die Zwei-Faktor-Anmeldung und Login-Benachrichtigungen und nutze selbstlöschende Nachrichten, damit gekaperte Verläufe wenig verraten.

Die Grundlagen der sicheren Verwahrung erklärt unser Ratgeber Kryptowährungen sicher aufbewahren, die passenden Geräte vergleicht der Hardware-Wallet-Vergleich.

Infizierter Rechner: Die Notfallschritte nach FBI-Empfehlung

Wer den Verdacht hat, in eine solche Falle geraten zu sein, sollte zuerst die Coins in Sicherheit bringen. Das FBI empfiehlt, auf einem Gerät, das nie für die Kommunikation mit den Tätern genutzt wurde, eine neue Wallet mit neuer Seed Phrase anzulegen und alle Bestände dorthin zu übertragen. Die alte Wiederherstellungsphrase gilt als verbrannt, denn die Täter können sie kopiert haben und warten womöglich nur auf den richtigen Moment.

Danach folgen die Konten. Ändere alle Passwörter, melde in Telegram, WhatsApp und anderen Diensten alle aktiven Sitzungen ab und richte eine Zwei-Faktor-Anmeldung ein. Hast du den Zugang zu einem Konto bereits verloren, wende dich an die Plattform und lass es sperren oder wiederherstellen. Informiere außerdem deine Kontakte, dass jemand in deinem Namen schreiben und dein Webcam-Video abspielen könnte. Lief der Call auf einem Dienstrechner oder liegen Arbeitsdateien auf dem privaten Gerät, gehört auch der Arbeitgeber dazu.

In den USA nimmt das FBI Meldungen über die Plattform IC3 mit dem Stichwort FaceStealer entgegen. In Deutschland ist die Polizei die erste Anlaufstelle, die meisten Bundesländer bieten dafür eine Onlinewache an.

Software-Wallet oder Hardware-Wallet: Wo das FBI größere Beträge sieht

Eine Software-Wallet ist ein Programm oder eine Browser-Erweiterung, die deine Schlüssel auf dem Computer oder Smartphone speichert. Genau dort setzt FaceStealer an. Das FBI rät deshalb, in Browser-Erweiterungen nur kleine Beträge zu halten. Größere Bestände sollen auf ein separates physisches Gerät, das nicht mit dem Rechner verbunden ist, oder zu einer Börse. Wiederherstellungsphrasen und private Schlüssel gehören laut FBI auf kein Gerät.

Eine Hardware-Wallet signiert Transaktionen auf einem eigenen Gerät, der private Schlüssel verlässt es nicht. Ein Keylogger auf dem Laptop kann ihn deshalb nicht mitschneiden. Voraussetzung ist, dass du die Seed Phrase nie abtippst, nie fotografierst und nie in einer Cloud speicherst. Für den Alltag mit kleinen Beträgen bleibt eine Software-Wallet praktisch, solange sie nur so viel enthält, wie du einen Verlust verkraften kannst.

FaceStealer-Abwehr: Drei Gewohnheiten gegen die 400-Millionen-Masche

1. Bestand aufteilen: Halte in der Browser-Wallet nur, was du für die nächsten Transaktionen brauchst, und lagere den Rest auf ein Gerät aus dem Hardware-Wallet-Vergleich.
2. Börse mit Aufsicht wählen: Wenn du Coins auf einer Plattform liegen lässt, nimm eine mit MiCA-Zulassung aus der Übersicht regulierter Kryptobörsen.
3. Alltags-Wallet bewusst wählen: Für kleine Beträge auf dem Smartphone hilft der Software-Wallet-Vergleich bei der Auswahl einer App mit Transaktionswarnungen.

(Stand: 13. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)