Ameaça nº 1: como o Lazarus Group ataca empresas cripto

Hackers ligados à Coreia do Norte roubaram bilhões de dólares da indústria de criptomoedas nos últimos anos. Mas um nome aparece nos relatos de crimes cibernéticos com mais frequência do que a maioria: Lazarus Group. Como uma operação de hacking patrocinada pelo Estado transformou o mercado cripto em uma fonte de receita, e por que tem sido tão difícil detê-la?

O Lazarus Group costuma ser retratado como um único grupo de hackers, mas, na prática, faz parte de uma operação cibernética norte-coreana muito mais ampla. Diferentes investigações identificaram unidades e grupos associados sob nomes como APT38, BlueNoroff, TraderTraitor e outras denominações.

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

O que diferencia o Lazarus é sua conexão com o Estado. Autoridades dos EUA vinculam o grupo ao Reconnaissance General Bureau da Coreia do Norte e acreditam que os fundos roubados ajudam o país a obter moeda estrangeira apesar das sanções internacionais.

As criptomoedas se mostraram um alvo particularmente atraente: grandes quantias podem ser roubadas remotamente, movimentadas rapidamente entre blockchains e divididas entre milhares de endereços.

Dos bancos às exchanges de criptomoedas

A história do Lazarus Group começou muito antes de os ativos digitais se tornarem populares. O grupo foi associado ao ataque à Sony Pictures em 2014, enquanto hackers ligados à Coreia do Norte roubaram US$ 81 milhões do banco central de Bangladesh por meio do sistema SWIFT em 2016.

O próximo ponto de virada veio com a expansão do mercado de criptomoedas. Diferentemente dos bancos tradicionais, as empresas cripto controlavam grandes volumes de ativos líquidos, operavam 24 horas por dia e muitas vezes dependiam de poucos funcionários, chaves privadas ou sistemas de assinatura de transações.

Um dos maiores ataques foi o hack da Ronin Bridge, em março de 2022. Aproximadamente US$ 620 milhões em ativos foram roubados do sistema associado à Axie Infinity. Posteriormente, o FBI atribuiu oficialmente a operação ao Lazarus Group e ao APT38.

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

Em junho do mesmo ano, a Horizon Bridge, da Harmony, foi atacada, resultando em perdas de cerca de US$ 100 milhões. Em 2023, Atomic Wallet, Alphapo, CoinsPaid e Stake.com entraram para a lista de vítimas, enquanto a DMM Bitcoin, do Japão, perdeu outros US$ 308 milhões em 2024.

Bilhões roubados em apenas alguns anos

O incidente de maior repercussão ocorreu em fevereiro de 2025, quando a Bybit perdeu aproximadamente US$ 1,5 bilhão. O FBI vinculou o roubo à campanha TraderTraitor, da Coreia do Norte. Pelo valor roubado, tornou-se o maior roubo de criptomoedas da história em um único ataque.

A Chainalysis estimou que grupos ligados à Coreia do Norte roubaram pelo menos US$ 2 bilhões em criptomoedas somente em 2025. No fim daquele ano, o total acumulado dos anos anteriores havia chegado a US$ 6,75 bilhões.

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

Os ataques continuaram em 2026. Pesquisadores vincularam grandes roubos da Drift Protocol e da KelpDAO a agentes norte-coreanos, enquanto o hack da Bitget em setembro elevou o valor roubado no ano para mais de US$ 1 bilhão.

Nem todo ataque realizado por grupos norte-coreanos é oficialmente atribuído ao próprio Lazarus, e nomes diferentes muitas vezes se referem a equipes distintas dentro do mesmo sistema patrocinado pelo Estado. Portanto, é mais preciso dizer que hackers ligados à Coreia do Norte haviam roubado mais de US$ 7 bilhões em criptomoedas até o outono de 2026, com o Lazarus permanecendo como um dos principais componentes dessa operação.

Hackers atacam pessoas, não blockchains

As principais operações do Lazarus começam cada vez mais não com uma vulnerabilidade em um smart contract, mas com o acesso a um funcionário ou aos sistemas internos de uma empresa. Falsos recrutadores entram em contato com desenvolvedores pelo LinkedIn, enviam “tarefas de teste”, arquivos ou repositórios maliciosos e tentam obter credenciais ou acesso aos dispositivos de trabalho.

