Como o Grupo Lazarus e outros agentes cibernéticos ligados à Coreia do Norte transformaram instituições financeiras globais e plataformas de criptomoedas em alvos, e por que as autoridades internacionais responsáveis pela aplicação da lei têm dificuldade em levá-los à justiça.
Tenho pesquisado a história dos ciberataques norte-coreanos, particularmente o seu envolvimento no roubo de criptomoedas, e há uma pergunta que não me sai da cabeça.
Como pode um grupo de hackers roubar milhares de milhões de dólares de instituições financeiras e bolsas de criptomoedas que operam em vários países e, ainda assim, ser tão difícil de prender pelas autoridades internacionais responsáveis pela aplicação da lei?
Não estamos falando de um incidente isolado nem de um pequeno grupo de cibercriminosos inexperientes. Estamos diante de um padrão de operações que se estende por uma década e envolve bancos, redes de pagamento, exchanges de criptomoedas, pontes blockchain, desenvolvedores de software e investidores individuais.
O nome que aparece repetidamente nessas investigações é Lazarus Group, uma organização de hackers ligada à Coreia do Norte.
Ao longo dos anos, os métodos evoluíram. O que começou com ataques à infraestrutura bancária tradicional se expandiu gradualmente para exchanges de criptomoedas, plataformas DeFi e ecossistemas blockchain.
Mas a parte mais interessante desta história não é simplesmente quanto dinheiro foi roubado. É o quão difícil se tornou interromper essas operações, identificar as pessoas que estão por trás delas e levá-las a julgamento.
Vamos analisar as evidências.
1. Uma década de ciberataques: dos bancos tradicionais às criptomoedas
Roubo ao Bangladesh Bank em 2016
Aproximadamente US$ 81 milhões foram roubados com sucesso do Bangladesh Bank por meio de instruções fraudulentas de pagamento SWIFT. Os investigadores ligaram a operação a hackers norte-coreanos.
Os invasores tentaram transferir aproximadamente US$ 951 milhões, mas a maioria das transferências tentadas foi bloqueada.
Ransomware WannaCry em 2017
Um ataque global de ransomware afetou centenas de milhares de computadores. As vítimas perderam o acesso aos arquivos e receberam a exigência de pagar em Bitcoin para recuperá-lo.
O Serviço Nacional de Saúde do Reino Unido esteve entre as organizações afetadas. Posteriormente, o Departamento de Justiça dos EUA vinculou a operação a hackers norte-coreanos.
2018 — BankIslami Pakistan
Este incidente é particularmente relevante para o Paquistão.
Segundo o Departamento de Justiça dos EUA, aproximadamente US$ 6,1 milhões foram roubados do BankIslami Pakistan em uma operação coordenada de saque em caixas eletrônicos conhecida como FASTCash.
Isso demonstra que essas operações não se limitavam a instituições financeiras ocidentais.
2022 — Ronin Network
Aproximadamente US$ 625 milhões em criptomoedas foram roubados da Ronin Network, associada ao Axie Infinity.
O FBI atribuiu o ataque ao Lazarus Group e ao APT38.
2022 — Harmony Horizon Bridge
Outros aproximadamente US$ 100 milhões foram roubados da Horizon Bridge da Harmony. Posteriormente, o FBI atribuiu o ataque ao Lazarus Group.
2023 — Atomic Wallet, CoinsPaid e Alphapo
Esses incidentes envolveram aproximadamente:
Atomic Wallet: US$ 100 milhões.
CoinsPaid: US$ 37 milhões.
Alphapo: US$ 60 milhões.
O FBI vinculou agentes afiliados à Coreia do Norte a esses incidentes.
2024 — WazirX, DMM Bitcoin e outros ataques
Várias grandes plataformas e projetos de criptomoedas sofreram perdas substanciais:
DMM Bitcoin: aproximadamente US$ 308 milhões.
WazirX: aproximadamente US$ 235 milhões.
Upbit: aproximadamente US$ 50 milhões.
Radiant Capital: aproximadamente US$ 50 milhões.
Rain Management: aproximadamente US$ 16,13 milhões.
Os governos dos Estados Unidos, do Japão e da Coreia do Sul atribuíram vários desses ataques a agentes norte-coreanos.
Ataque à exchange Bybit em 2025
Este foi outro grande ponto de virada.
Aproximadamente US$ 1,5 bilhão em ativos virtuais foi roubado da Bybit em 21 de fevereiro de 2025.
Em 26 de fevereiro, o FBI atribuiu oficialmente o ataque à Coreia do Norte e identificou a atividade como TraderTraitor.
Os investigadores observaram os ativos roubados sendo transferidos por milhares de endereços de carteiras e várias redes blockchain.
