Hackers norte-coreanos roubaram cerca de US$ 7,61 bilhões em criptomoedas em 38 incidentes entre janeiro e outubro de 2026, segundo a empresa de inteligência blockchain BitOK. Nos seis principais ataques, eles sequestraram as pessoas e os sistemas responsáveis por assinar as retiradas, em vez de explorar falhas no código.
Congelamentos e apreensões recuperaram US$ 2,86 bilhões, deixando US$ 4,75 bilhões fora de alcance. A Binance, sozinha, responde por US$ 6,41 bilhões do total, enquanto 32 roubos menores contra indivíduos e empresas somam US$ 178,4 milhões.
Por que auditorias de código não impediram os hackers norte-coreanos
Segundo o relatório da BitOK, todos os levantamentos nos seis maiores ataques tinham assinaturas válidas ou passaram nas verificações padrão. Na Binance, o ponto de entrada foi o portátil de um engenheiro de DevOps e um contentor do serviço de assinatura.
Isso coincide com conclusões anteriores sobre como o ataque aconteceu em outubro. Noutros casos, os atacantes comprometeram os signatários multisig da Drift, uma plataforma de negociação baseada em Solana, um único verificador de bridge da KelpDAO e o sistema de carteiras da Bitget.
Antes de cada roubo, os operadores testavam o percurso exato com pequenas quantias. O contrato do ataque à Binance, por exemplo, esteve em funcionamento público quatro horas antes do roubo.
O horário parece o de um expediente de escritório. Numa amostra de 540 transações, 48% da atividade ocorreu entre as 16h e as 21h, hora de Pyongyang.
Os operadores até respeitaram os feriados públicos da Coreia do Norte, sem registo de atividade nesses dias. Sábado, domingo e segunda-feira, em conjunto, corresponderam a apenas 10% das transações.
No entanto, assim que um ataque começava, a rotina mudava. Os scripts assumiam o controlo e as movimentações de fundos decorriam sem parar, dia e noite.
Minutos para trocar, dias para desaparecer
A velocidade determina o que ainda pode ser congelado. Em poucos minutos, hackers norte-coreanos trocaram stablecoins por ETH ou pediram ETH emprestado usando como garantia ativos roubados, porque nenhum emissor pode congelar ETH.
Após a exploração da bridge rsETH em abril, os primeiros 52,440 ETH saíram de protocolos de empréstimo em pouco mais de oito minutos. Depois, os fundos ficaram parados entre 2,5 e 5 dias, até que scripts os encaminharam através da THORChain, um protocolo de troca entre blockchains.
O branqueamento revelou-se barato. Em 2.257 trocas associadas à Binance, no valor de 55,8 milhões de dólares, os custos totais foram de apenas 0,50%.
Por isso, os congelamentos só resultaram nos casos em que as stablecoins ainda não tinham sido movimentadas. Na Binance, 43% dos fundos roubados foram congelados ou apreendidos, contra 6% no conjunto de todos os outros grandes ataques.
Mesmo nesse caso, o momento foi desfavorável. A Tether recebeu o primeiro pedido de congelamento 34 minutos após o levantamento na Binance. Nessa altura, 345 milhões de USDT já tinham saído do endereço original.
O rasto mais claro surgiu de um erro durante a limpeza. Depois de encaminhar 5.047 ETH através da Umbra, uma ferramenta de privacidade com endereços furtivos, e da bridge Stargate, o operador transferiu os resíduos que sobraram para uma única carteira.
A 31 de agosto, 150 endereços transferiram todos os seus fundos para essa carteira de recolha em 3 minutos e 36 segundos. Essa transferência ligou os roubos da AFX e de 28 de agosto, e em setembro surgiram também endereços da Bitget. No total, a carteira recebeu apenas 0,27 ETH.
Os endereços de liquidação partilhados ligam agora cinco ataques de hackers norte-coreanos, desde a KelpDAO, em abril, até à Binance, em outubro. A BitOK afirma que isto aponta para um único operador de branqueamento, embora os ataques possam ter sido realizados por equipas diferentes.
«Pequenos saldos residuais tornaram-se o rasto mais claro do operador este ano», afirmou a BitOK
As chaves de assinatura são a nova superfície de ataque
A Chainalysis já tinha associado o roubo da Bitget à Coreia do Norte em outubro. Os dados da BitOK mostram agora como os hackers norte-coreanos repetem uma mesma estratégia em plataformas de câmbio e protocolos DeFi.
O ponto fraco passou dos contratos inteligentes para os funcionários, os dispositivos e os serviços de assinatura. Os congelamentos por parte dos emissores só ajudam nos primeiros minutos, e desde então a Binance cobriu a maior parte das perdas dos utilizadores com as suas próprias reservas.