Se o objetivo dos hackers comuns é roubar dados, os alvos dos ataques do Lazarus Group (Grupo Lazarus) há muito ultrapassaram os limites do cibercrime tradicional.
Ao longo da última década e meia, esse grupo hacker, que o governo dos Estados Unidos considera ligado à Coreia do Norte, tem atacado continuamente bancos, instituições financeiras, empresas de tecnologia e projetos de criptomoedas em todo o mundo. Dos ataques à Sony Pictures ao roubo de 81 milhões de dólares do Banco Central de Bangladesh, passando pela ponte cross-chain Ronin, pela rede Harmony e pelo roubo de ativos no valor de quase 1,5 bilhão de dólares da Bybit em 2025, as operações associadas ao Lazarus vêm redefinindo a percepção do setor financeiro global sobre os riscos à cibersegurança.
Eles atacam não apenas as vulnerabilidades dos sistemas, mas também a confiança entre as pessoas, as permissões internas das empresas e os limites de segurança de toda a infraestrutura financeira.
I. Afinal, o que é o Lazarus?
O Lazarus Group, também conhecido como Grupo Lazarus, é o nome usado pelo setor de cibersegurança para designar um conjunto de atividades de ciberataque com origem na Coreia do Norte.
Em 2019, o Departamento do Tesouro dos Estados Unidos impôs sanções oficiais ao Lazarus Group e apontou sua ligação com o Escritório Geral de Reconhecimento da Coreia do Norte.
As atividades de ataque associadas ao grupo incluem invasões a instituições financeiras, roubo de segredos comerciais, ransomware, roubo de criptomoedas e sabotagem de infraestrutura de rede. Em pesquisas de cibersegurança, também aparecem com frequência nomes como APT38, TraderTraitor e Bluenoroff para descrever atividades de ataque relacionadas ou grupos de ameaças associados. No entanto, esses nomes não significam que todas as operações sejam executadas pela mesma equipe.
O governo dos Estados Unidos considera que o cibercrime ligado à Coreia do Norte é um importante canal para obter fundos ilícitos e que parte desses recursos pode ser usada para apoiar o regime norte-coreano e seus programas de armamento.
II. Mais de uma década de ataques: incidentes importantes que abalaram o mundo
2014: ataque à Sony Pictures
Em novembro de 2014, a Sony Pictures sofreu um ciberataque em larga escala. Os invasores entraram na rede interna da empresa, roubaram uma grande quantidade de informações confidenciais e usaram malware destrutivo para apagar dados, afetando gravemente as operações da empresa.
Entre as informações vazadas estavam e-mails internos de executivos, dados pessoais de funcionários, materiais de filmes ainda não lançados, informações financeiras da empresa e segredos comerciais.
O incidente mostrou às empresas de todo o mundo que os ciberataques não apenas podem roubar informações, mas também interromper diretamente as operações normais de uma empresa. Mais tarde, o governo dos Estados Unidos associou o ataque a operações cibernéticas ligadas à Coreia do Norte.
2016: roubo de 81 milhões de dólares do Banco Central de Bangladesh
Este é um dos incidentes mais conhecidos da história de ataques financeiros associados ao Lazarus.
Os invasores primeiro se infiltraram nos sistemas internos do Banco Central de Bangladesh e obtiveram credenciais de comunicação bancária. Em seguida, usaram o sistema internacional de comunicação financeira interbancária SWIFT para enviar ordens de transferência falsas.
Os invasores tentaram transferir cerca de 951 milhões de dólares. Algumas transações foram bloqueadas a tempo, mas aproximadamente 81 milhões de dólares acabaram sendo transferidos com sucesso.
O incidente expôs um risco importante dos sistemas financeiros tradicionais: mesmo que um banco conte com um sistema internacional de pagamentos sofisticado, o comprometimento de terminais internos, credenciais de identidade e procedimentos operacionais ainda pode causar perdas enormes.
2017: o ransomware WannaCry se espalha pelo mundo
Em maio de 2017, o ransomware WannaCry se espalhou rapidamente por pelo menos 150 países e infectou cerca de 300 mil computadores.
