O ecossistema de hackers conhecido como Lazarus Group é ligado ao regime norte-coreano desde ao menos 2007. Em 2025, atores do país roubaram US$ 2,02 bilhões em cripto segundo a Chainalysis, um recorde de 76% dos comprometimentos de serviços contabilizados pela empresa, e acumulam pelo menos US$ 6,75 bilhões desde 2017. O maior golpe, a Bybit, tomou cerca de US$ 1,5 bilhão sem explorar vulnerabilidade no contrato inteligente nem no código-fonte da interface. Este artigo mostra por que o alvo real não é a criptografia, e sim a autoridade humana que assina as transações.
Em 21 de fevereiro de 2025, os signatários de uma das maiores corretoras de cripto do mundo aprovaram o que a tela descrevia como uma transferência interna de rotina. A operação parecia comum, um movimento entre carteiras da própria Bybit. A assinatura que eles autorizaram, no entanto, transferia o controle do contrato inteligente que controlava a cold wallet da empresa. Em minutos, cerca de US$ 1,5 bilhão saiu do alcance da corretora.
Foi o maior roubo de criptoativos já registrado, e não houve vulnerabilidade no contrato inteligente nem no código-fonte da interface. O ataque não explorou uma falha matemática. Explorou pessoas, telas e a cadeia de fornecedores que sustenta a infraestrutura digital. O FBI atribuiu a operação a atores norte-coreanos rastreados como TraderTraitor, parte do ecossistema que a indústria de segurança batizou de Lazarus Group.
Essa distinção organiza tudo o que vem a seguir. O Lazarus costuma ser descrito como um grupo de gênios que derrota a criptografia, mas não é bem assim. A engenhosidade está em aplicar recursos de inteligência estatal, paciência, pesquisa de alvos, engenharia social e malware, aos pontos onde seres humanos decidem quem pode assinar uma transação.
A pergunta que este artigo tenta responder não é como a Coreia do Norte hackeia carteiras. É como um Estado sancionado e isolado transformou o roubo de cripto em uma das principais fontes de moeda forte do regime.
“Lazarus Group” não é o nome oficial de uma organização com organograma público. É um rótulo criado no mercado de inteligência de ameaças para agrupar campanhas ligadas à Coreia do Norte por semelhanças de código, infraestrutura, horários de operação e alvos. O Tesouro dos Estados Unidos atribui o Lazarus e seus subgrupos Bluenoroff e Andariel ao Reconnaissance General Bureau (RGB), principal serviço de inteligência do país, situando a estrutura sob o 110th Research Center e sua criação já em 2007.
A cautela com os nomes importa porque cada fornecedor fatia o mesmo universo de um jeito. APT38 e Bluenoroff designam operações financeiras; TraderTraitor é o conjunto focado em blockchain, também rastreado como Jade Sleet e UNC4899; Citrine Sleet aparece ligado a aplicações cripto contaminadas. Em muitos relatórios, tudo isso vira simplesmente Lazarus. O mais rigoroso é falar em atores norte-coreanos ligados ao ecossistema Lazarus quando a fonte não delimita a unidade.
RGB [Reconnaissance General Bureau]: o principal órgão de inteligência militar da Coreia do Norte, sancionado por EUA e ONU. É a ele que as agências ocidentais subordinam as operações cibernéticas do regime.
As criptomoedas não foram o primeiro alvo. As campanhas mais antigas atribuídas ao universo Lazarus tinham forte componente político e militar. Entre 2009 e 2013, operações atingiram sites, meios de comunicação e bancos sul-coreanos, com destaque para a campanha DarkSeoul de 2013, que destruiu milhares de sistemas do setor financeiro. Duas marcas dessa fase reapareceriam depois: a permanência longa dentro das redes e a disposição para causar dano destrutivo."
