你可能以為密碼、硬體錢包與多因素驗證，已經足以擋住大多數入侵。但這起由美國司法部披露的案件提醒市場，威脅可能直接從真人視訊開始：攻擊者利用熟悉的臉孔、聲音與預錄畫面，誘騙員工在視訊會議中安裝惡意軟體。
先講結論，Decrypt 於 2026 年 11 月 12 日引述美國司法部說法指出，北韓疑似透過名為「FaceStealer」的計畫，利用 AI 深偽影片與可信聯絡人的預錄片段，誘使加密貨幣產業工作者安裝惡意程式，估計竊取約 4 億美元。金額很驚人，但目前提供的資料主要是媒體摘要與司法部說法概述，不能把它直接解讀為所有細節都已完成獨立查證。
這件事真正值得台灣企業與加密貨幣平台重視的地方，不只是北韓，而是「人臉不再是身分證明」；只要高價值資產流程仍允許臨時安裝軟體、共享螢幕或操作個人電腦，傳統 MFA 可能只守住登入，卻沒守住工作階段。
DOJ 所指 FaceStealer 究竟是什麼？
目前可確認的公開重點，是美國聯邦調查局對 FaceStealer 計畫的描述：攻擊者會製作或利用可信聯絡人的預錄影片，再配合 AI 深偽技術，在視訊通話中誘導加密貨幣工作者安裝惡意軟體。這與常見的暴力破解密碼不同，因為被騙者可能是在清醒、聯線且沒有察覺異常的情況下，主動執行攻擊者指定的動作。
這類手法之所以有效，是因為它利用了真實的信任關係。攻擊者不必突破複雜的加密技術，只要讓員工相信「主管、客戶或工程師正在線上等你」，便可能取得第一個可乘之機。
從風險角度來看，至少要留意三種情況：
- 身分冒用：深偽臉孔、聲音或即時影像被用來冒充同事、客戶與高階主管。
- 惡意程式誘導：受害者依指示下載安裝程式、更新工具或執行不明指令。
- 工作階段接管：惡意程式在可信電腦上取得儲存於瀏覽器、密碼管理器或交易所工作階段的資料。
目前提供的來源內容沒有列出完整受影響名單、每名受害者的損失、作案時程與鏈上地址，因此外界不應把「4 億美元」解讀為每一筆資產都已完成追回或精準分配到特定案件。
為什麼傳統 MFA 還可能失效？
多因素驗證主要保護的是「帳戶登入」，但深偽影片攻擊鎖定的可能不是登入頁，而是受信任員工正在處理的敏感電腦。這台電腦若已登入交易所、錢包管理工具或內部系統，攻擊者未必需要再次破解 MFA。
老實說，問題不在 MFA 本身不夠強，而是企業若只保護帳戶、沒有管理端點與操作流程，安全控制就會出現缺口。常見盲點包括臨時開通遠端桌面、允許外部裝置接入內網，以及把管理員操作與一般上網環境放在同一台電腦。
這裡需要區分三件事：
- 已確認事實：Decrypt 引述 DOJ 與 FBI 的公開說法，指出 FaceStealer 涉及預錄影片、AI 深偽與惡意軟體安裝誘導。
- 作者分析：依案件描述推斷，可信聯絡人的形象與即時互動，是用來降低員工戒心、取得惡意程式執行機會的關鍵。
- 仍待確認：實際受襲組織、完整損失金額、遭冒用者身分及每段影片的製作流程，仍需要司法部正式文件、法院文件與企業公告交叉比對。
台灣加密貨幣企業可立即採取哪些措施？
如果你的團隊持有交易所 API 權限、託管帳戶資訊或穩定幣操作權限，現在就應該重新檢查「人盯著螢幕」這件事。防守不能只靠員工說自己看得出來是假影片，因為即時深偽的品質、情境與壓力都會降低辨識成功率。
一、建立禁止臨時安裝的端點政策
敏感工作應使用受管且受監控的電腦，禁止員工在視訊會議中依照臨時要求安裝瀏覽器擴充套件、桌面程式或未知開發者程式。必要更新必須經過 IT 核准，並從公司內部軟體庫取得。
高風險管理員帳號最好與日常聯絡工具、影音會議及外部裝置分流。這不能保證永不遭攻擊，但能降低惡意程式直接碰到敏感資產的機會。
二、為高風險付款設定第二人驗證
涉及大額轉帳、API 權限變更、提幣地址修改與白名單調整的操作，至少應由兩名不同權限的人員確認。確認不能只靠影片中的聲音，還要搭配企業內部已知管道，例如獨立聊天帳號、實體裝置或簽章工具。
驗證碼本身也不應透過視訊通話口頭傳遞。若人員必須在畫面中操作內部後台，應使用遮罩或延遲顯示敏感欄位，避免密碼、種子詞、API 金鑰或完整地址直接暴露。
三、導入活體與數位簽章等額外證據
對交易所出入金、資產管理與內部系統權限變更，可以考慮搭配活體偵測、硬體安全金鑰及數位簽章。這些措施並非為了否定視訊，而是讓「看起來像本人」不再是唯一授權條件。
AI 自動化也能協助風險排序，例如標記深夜出現、跨國連線、臨時權限提升，以及要求安裝外部程式的會議。不過自動系統只應扮演預警與分流角色，最終核准仍需要明確責任人。
四、把「驗證請求」視為社交工程事件
