FBI Bongkar FaceStealer, Kampanye Deepfake Curi Kripto Rp6,4 Triliun

Telset.id – FBI dan Departemen Kehakiman Amerika Serikat (DoJ) resmi menamai kampanye social engineering yang mencuri sekitar US$400 juta atau setara Rp6,4 triliun dalam bentuk kripto sebagai FaceStealer. Penamaan ini diumumkan bersamaan dengan penyitaan infrastruktur cloud yang digunakan jaringan tersebut, yang menurut DoJ dikendalikan Korea Utara untuk membiayai pemerintahnya. Bagi pengguna dan pelaku industri kripto, langkah ini menandai babak baru perang terbuka terhadap serangan berbasis AI deepfake yang menyasar kredensial dan dompet digital.

FaceStealer bukan sekadar phishing biasa. Menurut laporan rinci FBI, kampanye ini merupakan bentuk spear-phishing canggih yang memadukan deepfake AI, pemanfaatan jaringan kontak serta data pribadi korban, dan persiapan matang yang kadang dilakukan berbulan-bulan sebelumnya. Operasi ini dilaporkan telah berjalan setidaknya 18 bulan, sejalan dengan catatan upaya intrusi serupa yang terdokumentasi.

Infrastruktur cloud yang disita FBI berisi 900 video korban yang menjadi target. Meski terjadi penyitaan, FBI menilai kampanye ini kemungkinan besar tidak berhenti. Heist terbesar yang dikaitkan dengan FaceStealer adalah peretasan Binance yang membuat pelaku membawa kabur lebih dari US$5 miliar, meski sebagian besar dana tersebut berhasil dibekukan dan/atau dipulihkan. FBI mengaitkan sekitar US$400 juta kripto curian dengan kampanye ini.

FBI juga mencatat bahwa pelaku berulang kali mencoba menyusup ke perangkat lunak open-source, terutama modul Javascript/NPM dan Rust crates. Meski tidak disebutkan namanya, salah satu contoh yang hampir pasti terkait adalah kompromi Axios pada Maret 2026. Pustaka Node/Javascript itu memiliki sekitar 100 juta unduhan per minggu dan sempat memuat remote-access tool, untungnya hanya beberapa jam.

Jason Sayayman, pengembang Axios yang menjadi korban, terjebak oleh penyerang yang menyamar sebagai perusahaan legit yang tertarik merekrutnya. Pelaku mereplikasi persona CEO, membuat workspace Slack dengan kanal yang tampak sah, lalu mengundangnya ke rapat Teams bersama beberapa “orang”. Modus operandi inilah yang diperingatkan FBI.

Menurut biro tersebut, FaceStealer memulai dengan mendapatkan akses ke aplikasi komunikasi seseorang, lalu mengangkat seluruh percakapan sebelumnya, daftar kontak, dan yang terpenting merekam video korban dan/atau kontaknya secara diam-diam. Rekaman serta informasi itu kemudian dipakai untuk menangkap target sesungguhnya, yang kerap dikirimi tawaran pekerjaan atau peluang investasi.

Korban akhirnya diundang ke rapat Zoom atau Teams yang sebenarnya di-host di server kendali penyerang, dengan domain typo-squatted seperti “uu01webzoom.us” atau “teams.livemeet.us”. Rapat itu sering menampilkan peserta AI deepfake dan/atau rekaman rapat sebelumnya yang diputar, memberi kesan legitimasi, terutama karena percakapan sebelumnya berisi informasi dan konteks nyata.

Pada titik tertentu, akan muncul “masalah teknis”, dan korban diminta memasang “update” atau perangkat lunak untuk memperbaikinya, yang ternyata berisi malware. Sejak itu, penyerang memiliki kendali bebas atas komputer dan data korban, menyedot sesi browser, kata sandi CI/CD, dan berbagai kredensial akses untuk akhirnya menjangkau dompet kripto, atau memakai informasi itu guna menemukan target yang lebih menggiurkan, seperti pengembang Binance yang menjadi pintu masuk hot wallet Binance.

FBI menyebut skenario di atas bisa berlangsung dalam beberapa siklus hingga penyerang mencapai target yang dituju, sambil mengumpulkan banyak video dan informasi berharga agar serangan final jauh lebih meyakinkan.

Anatomi Serangan FaceStealer

Pola yang diuraikan FBI memperlihatkan bahwa FaceStealer bekerja berlapis. Tahap pertama adalah pengambilalihan aplikasi komunikasi. Dari sana, pelaku memanen percakapan lama, kontak, dan rekaman video yang kemudian dijadikan bahan untuk membangun kedok yang meyakinkan. Informasi nyata inilah yang membuat tawaran pekerjaan atau investasi terasa masuk akal bagi calon korban.

Tahap kedua adalah eksekusi rapat palsu. Domain typo-squatted seperti “uu01webzoom.us” dan “teams.livemeet.us” menjadi penanda utama. Di dalam rapat, peserta deepfake AI dan rekaman rapat sebelumnya diputar untuk menutupi bahwa semuanya berjalan di server penyerang. Ketika “masalah teknis” dimunculkan, korban diarahkan memasang update berisi malware.

Tahap ketiga adalah pemanenan kredensial. Setelah malware aktif, penyerang menyedot sesi browser, kata sandi CI/CD, dan berbagai akses lain. Dari situ mereka bisa menuju dompet kripto atau memakai data tersebut untuk naik ke target berikutnya. FBI menegaskan bahwa siklus ini dapat berulang, dan setiap putaran menghasilkan lebih banyak video serta informasi yang memperkuat serangan final.

Dampak bagi Ekosistem Kripto dan Open-Source

Angka yang disebut FBI memberi gambaran skala: sekitar US$400 juta kripto curian dikaitkan dengan kampanye ini, sementara heist Binance yang disebut sebagai yang terbesar melibatkan lebih dari US$5 miliar, dengan sebagian besar dana berhasil dibekukan dan/atau dipulihkan. Penyitaan infrastruktur cloud berisi 900 video korban menjadi salah satu langkah konkret otoritas AS.

Yang tak kalah penting, FBI menyoroti upaya berulang pelaku menyusup ke perangkat lunak open-source, terutama modul Javascript/NPM dan Rust crates. Kasus Axios pada Maret 2026 menjadi ilustrasi betapa rantai pasok perangkat lunak bisa menjadi jalur masuk. Pustaka dengan sekitar 100 juta unduhan per minggu itu sempat memuat remote-access tool selama beberapa jam.

Bagi pengguna dan pengembang, peringatan FBI menyiratkan bahwa verifikasi identitas dalam komunikasi digital tidak lagi bisa mengandalkan tampilan wajah atau suara semata. Rekaman dan informasi yang dikumpulkan bertahap membuat serangan final tampak kredibel. Untuk konteks industri yang lebih luas, dinamika ancaman semacam ini sejalan dengan sorotan terhadap inovasi teknologi lain yang tengah dipantau, seperti yang dibahas dalam Teleskop Gemini North maupun perkembangan SIM Digital di sisi keamanan identitas.

FBI menegaskan bahwa skenario di atas bisa berlangsung dalam beberapa siklus sampai penyerang mencapai target yang dituju. Kampanye ini pun dinilai kemungkinan besar tetap berjalan meski ada penyitaan infrastruktur. Penamaan FaceStealer oleh FBI dan DoJ menjadi penanda bahwa operasi bernuansa deepfake AI kini masuk radar penegakan hukum secara eksplisit, dengan Korea Utara sebagai pihak yang dituding berada di belakangnya.