O vírus se propagava explorando uma vulnerabilidade do Windows. Depois de infectar um dispositivo, criptografava os arquivos e exigia que a vítima pagasse um resgate em bitcoin.
O Serviço Nacional de Saúde do Reino Unido (NHS) foi gravemente afetado: consultas hospitalares, serviços médicos e sistemas internos foram prejudicados, e mais de 19 mil consultas foram canceladas.
Em seguida, os Estados Unidos, o Reino Unido e outros países atribuíram publicamente o ataque do WannaCry a operações cibernéticas ligadas à Coreia do Norte. O incidente demonstrou que os danos causados por ciberataques já não se limitam a prejuízos financeiros: podem até afetar serviços de saúde e infraestrutura pública.
2022: roubo de cerca de 625 milhões de dólares da Ronin Bridge
Em março de 2022, a rede Ronin, que está por trás do jogo blockchain Axie Infinity, foi atacada.
Por meio de ataques de engenharia social direcionados a pessoas associadas à Sky Mavis, os invasores obtiveram as permissões necessárias para controlar os nós validadores e, por fim, assumiram o controle de um número suficiente deles.
Em seguida, os invasores transferiram da Ronin Bridge cerca de 173.600 ETH e 25,5 milhões de USDC. Com base nos preços de mercado da época, o prejuízo foi de aproximadamente 625 milhões de dólares.
O projeto só detectou a atividade anormal vários dias depois. Em abril de 2022, o FBI dos Estados Unidos atribuiu oficialmente o ataque ao Lazarus Group e a atividades cibernéticas relacionadas à Coreia do Norte.
O incidente expôs o risco fundamental das pontes cross-chain: a blockchain pode continuar funcionando normalmente, mas, se o mecanismo de validação que controla a transferência de ativos entre blockchains for comprometido, todo o sistema da ponte pode se tornar um alvo de ataque.
2022: roubo de 100 milhões de dólares da Harmony Horizon Bridge
Em junho de 2022, a ponte cross-chain Horizon, do projeto Harmony, foi alvo de um ataque, e cerca de 100 milhões de dólares em criptoativos foram roubados.
O FBI dos Estados Unidos confirmou oficialmente, em janeiro de 2023, que o Lazarus Group era responsável pelo roubo. Depois disso, os atacantes transferiram os fundos por meio de diferentes endereços e protocolos de privacidade.
O FBI também revelou que pessoas envolvidas usaram protocolos de privacidade como o RAILGUN para movimentar parte do ETH roubado.
Isso demonstra que roubar os ativos é apenas uma parte da operação. Transferir, dividir e movimentar os fundos roubados também são etapas importantes de toda a cadeia criminosa.
2023: ataques sucessivos à indústria de criptomoedas
Em 2023, os ciberataques associados ao Lazarus continuaram tendo como alvo a indústria de criptomoedas.
A Atomic Wallet perdeu cerca de 100 milhões de dólares, a Alphapo cerca de 60 milhões, a CoinsPaid cerca de 37 milhões e a Stake.com cerca de 41 milhões.
O FBI dos Estados Unidos divulgou gradualmente informações sobre a atribuição dos ataques, relacionando esses incidentes a atividades cibernéticas ligadas à Coreia do Norte.
Os alvos dos ataques já não se limitavam a grandes corretoras: aos poucos, passaram a incluir provedores de carteiras, plataformas de pagamento e todo o ecossistema de criptomoedas.
2025: roubo de cerca de 1,5 bilhão de dólares em ativos da Bybit
Este é um dos maiores roubos de ativos da história da indústria de criptomoedas.
Em 21 de fevereiro de 2025, a Bybit foi atacada, e cerca de 1,46 bilhão de dólares em ETH e ativos relacionados foram transferidos.
O aspecto mais importante a estudar neste ataque é que os invasores não simplesmente descobriram a senha da corretora; eles exploraram relações de confiança na cadeia de suprimentos e no processo de assinatura de transações.
De acordo com as informações da investigação divulgadas pela Bybit, os invasores comprometeram as credenciais e a infraestrutura de desenvolvedores associados à Safe e manipularam a interface de assinatura de transações, fazendo com que o conteúdo exibido aos signatários fosse diferente da transação maliciosa realmente executada.