Em 2014, o ataque à Sony Pictures tornou o nome global. Os invasores roubaram dados corporativos, vazaram e-mails de funcionários e implantaram malware que inutilizou milhares de computadores, numa retaliação atribuída pelos EUA ao filme The Interview. Dois anos depois veio o salto decisivo. Em fevereiro de 2016, operadores comprometeram terminais do banco central de Bangladesh ligados ao sistema SWIFT e tentaram mover quase US$ 1 bilhão guardado no Federal Reserve de Nova York. A maior parte foi bloqueada, mas US$ 81 milhões chegaram às Filipinas e foram lavados por contas, uma empresa de remessas e cassinos.
O padrão seguinte foi o WannaCry, em 2017, um ransomware que explorou uma falha do Windows e se espalhou como praga por pelo menos 150 países, afetando cerca de 300 mil computadores e levando ao cancelamento de mais de 19 mil consultas no sistema de saúde britânico. O malware exigia Bitcoin, mas o alvo não era a infraestrutura cripto; o ativo funcionava apenas como trilho de pagamento do resgate.
A partir de 2017 e 2018, as campanhas financeiras passaram a mirar exchanges, carteiras, desenvolvedores e protocolos. O motivo é estrutural. Uma única credencial, chave privada ou autoridade de assinatura pode controlar ativos de enorme valor. As transferências são globais e irreversíveis, os mercados funcionam sem parar, e as empresas do setor combinam equipes pequenas, trabalho remoto, ferramentas de código aberto e forte dependência de terceiros.
Ao contrário de um assalto via SWIFT, o atacante não precisa esperar que uma cadeia de bancos processe instruções fraudulentas. A liquidação ocorre on-chain em minutos. Some a isso o isolamento do regime, sob sanções pesadas e com acesso restrito ao sistema financeiro tradicional, e o cripto deixa de ser uma oportunidade e passa a ser um instrumento de política econômica.
A maioria dos grandes casos não demonstra quebra da blockchain. Demonstra quebra do sistema que decide quem pode assinar, atualizar, custodiar ou apresentar uma transação. O elo mais fraco é humano e organizacional, não criptográfico.
Três casos resumem a trajetória. O primeiro é a Ronin Network, ponte da Axie Infinity, em março de 2022. Cinco das nove chaves de validadores foram comprometidas, o suficiente para autorizar duas retiradas fraudulentas que somaram US$ 620 milhões. O FBI atribuiu o caso ao Lazarus. A lição foi desconfortável. Uma ponte apresentada como descentralizada dependia, na prática, de pouquíssimos validadores.
O segundo é a DMM Bitcoin, no Japão, em maio de 2024, com US$ 308 milhões (4.502,9 BTC) desviados. O vetor não foi técnico no início. Um operador se passou por recrutador no LinkedIn e enviou a um funcionário da provedora de carteira Ginco um script Python disfarçado de teste de emprego. Com cookies de sessão, os atacantes se passaram pelo funcionário e manipularam uma solicitação legítima de transferência. A corretora encerrou as operações depois.
O terceiro é a Bybit, em fevereiro de 2025, o ápice com cerca de US$ 1,5 bilhão. O atacante comprometeu a máquina de um desenvolvedor da Safe, provedora da interface de carteiras, obteve acesso a sessões e à infraestrutura em nuvem e injetou código no fluxo da Bybit. A tela mostrou aos signatários uma transferência rotineira, mas a assinatura entregava o controle do contrato da carteira fria. A própria Safe confirmou depois que não houve falha no contrato inteligente nem no código-fonte da interface; o problema foi a infraestrutura e a cadeia de confiança.
Por trás dos casos há uma sequência repetida. Tudo começa com reconhecimento profundo. Os operadores estudam funcionários, fornecedores, ferramentas e rotinas. Segundo o MSMT, em 2024 um único agrupamento norte-coreano contatou mais de 1.200 funcionários de empresas cripto em mais de doze países.
