Atores ligados à Coreia do Norte foram responsáveis por cerca de US$ 643 milhões em roubos de criptoativos no primeiro semestre de 2026, representando 66% dos US$ 972 milhões totais registrados por protocolos de blockchain, segundo dados da TRM Labs. Dois incidentes concentraram a maior parte das perdas: os ataques aos protocolos KelpDAO e outro não identificado, que juntos somaram US$ 577 milhões.
O padrão de ataques atribuídos ao Grupo Lazarus — rótulo usado pelo mercado de inteligência para agrupar campanhas norte-coreanas por semelhanças de código e infraestrutura — mantém-se consistente com anos anteriores. Em 2025, hackers do regime roubaram US$ 2,02 bilhões, recorde anual, enquanto o Grupo Lazarus acumula pelo menos US$ 6,75 bilhões em perdas desde 2017, conforme dados da Chainalysis. O Tesouro dos Estados Unidos atribui o grupo ao Reconnaissance General Bureau, principal serviço de inteligência militar da Coreia do Norte, com estrutura operacional identificada desde 2007.
Os métodos empregados nos ataques não visam diretamente a tecnologia blockchain, mas sim a autoridade humana por trás das transações. Em fevereiro de 2025, a Bybit, uma das maiores corretoras de criptoativos do mundo, registrou o maior roubo já documentado: US$ 1,5 bilhão. A investigação forense da Safe, provedora da interface da corretora, concluiu que não houve falhas no contrato inteligente ou no código da plataforma. Em vez disso, o atacante comprometeu a máquina de um desenvolvedor, obteve acesso a sessões e infraestrutura em nuvem, e manipulou o que os signatários viam na tela. A assinatura era real, mas a operação era fraudulenta.
O mesmo padrão foi observado em outros incidentes. Em 2022, cinco das nove chaves de validadores da ponte de blockchain foram comprometidas, resultando em um prejuízo de US$ 620 milhões. Na DMM Bitcoin, em 2024, um funcionário foi alvo de um recrutador falso no LinkedIn, que enviou um script malicioso disfarçado de teste de emprego, permitindo o desvio de US$ 308 milhões. Os atacantes estudam funcionários e fornecedores, criam personas plausíveis e obtêm acesso a credenciais ou tokens de sessão para manipular assinaturas autorizadas.
Após os roubos, os ativos são rapidamente convertidos em tokens como Ether, fragmentados em centenas ou milhares de endereços e movimentados entre blockchains por meio de pontes e serviços de mistura. Segundo a Chainalysis, em 2025, cerca de 60% dos fundos eram movimentados em quantias inferiores a US$ 500 mil, com preferência por serviços em língua chinesa. A transparência da blockchain facilita o rastreamento, mas não revela a identidade dos controladores das carteiras ou os corretores envolvidos em saques.
Relatórios de agências dos Estados Unidos, da ONU e do grupo multilateral MSMT indicam que os roubos de cripto, aliados a programas de trabalhadores de tecnologia, ajudam a Coreia do Norte a gerar moeda estrangeira e contornar sanções internacionais. O MSMT estimou que, em 2024, os roubos representaram cerca de um terço da receita total do país em moeda estrangeira, financiando prioridades de Estado, incluindo programas nuclear e de mísseis. As atribuições para 2026, no entanto, ainda não foram formalmente confirmadas por órgãos como o FBI.