Incidente da Binance de 2026 — US$ 6,3 bilhões
O incidente mais recente relatado elevou consideravelmente o nível de risco.
Em 29 de outubro de 2026, a Binance sofreu um roubo de criptomoedas que, segundo relatos, ultrapassou US$ 6 bilhões.
Em 31 de outubro, o FBI atribuiu oficialmente o roubo à Coreia do Norte e identificou a operação como TraderTraitor.
Segundo o FBI, os invasores estavam convertendo os ativos roubados principalmente em Ethereum, e esperava-se que continuassem a lavagem por meio de plataformas DeFi e serviços instantâneos de troca de criptomoedas.
A Binance também afirmou ter providenciado aproximadamente US$ 6,34 bilhões para cobrir as perdas relatadas e estar trabalhando com parceiros do setor para congelar os ativos afetados.
Não se trata apenas de mais um incidente de segurança em uma exchange. Ele demonstra a dimensão da exposição financeira que pode resultar quando invasores sofisticados comprometem infraestruturas essenciais de ativos digitais.
👉 Como esses hackers realmente atuam?
Algo que considero particularmente preocupante é que essas operações nem sempre começam com um ataque direto à infraestrutura de carteiras de uma exchange.
Às vezes, o ponto de entrada é um funcionário comum.
Entre as técnicas relatadas estão:
Engenharia social: os invasores se passam por recrutadores, empregadores, parceiros de negócios ou contatos de confiança para obter acesso aos funcionários e aos dispositivos deles.
Distribuição de malware: softwares maliciosos e tarefas de programação podem comprometer computadores e expor credenciais confidenciais.
Alvos dentro da empresa: pessoas com acesso a sistemas internos, à gestão de carteiras e à aprovação de transações se tornam alvos valiosos.
Falsas vagas de TI: agentes ligados à Coreia do Norte teriam usado identidades falsas para conseguir empregos remotos em empresas internacionais.
Lavagem de criptomoedas: os ativos roubados são transferidos por várias carteiras, serviços de troca e redes blockchain para dificultar as investigações.
Um alerta conjunto de cibersegurança publicado em setembro de 2026 descreveu a campanha WaterPlum, que tinha como alvo profissionais de TI por meio de falsas oportunidades de emprego.
Entre dezembro de 2025 e julho de 2026, o alerta relatou pelo menos 30 mil dispositivos comprometidos em mais de 100 países, mais de 7 mil carteiras de criptomoedas afetadas e aproximadamente US$ 10,71 milhões em criptomoedas roubadas.
Pense nisso por um momento.
Um desenvolvedor à procura de um emprego remoto poderia, sem saber, se tornar uma porta de entrada para a infraestrutura tecnológica mais ampla de uma organização.
👉 A grande pergunta: por que as agências internacionais não conseguem prender esses hackers?
É aqui que a história fica consideravelmente mais complicada.
Temos agências como o FBI, a Interpol, as forças policiais nacionais, os serviços de inteligência e empresas especializadas em investigações de blockchain.
Elas podem investigar ataques, identificar movimentações suspeitas de carteiras, publicar alertas, impor sanções e até obter acusações criminais formais.
Mas nenhuma dessas medidas coloca automaticamente um suspeito atrás das grades.
Há vários motivos.
@ Os hackers podem estar fisicamente fora da jurisdição do país que conduz a investigação
Segundo a acusação formal apresentada pelo Departamento de Justiça dos EUA em 2021, três hackers ligados às forças armadas norte-coreanas estavam associados a operações envolvendo o Lazarus Group e o APT38.
A acusação alegava que alguns desses agentes estavam posicionados em países como China e Rússia.
Isso cria um grande problema de jurisdição.
Um investigador americano pode ter provas contra um suspeito, mas, se essa pessoa estiver fisicamente em outro país, o FBI não pode simplesmente entrar nesse país e prendê-la.
A agência responsável pela investigação precisa da cooperação do país onde o suspeito está localizado.
Sem essa cooperação, um mandado de prisão pode permanecer sem cumprimento por anos.
@ A Coreia do Norte é uma jurisdição extremamente difícil para a aplicação internacional da lei
Considere a situação prática.
Se os investigadores identificarem um suspeito que, segundo acreditam, esteja operando a partir da Coreia do Norte, como poderão chegar fisicamente até essa pessoa?
Eles não podem simplesmente enviar uma equipe de prisão para o território norte-coreano.
Eles precisam de cooperação jurídica internacional, acesso ao suspeito e um processo legal executável.
Relações políticas, sanções, restrições diplomáticas e a falta de cooperação prática podem tornar esses casos excepcionalmente difíceis.
