A maioria do roubo de criptomoeda é oportunista, levado a cabo por indivíduos ou pequenos grupos em busca de um pagamento. Uma categoria mais pequena, mas desproporcionadamente danosa, de roubo é diferente em género, não apenas em escala. É levada a cabo por grupos de hacking publicamente ligados por agências governamentais a um estado nação, a operar com a paciência, os recursos, e a disciplina operacional de um aparelho de inteligência, em vez de uma empresa criminosa comum. As reportagens públicas do FBI, do Tesouro dos EUA, e de empresas de análise de blockchain concentraram-se esmagadoramente na Coreia do Norte nesta categoria, e a escala documentada dessa atividade é agora suficientemente grande para representar uma parcela significativa de todo o roubo de criptomoeda a nível mundial.
Quem está por trás destes ataques
O FBI atribuiu publicamente o roubo à Bybit de fevereiro de 2025, o maior assalto de criptomoeda alguma vez registado, a um grupo que rastreia como TraderTraitor, que identifica como parte do aparelho mais amplo do Lazarus Group associado à Coreia do Norte. O FBI também nomeou indivíduos específicos, incluindo Park Jin Hyok, nos seus materiais públicos de mais procurados, em ligação com atividade cibernética relacionada. Estas atribuições não são etiquetas informais da indústria. São conclusões formais publicadas por uma agência federal de aplicação da lei, distintas de especulação sobre atacantes que por vezes circula depois de uma violação sem esse tipo de suporte.
A escala da atividade
Segundo o Relatório de Crime Cripto de 2026 da Chainalysis, atores ligados à Coreia do Norte roubaram aproximadamente dois mil milhões de dólares em criptomoeda só durante 2025, um aumento de cinquenta e um por cento em relação ao ano anterior, elevando o seu total cumulativo publicamente rastreado para cerca de seis mil e setecentos e cinquenta milhões de dólares. A mesma reportagem concluiu que o roubo ligado à Coreia do Norte representou a maioria de toda a criptomoeda roubada através de hacks e explorações no período medido. A atividade continuou em 2026, com cerca de trezentos e nove milhões de dólares roubados em cerca de uma dúzia de incidentes só no primeiro trimestre, incluindo uma parcela da exploração ao Drift Protocol abordada no nosso guia sobre como acontecem as explorações de DeFi.
A atribuição pública desta escala vem de conclusões formais do FBI e do Tesouro, e de análises independentes publicadas por empresas de inteligência de blockchain, não de especulação informal, razão pela qual pode ser reportada com confiança em vez de tratada como rumor.
Técnicas características documentadas em reportagens públicas
Visar os humanos, não apenas o código
O roubo à Bybit ilustra um padrão mais amplo documentado em vários incidentes: em vez de atacar diretamente a infraestrutura de blockchain de um alvo, estes grupos comprometeram repetidamente máquinas de programadores, cadeias de fornecimento de software de terceiros, e os humanos responsáveis por aprovar transações, usando o acesso obtido para manipular o que um signatário legítimo vê antes de aprovar uma transferência.
Um ciclo de branqueamento estruturado e paciente
As reportagens públicas descrevem um padrão de branqueamento distinto associado ao roubo ligado à Coreia do Norte, movendo fundos em parcelas tipicamente mantidas abaixo dos quinhentos mil dólares cada, ao longo de um ciclo de cerca de quarenta e cinco dias, e dependendo fortemente de serviços de movimentação de dinheiro em língua chinesa, pontes entre blockchains, e protocolos de mistura, em vez de mover os fundos roubados direta e visivelmente para um único ponto de conversão em dinheiro. Os nossos guias sobre branqueamento entre blockchains e serviços de mistura abordam estes mecanismos com mais profundidade técnica.
Reutilizar infraestrutura comprovada em vários assaltos
O misturador Sinbad.io, por exemplo, foi documentado pela Chainalysis e pelo Tesouro dos EUA como tendo processado fundos não apenas de um roubo, mas de vários incidentes importantes ligados ao Lazarus Group, incluindo os assaltos da Horizon Bridge e da Axie Infinity, antes de ser apreendido e sancionado. Este padrão de reutilizar a mesma infraestrutura de branqueamento em operações aparentemente não relacionadas é uma das formas como os analistas e investigadores conseguem ligar incidentes aparentemente não relacionados aos mesmos atores.