當主管或工程師突然要求更新電腦、共享螢幕或開啟某個連結時，員工應停止操作，改走公司既有的回撥流程。流程不應由發起驗證的人臨時指定，這一點很關鍵，因為攻擊者最需要的就是受眾願意臨時改規則。
可以將高風險事件分成三級：
| 事件等級 | 常見情境 | 建議處置 |
|---|---|---|
| 一般詢問 | 同事要求提供非敏感專案資訊 | 依正常權限判斷，不額外分享驗證碼或內部路徑 |
| 高風險操作 | 遠端協查、更新錢包工具、安裝程式 | 改由公司內部管道回撥，並經第二人確認 |
| 緊急資安事件 | 即將轉帳、API 權限遭修改、種子詞外洩 | 立即停止操作、隔離端點、通報安全負責人並輪替憑證 |
這對一般投資人的實質影響
如果你只是使用中心化交易所買賣資產，距離交易所員工的工作電腦可能很遠，但供應鏈風險仍可能間接影響平台服務。平台若有員工權限遭接管，攻擊者可能接觸提款處理、客戶資料或 API 權限，因此「大型平台比較安全」並不等於沒有營運與資安風險。
個人端也應避免在安裝不明遠端工具後登入交易所。自我托管用戶則要檢查電腦是否遭惡意程式汙染，尤其是持有大量資產、連接多個錢包或管理合約權限的電腦；發現異常後，不應只關掉提示視窗，必要時應先保全證據，再將乾淨裝置上的資產轉移至新地址。
風險提醒是：媒體報導中的約 4 億美元是司法部說法所指的估計損失，不等同於單一已追回金額，也不能據此推論所有加密貨幣平台都遭到相同手法。區塊鏈公開、交易不可逆的特性，反而意味著錯誤轉帳後的追回條件通常更嚴苛。
資料來源與利益揭露
來源類型：本文主要依據 Decrypt 於 2026 年 11 月 12 日 22:06 發布的新聞報導，該報導引述美國司法部與聯邦調查局對 FaceStealer 計畫的公開說法。本文未取得並逐頁查閱完整的司法部新聞稿、法院文件或受影響企業公告，因此對作案細節與 4 億美元估算的表述，均保留來源限制。
資料日期：核心事件資訊日期為 2026 年 11 月 12 日；本文整理日期為 2026 年 11 月 14 日。本文不引用來源頁面內隨時變動的加密貨幣價格與漲跌幅，因為價格不是本題論證重點，也沒有足夠理由把頁面快照視為 2026 年 11 月 14 日的即時行情。
資料限制：現有摘要未完整列出受訪者、每名受害者損失、駭客身分、資金流向、鏈上地址或追回進度。涉及這些專案時，本文不自行推估；讀者若要作為風險判斷或合規依據，應再查閱美國司法部、聯邦調查局、法院與涉事公司的正式文件。
利益揭露：本文沒有合作平台、交易所、資安產品或聯盟連結，亦未接受本文所述案件相關單位的委託。內容僅為資安與監管風險分析，不構成法律意見、投資建議或追回加密資產的保證。
FAQ 常見問題
北韓真的用 AI 深偽影片竊取了 4 億美元加密貨幣嗎？
依 Decrypt 於 2026 年 11 月 12 日引述 DOJ 與 FBI 的說法，北韓相關人員疑似透過 FaceStealer 計畫，利用預錄影片與 AI 深偽誘導工作者安裝惡意軟體，估計造成約 4 億美元損失。不過，完整細節仍應以司法部正式文件、法院紀錄及涉事企業資料交叉確認。
FaceStealer 與一般深偽詐騙有什麼不同？
一般深偽詐騙可能只想冒充親友要求轉帳；FaceStealer 的公開描述則更聚焦於加密貨幣工作環境中的惡意軟體安裝。攻擊者利用深偽影片取得信任後，讓員工在受信任的電腦上執行特定操作，進而形成供應鏈與端點入侵風險。
使用多因素驗證，還能防止這類攻擊嗎？
MFA 能降低帳戶遭盜用的機率，但無法單獨阻止員工在自己的電腦上安裝惡意程式，也無法保證視訊中的臉孔是真的。高價值操作仍需要端點管理、第二人核准、獨立回撥管道與端點加密金鑰共同防護。
一般散戶或小型團隊需要採取同樣嚴格的做法嗎？
需要依資產規模調整，但核心原則相同。持有大量資產、管理交易所 API 或長期保存種子詞的人，應避免在日常電腦處理敏感操作；至少要使用獨立工作裝置、延遲提款、地址白名單、雙人核准及不含私密資訊的簽章流程。
看到可疑的視訊來電，第一步應該做什麼？
先不要依照對方要求安裝程式、分享畫面、輸入驗證碼或轉帳，立即結束可疑操作並改用公司或服務商既有的獨立渠道回撥。若已安裝軟體或提交憑證，應隔離裝置、通報資安負責人、撤銷相關權杖，並評估是否需要將資產轉移到乾淨裝置與新地址。
如果你正在管理交易所帳戶、API 金鑰或公司數位資產，現在就值得做一次盤點：列出誰能提幣、誰能改地址、誰能安裝軟體，再把高風險權限從日常視訊環境中拆開。最好的防線不是相信任何一張臉，而是讓一次視訊通話永遠不足以完成轉帳或權限變更。
🔍 相關標籤
#資安 #監管 #Web3