No fim, os invasores assumiram o controle de uma carteira fria de ETH da Bybit e transferiram cerca de 1,46 bilhão de dólares em ativos.
Em 26 de fevereiro de 2025, o FBI dos Estados Unidos atribuiu oficialmente o ataque a agentes cibernéticos ligados à Coreia do Norte e o classificou como parte da atividade TraderTraitor.
O FBI também revelou que os invasores converteram rapidamente parte dos ativos roubados em bitcoin e outros criptoativos e os distribuíram por um grande número de endereços blockchain.
Este ataque soou o alarme para toda a indústria: carteiras frias não são absolutamente seguras, mecanismos de múltiplas assinaturas tampouco são absolutamente seguros, e carteiras de hardware também não conseguem impedir todas as assinaturas maliciosas.
A verdadeira questão não é apenas se a chave privada foi exposta, mas sim: o que exatamente você está assinando?
III. Afinal, como o Lazarus realiza os ataques?
O estudo desses incidentes históricos revela vários padrões de ataque recorrentes.
O primeiro é a engenharia social.
Os invasores podem se passar por empresas de investimento, recrutadores, desenvolvedores técnicos, representantes de projetos ou parceiros comerciais e entrar em contato com os alvos pelo X, LinkedIn, Telegram e e-mail. Depois de estabelecer uma relação de confiança, enviam os chamados documentos de trabalho, materiais de investimento, testes de código ou convites para reuniões.
Quando o alvo baixa e executa um arquivo malicioso, os invasores podem roubar credenciais de contas, obter acesso ao dispositivo e até se infiltrar na rede interna da empresa.
O segundo é o ataque à cadeia de suprimentos.
Grandes corretoras e projetos de blockchain geralmente contam com várias camadas de proteção, o que dificulta ataques diretos aos sistemas centrais. Por isso, os invasores podem voltar sua atenção para desenvolvedores, prestadores de serviços terceirizados, fornecedores de software e outros parceiros com acesso aos sistemas.
O incidente da Bybit é um exemplo típico. Os invasores aproveitaram a invasão do ambiente de desenvolvimento de terceiros e da interface de transações para influenciar a avaliação dos signatários sobre o conteúdo das transações.
O terceiro é a transferência de fundos on-chain.
Depois de roubar os ativos, os invasores podem dividi-los entre vários endereços e dificultar o rastreamento usando conversões cross-chain, diferentes plataformas de negociação e protocolos de privacidade.
Mas o blockchain não é completamente anônimo. Cada transação deixa um registro. Mesmo que os invasores mudem de endereço repetidamente, o fluxo dos fundos, os horários das transações, as fontes de fundos compartilhadas e as relações entre os endereços ainda podem servir como pistas para uma investigação.
É por isso que o FBI, as empresas de análise de blockchain e as plataformas de negociação conseguem identificar parte dos fundos roubados por meio do rastreamento on-chain.
IV. Que impacto esses ataques tiveram na indústria global de criptomoedas?
Em primeiro lugar, abalaram a confiança na segurança das instituições financeiras. O incidente do Banco Central de Bangladesh demonstrou que até os sistemas internacionais de pagamento dos bancos tradicionais podem ser alvo de ciberataques.
Em segundo lugar, os riscos de segurança da infraestrutura de criptomoedas foram reavaliados. Incidentes como os da Ronin e da Harmony levaram todo o setor a reexaminar a segurança de pontes cross-chain, carteiras com múltiplas assinaturas, nós validadores e contratos inteligentes.
Em terceiro lugar, os custos operacionais das corretoras continuam aumentando. A gestão de carteiras frias, a verificação de assinaturas, as auditorias de terceiros, o monitoramento on-chain, a resposta a incidentes e a cobertura de seguros exigem mais recursos.
Em quarto lugar, os ativos roubados podem entrar em redes mais amplas de circulação de fundos ilícitos. Depois de serem transferidos entre várias blockchains, convertidos e lavados, esses ativos podem afetar plataformas de negociação, protocolos DeFi e outros usuários comuns.