Para além do hacking: o esquema fraudulento de trabalhadores de TI
Nem todo o roubo de cripto ligado a estados acontece através de uma exploração técnica. O Departamento de Justiça dos EUA documentou um esquema separado e extensivamente processado em que a Coreia do Norte envia trabalhadores de TI treinados para se fazerem passar por programadores de software freelancer e conseguirem emprego remoto em empresas, incluindo empresas de criptomoeda e blockchain, usando identidades americanas roubadas ou emprestadas, computadores proxy, e facilitadores baseados nos Estados Unidos, cientes ou não do esquema. Segundo comunicados do DOJ, um destes esquemas usou as identidades roubadas de pelo menos oitenta cidadãos dos EUA e gerou mais de cinco milhões de dólares de receita para o governo norte-coreano ao longo de vários anos, levando a declarações de culpa de facilitadores baseados nos EUA em 2025.
Em junho de 2025, um grande júri federal acusou diretamente cidadãos norte-coreanos, marcando as primeiras acusações dos EUA apresentadas contra os próprios trabalhadores fraudulentos, em vez de apenas contra os seus facilitadores domésticos. Segundo essa acusação, os indivíduos infiltraram-se numa empresa de blockchain sediada em Atlanta e numa empresa de cripto separada sediada na Sérvia ao obterem acesso legítimo de programador, abusando depois desse acesso para roubar aproximadamente novecentos e quinze mil dólares em criptomoeda, branqueando o produto através de serviços de mistura e contas de fachada, de forma consistente com os padrões de branqueamento mais amplos descritos acima. O esquema ilustra que, para um ator suficientemente paciente e apoiado pelo estado, ganhar confiança ao nível de programador dentro de uma organização alvo pode ser um ponto de entrada tão eficaz como uma vulnerabilidade técnica, e consideravelmente mais difícil de detetar por um gestor de contratação durante um processo de entrevista remota padrão.
Como a atribuição é realmente feita
A atribuição pública de um grande roubo a um grupo ligado a um estado não é feita de ânimo leve, e tipicamente baseia-se numa combinação de indicadores técnicos, como a reutilização de código malicioso e sobreposição de infraestrutura com campanhas previamente documentadas, e de perícia financeira que rastreia fundos roubados até carteiras e serviços de branqueamento já associados a incidentes anteriores. O FBI emitiu periodicamente comunicados de serviço público nomeando diretamente operadores da TraderTraitor e do Lazarus, e pedindo aos prestadores de serviços de criptomoeda que bloqueiem transações ligadas a endereços específicos associados a um determinado roubo, um passo prático destinado a abrandar o branqueamento no rescaldo imediato de um ataque.
A resposta política global
O Office of Foreign Assets Control do Tesouro dos EUA sancionou uma série de indivíduos, endereços de carteira, e serviços ligados à atividade de branqueamento ligada à Coreia do Norte, incluindo o misturador Sinbad e, num certo momento, a Tornado Cash. Essa sanção à Tornado Cash foi mais tarde levantada em 2025 na sequência de uma decisão judicial sobre como os contratos inteligentes autónomos podem ser legalmente tratados, um desenvolvimento abordado com mais detalhe no nosso guia sobre como os serviços de mistura afetam uma investigação, embora o regime de sanções mais amplo que visa atores ligados a estados e os endereços específicos que controlam tenha continuado.
A Coreia do Norte é o único ator ligado a um estado a observar
As reportagens públicas e a atribuição formal concentram-se esmagadoramente na Coreia do Norte quando se trata de roubo de criptomoeda sustentado e em grande escala, e essa concentração está refletida com exatidão ao longo deste guia, em vez de constituir um pressuposto sobre a área como um todo. Investigadores de segurança documentaram outros grupos afiliados a estados nação envolvidos em espionagem cibernética e ataques disruptivos contra uma variedade de alvos, mas a combinação específica de escala, persistência, e motivação financeira direta observada no roubo de criptomoeda ligado à Coreia do Norte, medida em milhares de milhões de dólares pela Chainalysis e formalmente atribuída pelo FBI e pelo Tesouro, não é igualada por atividade comparavelmente documentada e publicamente atribuída de outros estados especificamente no espaço da criptomoeda. Este guia foca-se no que as reportagens públicas credíveis efetivamente sustentam, em vez de especular sobre outros atores sem esse mesmo nível de atribuição.