Essa é uma das razões pelas quais identificar um hacker ligado à Coreia do Norte não significa necessariamente que a pessoa possa ser presa.
@ Atribuir um ataque não é o mesmo que provar a responsabilidade criminal de uma pessoa
Há outra distinção importante.
Uma agência pode concluir que um ciberataque está ligado ao Lazarus Group com base em semelhanças entre malwares, infraestrutura, padrões operacionais, movimentações de carteiras e informações de inteligência.
Mas provar que uma pessoa específica cometeu pessoalmente um crime específico exige outro nível de evidência.
Os investigadores precisam determinar:
Quem realmente controlava os sistemas comprometidos?
Quem iniciou ou autorizou as transações?
Quem controlava as carteiras que receberam os fundos roubados?
Que evidências ligam o suspeito à operação?
Essas evidências podem ser apresentadas em tribunal e resistir ao escrutínio jurídico?
Um endereço de blockchain não revela automaticamente a identidade real de seu proprietário.
A atribuição técnica de um ataque pode ser convincente e, ainda assim, exigir evidências adicionais para uma ação penal.
@ As criptomoedas se movimentam mais rápido do que os procedimentos jurídicos internacionais
Esse provavelmente é um dos desafios mais sérios.
Quando criptomoedas roubadas passam por várias carteiras, exchanges, pontes e aplicações descentralizadas, os investigadores precisam acompanhar a movimentação dos ativos em diversas jurisdições.
Talvez precisem entrar em contato com diferentes exchanges, unidades de inteligência financeira, órgãos reguladores e agências de aplicação da lei.
Cada país tem suas próprias leis, procedimentos e exigências para congelar ou apreender ativos.
Quando uma solicitação formal chega a outra jurisdição, os fundos talvez já tenham sido movimentados várias vezes.
Uma blockchain pode fornecer um registro permanente das transações, mas isso não garante que os investigadores consigam identificar imediatamente quem controla as carteiras.
@ O uso de intermediários dificulta as investigações
Operações ligadas à Coreia do Norte também envolveram facilitadores e lavadores de dinheiro em países terceiros.
Esses intermediários podem ajudar a:
Converter criptomoedas em moedas tradicionais.
Abrir contas em exchanges usando identidades falsas.
Transferir fundos por diferentes redes financeiras.
Fornecer acesso a serviços financeiros internacionais.
Ocultar a ligação entre o roubo original e o destinatário final.
Isso cria mais uma camada entre os hackers originais e o dinheiro.
Os investigadores podem conseguir identificar um facilitador ou congelar uma carteira sem chegar imediatamente às pessoas que planejaram e executaram o ataque original.
@ A cooperação internacional nem sempre é rápida ou consistente
Imagine um roubo envolvendo uma exchange em um país, um hacker operando a partir de outro, servidores localizados em um terceiro e criptomoedas roubadas circulando por plataformas registradas em várias outras jurisdições.
Qual país lidera a investigação?
Quem tem autoridade para congelar os ativos?
Qual agência coleta as provas?
Quem processa os suspeitos?
Essas não são perguntas simples.
Uma análise de 2026 do Center for Strategic and International Studies destacou as dificuldades causadas por regulamentações internacionais fragmentadas, pela lentidão da cooperação transfronteiriça e pela ausência de um sistema plenamente coordenado para investigar, congelar e confiscar produtos de crimes relacionados a criptomoedas.
O problema não é que as agências internacionais não façam nada. O problema é que sua autoridade e capacidade de atuação estão divididas entre fronteiras nacionais.
👉 As agências internacionais realmente identificaram e acusaram algum desses hackers?
Sim. E essa distinção é importante.
Em setembro de 2018, o Departamento de Justiça dos EUA acusou o programador norte-coreano Park Jin Hyok por seu suposto envolvimento em uma conspiração relacionada ao roubo do Bangladesh Bank, ao WannaCry e ao ataque à Sony Pictures.
Em fevereiro de 2021, o Departamento de Justiça anunciou acusações adicionais contra três programadores ligados às forças armadas norte-coreanas:
Park Jin Hyok
Jon Chang Hyok
Kim Il
O FBI também publicou um aviso de procurado para Park Jin Hyok.
No entanto, há uma grande diferença entre acusar alguém e prendê-lo fisicamente.
O aviso de procurado do FBI informa que Park foi visto pela última vez na Coreia do Norte.
Isso ilustra a dificuldade central: os investigadores podem identificar suspeitos, montar casos, obter mandados e impor sanções, mas capturar fisicamente os suspeitos continua sendo um desafio à parte.