Vêm então as personas plausíveis. Falsos recrutadores, investidores, colegas ou clientes VIP abordam a vítima no LinkedIn, Telegram, Slack ou GitHub, com domínio do vocabulário do setor. A isca costuma exigir execução. Testes técnicos em Python, repositórios de código, pacotes de software ou aplicações de trading entregam programas que roubam credenciais. O que se busca não é apenas a senha, mas o contexto; cookies de sessão, tokens de nuvem, chaves de acesso e configurações que permitem se mover pela rede sem disparar alarmes.
O destino é sempre o mesmo, o ponto de autoridade. Chaves privadas, validadores, multisig, interface de assinatura, custodiante ou atualização de contrato. Quando a engenharia social não basta, entram falhas técnicas avançadas; em 2024 a Microsoft observou um subgrupo norte-coreano usando uma vulnerabilidade de dia zero do navegador Chromium contra o setor. A conclusão prática é que carteira fria não significa segurança absoluta, e quatro assinaturas olhando a mesma interface comprometida podem validar a mesma mentira.
A série mais citada é a da Chainalysis. Ela estima quase US$ 400 milhões roubados por atores norte-coreanos em 2021, cerca de US$ 1,7 bilhão em 2022, US$ 660,5 milhões em 2023 após revisão, US$ 1,34 bilhão em 2024 e US$ 2,02 bilhões em 2025, para um total histórico mínimo de US$ 6,75 bilhões. Em 2025, os ataques atribuídos ao país responderam por um recorde de 76% dos comprometimentos de serviços contabilizados pela empresa, e a Bybit sozinha representou 44% de todo o cripto roubado no ano.
A revisão de 2023 é uma lição de método. A Chainalysis havia publicado cerca de US$ 1 bilhão e depois reduziu o número para US$ 660,5 milhões ao reavaliar grandes ataques antes atribuídos ao país. Não é erro a esconder. É sinal de que atribuição cibernética é probabilística e muda quando surgem novos dados. Números que caem podem ser sinal de rigor, não de fraqueza.
Uma segunda fonte, o MSMT, grupo multilateral de monitoramento de sanções, usa um recorte mais conservador, contando apenas roubos atribuídos com alto grau de certeza. Nesse padrão, chegou a US$ 2,84 bilhões entre janeiro de 2024 e setembro de 2025. As bases não devem ser somadas; Chainalysis, ONU e MSMT usam conjuntos de casos, graus de certeza e datas de corte diferentes, e o valor do ativo no dia do roubo não equivale ao que foi de fato convertido em moeda.
O roubo é metade da operação. Ativos marcados por analistas podem ser congelados por emissores ou bloqueados por exchanges, então os operadores buscam velocidade e complexidade antes do saque final. O primeiro passo costuma ser converter tokens em ativos nativos como ETH, que resistem a congelamento. Logo após a Bybit, centenas de milhões foram trocados por ETH em corretoras descentralizadas.
Depois vêm a fragmentação e o encadeamento. O montante inicial da Bybit foi dividido em 50 carteiras com cerca de 10 mil ETH cada, e no caso Ronin mais de 12 mil endereços foram usados. Em seguida, o chain-hopping, com pontes e trocas movendo valor entre Ethereum, Bitcoin e outras redes, e o uso de misturadores como Tornado Cash, Sinbad e outros que apareceram em diferentes períodos. A Chainalysis descreveu em 2025 um ciclo típico de cerca de 45 dias após grandes roubos, com pouco mais de 60% do volume movimentado em tranches inferiores a US$ 500 mil e preferência por serviços em língua chinesa.
O limite está no encontro entre o on-chain e o off-chain. A blockchain mostra movimentações, mas não revela sozinha quem controla uma carteira nem qual corretor de balcão entregou dinheiro vivo. É por isso que a transparência ajuda sem resolver. Em 2022, mais de US$ 30 milhões ligados à Ronin foram apreendidos, a primeira recuperação pública desse tipo envolvendo hackers norte-coreanos. O rastro existe; o desafio é ligar endereços a pessoas e acompanhar várias redes ao mesmo tempo.