Autoridades dos EUA e do Japão descreveram exatamente essa abordagem após o hack da DMM Bitcoin. Um invasor que se passou por recrutador entrou em contato com um funcionário da Ginco, empresa associada à exchange, e usou engenharia social para obter acesso a um sistema envolvido no processamento de transações.

Outra abordagem leva meses para ser executada. Profissionais de TI norte-coreanos conseguem empregos em empresas cripto legítimas usando identidades falsas e obtêm acesso aos sistemas internos como funcionários.

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

Segundo a TRM Labs, aproximadamente 76% do valor roubado no primeiro semestre de 2026 resultou do comprometimento de sistemas internos e processos operacionais. O controle sobre uma chave privada, conta ou sistema de assinatura de transações permite que os invasores movimentem fundos sem explorar uma vulnerabilidade na própria blockchain.

Etapa dois: movimentação dos fundos roubados

Imediatamente após um ataque, os ativos roubados são divididos entre numerosos endereços, trocados por meio de plataformas descentralizadas, transferidos entre blockchains e encaminhados por serviços que dificultam o rastreamento das transações.

Após o hack da Horizon Bridge, o FBI rastreou o uso da RAILGUN, enquanto o Lazarus usou a Tornado Cash em outras operações e anteriormente dependia da Sinbad. Quando serviços individuais foram sancionados ou encerrados, as rotas de lavagem mudaram.

Após o hack da Bybit, os ativos roubados foram rapidamente convertidos, distribuídos entre milhares de endereços e movimentados entre blockchains.

Um caso recente mostra até que ponto essa rede se estende para além da própria Coreia do Norte. A ZachXBT afirma que uma rede criminosa chinesa ajudou a lavar mais de US$ 1 bilhão roubado pelo Lazarus em vários ataques. Após o hack da Bybit, o investigador infiltrou-se na rede fingindo ser um cliente e vinculou operadores individuais a milhões de dólares em fundos roubados.

Por que o Lazarus continua sendo uma ameaça sistêmica

Bloquear uma única carteira ou serviço raramente detém o Lazarus. Por trás de um cluster de endereços podem estar novos intermediários, funcionários operando com identidades falsas, redes de lavagem e um sistema que depende de um fluxo constante de fundos. Autoridades dos EUA vinculam diretamente as receitas dessas operações a programas norte-coreanos, incluindo o desenvolvimento de mísseis balísticos e armas nucleares. Para um regime submetido a sanções severas, a indústria de criptomoedas tornou-se uma forma de obter moeda estrangeira sem acesso ao sistema financeiro internacional convencional.

Isso também muda os requisitos de segurança. Exchanges e projetos DeFi não podem mais depender apenas de auditorias de smart contracts. Eles também precisam monitorar processos de recrutamento, dispositivos dos funcionários, permissões de acesso, sistemas de assinatura de transações e prestadores de serviços terceirizados.

Ao mesmo tempo, cada grande roubo aumenta a pressão sobre serviços que também podem ter finalidades legítimas. Mixers, bridges e exchanges descentralizadas enfrentam sanções e escrutínio regulatório quando centenas de milhões de dólares ligados à Coreia do Norte passam por elas.

Nos últimos anos, o Lazarus evoluiu de um entre muitos grupos de hackers para uma ameaça sistêmica à indústria de criptomoedas. Sua vantagem não está em uma única vulnerabilidade sofisticada, mas na capacidade de combinar engenharia social, acesso interno, ataques técnicos e lavagem de dinheiro internacional em uma operação coordenada.

A escala do problema, portanto, já não pode ser medida apenas pelos bilhões de dólares roubados. Enquanto as empresas cripto continuarem sendo alvos convenientes para acessar ativos digitais líquidos e existirem redes para movimentar e lavar fundos roubados, os ataques do Lazarus continuarão sendo uma ameaça persistente para toda a indústria, e não incidentes isolados.