O que isto significa para a indústria e para as vítimas
Um grupo de hacking ligado a um estado é um tipo de adversário materialmente diferente de um burlão individual ou de um caçador ocasional de explorações. Pode dar-se ao luxo de passar meses a infiltrar-se no ambiente de desenvolvimento de um alvo antes de sequer tentar um roubo, pode absorver a perda de um canal de branqueamento e pivotar imediatamente para outro, e não é dissuadido pela perspetiva de uma detenção individual da forma como um criminoso comum poderia ser. Para as exchanges e protocolos, isto significa que a segurança tem de ter em conta um adversário paciente e bem apetrechado, não apenas atacantes oportunistas. Para vítimas individuais de uma violação mais tarde atribuída a um destes grupos, significa geralmente que os esforços de recuperação dependem fortemente de um rastreamento rápido e da cooperação internacional das forças da lei, já que a negociação informal com o atacante, por vezes possível depois de uma exploração menor e independente, não é um caminho realista.
Significa também que o envolvimento público do FBI, incluindo a atribuição nomeada e os pedidos para bloquear endereços específicos, é em si uma parte significativa da resposta, já que mobiliza simultaneamente exchanges e equipas de conformidade em toda a indústria, em vez de deixar cada plataforma a investigar um incidente por conta própria. As vítimas de um incidente mais tarde atribuído a um grupo ligado a um estado devem esperar que o seu caso seja tratado como parte de uma investigação federal muito maior e em curso, em vez de uma questão isolada, o que pode significar atualizações individuais mais lentas mas também acesso a um conjunto muito maior de recursos de rastreamento e historial de casos anteriores do que um roubo mais pequeno e independente tipicamente receberia.
Perguntas frequentes
A TraderTraitor é um grupo específico que o FBI rastreia como parte do aparelho mais amplo do Lazarus Group associado à Coreia do Norte. As reportagens públicas por vezes usam os dois nomes de forma um pouco intermutável, mas a TraderTraitor refere-se mais especificamente ao subgrupo que o FBI atribuiu a incidentes como o roubo à Bybit.
Segundo o Relatório de Crime Cripto de 2026 da Chainalysis, o roubo cumulativo publicamente rastreado atribuído a atores ligados à Coreia do Norte atingiu aproximadamente seis mil e setecentos e cinquenta milhões de dólares, com cerca de dois mil milhões de dólares desse total roubados só durante 2025, um aumento de cinquenta e um por cento em relação ao ano anterior.
As reportagens públicas e as conclusões de sanções do Tesouro dos EUA descrevem o roubo de criptomoeda ligado à Coreia do Norte como um mecanismo de financiamento significativo para o estado, oferecendo uma forma de gerar grandes quantidades de moeda forte fora do sistema bancário tradicional, que está sujeito a extensas sanções internacionais contra o país.
Ocorreu recuperação parcial em alguns casos, geralmente quando os fundos são congelados numa exchange ou serviço antes de serem totalmente branqueados, ou através de ação internacional das forças da lei. A recuperação total é pouco comum dada a sofisticação e a paciência do processo de branqueamento que estes grupos usam, razão pela qual a prevenção e a deteção rápida continuam a ser a principal defesa.
Fontes e leituras adicionais
- 2026 Crypto Crime Report Introduction · Chainalysis
- FBI Confirms North Korean Lazarus Group Behind $1.5 Billion Bybit Crypto Heist · Picus Security
- Treasury Sanctions Mixer Used by the DPRK to Launder Stolen Virtual Currency · U.S. Department of the Treasury
- Two North Korean Nationals and Three Facilitators Indicted for Multi-Year Fraudulent Remote Information Technology Worker Scheme · U.S. Department of Justice