Ao mesmo tempo, as autoridades internacionais tiveram mais sucesso ao perseguir facilitadores, redes fraudulentas de emprego em TI e intermediários de lavagem de dinheiro localizados fora da Coreia do Norte.
Em outras palavras, a resposta internacional não se limita a tentar prender os próprios hackers. Ela também tem como alvo as redes financeiras e operacionais que lhes permitem atuar.
👉 Por que é mais fácil congelar criptomoedas roubadas do que prender as pessoas por trás do roubo?
Essa é uma distinção que todo investidor em criptomoedas deve entender.
Quando os investigadores identificam fundos roubados mantidos em uma exchange centralizada, talvez possam solicitar que a exchange congele os ativos em questão.
Mas, quando esses ativos são transferidos para carteiras sob autocustódia, protocolos descentralizados ou serviços que operam em jurisdições com cooperação limitada, a situação fica muito mais difícil.
Considere três cenários diferentes:
__ Os investigadores identificam uma carteira e os fundos são transferidos para uma exchange centralizada que coopera com as autoridades. Pode haver uma oportunidade de congelar os ativos.
__ Os fundos passam por várias aplicações descentralizadas e serviços entre diferentes blockchains. O rastreamento fica mais complicado.
__ Os investigadores identificam as movimentações da carteira, mas não conseguem determinar quem controla os endereços de destino. Podem entender para onde o dinheiro foi sem saber quem o controla fisicamente.
É por isso que empresas de análise de blockchain, exchanges e agências de aplicação da lei precisam cada vez mais trabalhar juntas.
Os alertas do FBI sobre a Bybit, em fevereiro de 2025, e a Binance, em outubro de 2026, demonstram a importância da cooperação com exchanges, operadores de infraestrutura blockchain e serviços DeFi.
👉 O que as exchanges de criptomoedas devem aprender com esta década?
Acredito que o setor precisa ir além da segurança básica das carteiras.
As maiores vulnerabilidades podem estar nos sistemas que cercam essas carteiras.
Aqui estão cinco áreas que merecem atenção séria:
✅ Aprovações independentes de transações
Grandes saques devem exigir várias aprovações independentes, em vez de depender de um único sistema ou funcionário comprometido.
✅ Segurança de funcionários e desenvolvedores
Verificação de antecedentes, segurança dos dispositivos, permissões restritas e análise cuidadosa de código externo são essenciais.
✅ Monitoramento de transações em tempo real
Padrões incomuns de saque, atividade suspeita de carteiras e mudanças inesperadas no comportamento das transações devem gerar alertas imediatos.
✅ Mecanismos de resposta a emergências
As exchanges devem manter procedimentos claros para suspender saques, coordenar ações com operadores de blockchain e solicitar o congelamento de ativos.
✅ Auditorias de segurança independentes
As análises de segurança devem examinar toda a infraestrutura de assinatura de transações, as permissões internas, as cadeias de fornecimento de software e as integrações de terceiros.
✅ Minha conclusão: o verdadeiro desafio é a responsabilização
Depois de analisar esses incidentes, não acho que a maior questão de segurança do setor de criptomoedas seja simplesmente se outra exchange será hackeada.
Esse risco sempre existirá.
A pergunta mais importante é se o setor e as agências internacionais de aplicação da lei conseguem trabalhar juntos com rapidez suficiente para identificar os invasores, desarticular suas redes financeiras, recuperar os ativos roubados e, por fim, levar os responsáveis a julgamento.
A trajetória do Bangladesh Bank, em 2016, à Bybit, em 2025, e ao incidente relatado da Binance, em outubro de 2026, mostra o quanto o cenário de ameaças mudou.
Mas há uma diferença entre rastrear uma transação, identificar um grupo de hackers, provar a responsabilidade criminal de uma pessoa e prendê-la fisicamente.
São quatro desafios distintos.
E talvez essa seja a realidade mais inquietante do cibercrime moderno: o mundo consegue ver bilhões de dólares circulando em uma blockchain transparente, mas ainda tem dificuldade para colocar atrás das grades as pessoas responsáveis.
Para os investidores em criptomoedas, isso deve servir de lembrete de que transparência, descentralização e tecnologia avançada não garantem segurança automaticamente.
O setor precisa de controles internos mais rigorosos, melhor cooperação internacional e responsabilização efetiva. Porque recuperar o dinheiro roubado é importante, mas evitar o próximo ataque é ainda mais importante.
#BinanceToResumePhaseOneOfWithdrawals #BinanceHadAlreadyCovered$6BofHackLoss #FBIConfirmsNorthKoreaIsResponsibleForBinanceCryptoHack #BinanceSAFUFundTransferCompleted7499BTC #BinanceRecovery90% of stolen assets