Chain-hopping [pular de cadeia]: mover fundos entre blockchains diferentes usando pontes e trocas, para dificultar o rastreamento. A transparência de cada rede continua existindo, mas a análise precisa seguir o dinheiro por várias delas.
Relatórios dos EUA, da ONU e do MSMT avaliam que o roubo de ativos, a lavagem e um programa paralelo de trabalhadores de TI ajudam a Coreia do Norte a gerar moeda forte, contornar sanções e financiar prioridades de Estado, inclusive os programas nuclear e de mísseis. O MSMT estimou que os roubos de cripto representaram cerca de um terço da receita total em moeda estrangeira do país em 2024. É uma estimativa de inteligência, não uma contabilidade auditada, e a formulação responsável evita dizer que um ataque específico pagou uma arma específica.
O ano de 2026 sugere que o método não perdeu força. No primeiro semestre, a TRM Labs registrou 207 ataques e perdas totais de US$ 972 milhões, das quais atribui cerca de US$ 643 milhões, ou 66% do total, a atividades ligadas à Coreia do Norte. Só os ataques aos protocolos Drift e KelpDAO, em abril, somaram US$ 577 milhões. O padrão de concentração se repete; os comprometimentos operacionais e de infraestrutura responderam por 76% do valor perdido, embora fossem apenas cerca de 15% dos incidentes.
Vale a ressalva. Essas atribuições de 2026 são de uma empresa de análise, ainda sem a confirmação formal do FBI que existe para Ronin, DMM e Bybit. A tendência, porém, é nítida. Menos ataques, cada um maior.
O Lazarus transformou o cibercrime financeiro em política industrial de um Estado sancionado. Seleção de talentos, pesquisa de alvos, desenvolvimento de malware, exploração, lavagem e saque funcionam como etapas especializadas de uma linha de montagem. Chamar isso de hacking subestima o que é.
O maior risco do ecossistema não está apenas no contrato inteligente; está na autoridade operacional, em quem desenvolve, atualiza, assina, guarda chaves e fornece a interface. A defesa séria mora aí, em canais independentes de verificação, custódia bem desenhada e desconfiança treinada diante do recrutador simpático que aparece com um teste de código.
A transparência da blockchain não é o problema; é parte da solução, porque deixa um rastro que o dinheiro vivo não deixa. Mas ela não substitui disciplina operacional. O cripto não é anônimo nem impossível de rastrear, e também não é invulnerável a quem tem paciência estatal.
No fim, a lição que fica é que o grupo Lazarus (e outros grupos hackers) não precisa quebrar a matemática da blockchain quando consegue convencer as pessoas e os sistemas ao redor dela a assinar por ele.
Fontes: U.S. Treasury (2019, 2025), sanções e estrutura sob o RGB; trabalhadores de TI. U.S. DOJ (2018, 2021, 2025), denúncias e ações civis. FBI (2022-2025), atribuições de Ronin, Harmony, DMM e Bybit. CISA (2022), TraderTraitor e FASTCash. Safe Ecosystem Foundation (2025), análise forense do caso Bybit. Sygnia (2025), investigação técnica da Bybit (máquina de dev, AWS e JavaScript injetado). Chainalysis (2026), séries anuais e perfil de lavagem. MSMT (2025), relatório sobre operações cibernéticas e trabalhadores de TI da Coreia do Norte. Painel de Peritos da ONU, S/2024/215 (2024). Elliptic (2025), rastreamento do hack da Bybit. Microsoft (2024) e Google Cloud/Mandiant (2023), inteligência sobre os subgrupos. TRM Labs (2026), panorama do 1º semestre de 2026 e casos Drift e KelpDAO.
Autor: Daniel Ascen - Economista, Analista de Criptoativos e Fundador da Ascen Cripto
Comments
Nothing yet. Say the first thing.
Sign in to join the conversation.