Mais preocupante ainda é a convergência entre questões de cibersegurança em nível estatal e a indústria de criptomoedas. Já não se trata de simples ataques de hackers individuais, mas de uma questão complexa que envolve infraestrutura financeira, segurança internacional e regulamentação de ativos digitais.
V. Como os usuários comuns de criptomoedas podem se proteger?
$BNB Investidores comuns não precisam dominar técnicas profissionais de cibersegurança, mas devem desenvolver hábitos básicos de segurança.
Sempre que possível, guarde grandes quantias em uma carteira fria separada.
Nunca envie frases-semente ou chaves privadas para serviços de armazenamento em nuvem ou aplicativos de mensagens.
Não forneça a ninguém sua frase-semente, chave privada ou autorização para assinar.
Não instale indiscriminadamente plugins de carteira fornecidos por desconhecidos.
Não use softwares de carteira de procedência desconhecida.
Verifique regularmente as autorizações da carteira e revogue as que não forem mais necessárias.
Não assine às cegas transações que não entende.
Antes de assinar, confira o endereço do destinatário, o endereço do contrato e os detalhes da transação.
Tenha cuidado com autorizações de tokens sem limite de valor.
Para operações de grande valor, faça primeiro um teste com uma quantia pequena.
Nas contas de corretoras, também é importante ativar a autenticação de dois fatores independente, dar preferência a métodos resistentes a phishing, como chaves de segurança de hardware, definir uma lista de permissões para endereços de saque e ativar notificações de login e saque.
É importante ressaltar que uma carteira de hardware pode proteger a chave privada, mas não garante que a transação aprovada por você seja segura. Se você assinar uma transação maliciosa, a carteira de hardware também pode se tornar uma porta de entrada para a perda de fundos.
Corretoras, projetos DeFi e equipes de desenvolvimento também precisam separar as chaves privadas dos sistemas operacionais, dividir as permissões de múltiplas assinaturas, auditar softwares de terceiros, aplicar o princípio do menor privilégio, monitorar transações anormais e implementar mecanismos de pausa de emergência.
VI. O que realmente merece atenção: os alvos dos ciberataques estão mudando
Ao analisar o histórico de ataques da última década, é possível observar uma clara trajetória de evolução.
Entre 2014 e 2017, os ataques tinham como alvo principalmente sistemas corporativos e envolviam roubo de dados e ransomware.
Entre 2016 e 2020, os ataques se expandiram para sistemas bancários, sistemas internacionais de pagamento e instituições financeiras.
Entre 2018 e 2021, corretoras de criptomoedas, carteiras e softwares relacionados tornaram-se alvos prioritários.
Entre 2022 e 2023, os ataques avançaram ainda mais, alcançando pontes cross-chain, DeFi e a infraestrutura blockchain.
Em 2025, a cadeia de suprimentos, os ambientes de desenvolvimento de terceiros e os processos de transação com múltiplas assinaturas tornaram-se pontos de entrada que merecem atenção.
Isso não significa que todos os ataques tenham sido executados pelas mesmas pessoas ou com as mesmas técnicas, mas sim que as atividades de ciberameaça associadas ao Lazarus já abrangem um número crescente de infraestruturas financeiras.
Para a indústria de criptomoedas, os limites da segurança estão mudando.
No passado, a preocupação era saber se as chaves privadas haviam sido expostas ou se os contratos inteligentes tinham vulnerabilidades. Agora, também é preciso considerar se os computadores dos desenvolvedores são seguros, se os softwares de terceiros são confiáveis, se a interface de assinatura foi adulterada e se houve abuso de permissões internas.
A história de mais de uma década de ataques do Lazarus revela uma dura realidade: na era das finanças digitais, o maior risco talvez não seja a invasão de sistemas, mas a exploração da confiança.
Quando ativos digitais no valor de dezenas de bilhões de dólares podem ser transferidos em pouco tempo, todo o setor precisa refletir sobre uma questão:
Estamos construindo um sistema financeiro digital seguro ou apenas transferindo para o blockchain os riscos do mundo das finanças tradicionais?$BTC