Um único Estado-nação ficou com dois terços de cada dólar roubado do ecossistema global de cripto no primeiro semestre de 2026.
Não é erro de arredondamento. E não se trata do efeito de um único mega-assalto.
É o resultado de uma campanha de hacking contínua e industrializada — que vem passando quase uma década lapidando seus métodos e hoje supera, sozinha, todos os demais agentes de ameaça do setor somados.
A escala é impressionante até para os padrões do crime cripto, um ambiente em que números chocantes nunca foram escassos.
Grupos ligados à Coreia do Norte responderam por 66,2% de todas as perdas globais com roubo de ativos digitais no primeiro semestre de 2026, segundo números que circularam nesta semana entre empresas de segurança blockchain.
Essa concentração de perdas em um único cluster de ameaça representa uma mudança qualitativa no perfil de risco de todo o setor. E ocorre justamente quando o capital institucional volta a entrar em cripto no ritmo mais acelerado desde 2021.
Em resumo
- Hackers ligados à Coreia do Norte ficaram com 66,2% de todas as perdas em ataques a cripto na primeira metade de 2026, um novo recorde de concentração em roubo patrocinado por Estado.
- O Lazarus Group e unidades associadas da RPDC evoluíram de ataques oportunistas a exchanges para operações altamente estruturadas contra protocolos DeFi, pontes cross-chain e engenharia social de desenvolvedores.
- Os recursos financiam diretamente os programas de armas da Coreia do Norte, transformando a segurança em cripto em tema geopolítico que reguladores em Washington, Bruxelas e Seul passaram a tratar com máxima urgência.
O que está por trás do número de 66%
Antes de discutir o quadro estratégico, vale examinar a metodologia por trás desse número.
Os 66,2% se referem à parcela das perdas totais verificadas em ataques a cripto atribuídas a carteiras ligadas à RPDC no primeiro semestre de 2026 — com base em análises on-chain que rastreiam o fluxo de fundos desde o roubo inicial, passando por mixers, até a etapa de saída para o sistema financeiro tradicional.
A Chainalysis, que publica as séries históricas mais abrangentes sobre crime em cripto, informou em seu Crime Report de 2024 que grupos ligados à Coreia do Norte roubaram cerca de US$ 1,34 bilhão em 47 incidentes em 2023 — 61% do valor total subtraído naquele ano.
O dado de H1 2026 mostra um grau ainda maior de concentração. Ele sugere que o fosso entre as capacidades da RPDC e as de outros agentes de ameaça está se ampliando, não diminuindo.
Essa fatia de 66,2% é a maior concentração já registrada de roubo de ativos digitais patrocinado por um Estado em um único período de seis meses.
É fundamental entender também o que o número de 66% não captura.
Ele não inclui exit scams, rug pulls e golpes — categorias que a Chainalysis normalmente separa de “hacks”. O denominador considera apenas perdas comprovadas decorrentes de invasões técnicas.
Incluir todas as modalidades de crime cripto reduziria a participação percentual da RPDC. Mas não alteraria o montante absoluto de dólares roubados.
Leia também: Demanda à vista por XRP sobe enquanto perps da Binance disparam alerta de US$ 783 milhões
Como o Lazarus Group virou uma superpotência em cripto
O Lazarus Group — denominação guarda-chuva usada por agências de inteligência dos EUA e pesquisadores privados para as unidades de ciberataque mais sofisticadas da RPDC — não nasceu voltado a cripto.
No início, o perfil do grupo era marcado por ataques destrutivos, roubos a bancos via exploração da rede SWIFT e campanhas de ransomware.
A guinada para cripto foi gradual. Ganhou tração a partir de 2017, quando o grupo passou a mirar exchanges sul-coreanas — e acelerou de forma dramática após o ataque à Ronin Network em 2022.
O hack da Ronin, em que o Lazarus Group subtraiu cerca de US$ 625 milhões da sidechain do Axie Infinity, foi um ponto de inflexão estratégico.
O episódio mostrou que a infraestrutura DeFi — com sua complexidade de smart contracts, dependência de pontes cross-chain e vulnerabilidades ligadas à engenharia social de desenvolvedores — oferecia uma superfície de ataque muito mais lucrativa que as exchanges centralizadas, que haviam endurecido suas defesas após uma década de violações.
Aquele roubo de US$ 625 milhões, em março de 2022, continua sendo o maior hack DeFi da história. E virou modelo operacional para as campanhas subsequentes da RPDC em cripto.
Desde 2022, o grupo vem refinando sistematicamente três vetores principais de ataque.
O primeiro são credenciais de desenvolvedores comprometidas — geralmente por meio de falsas ofertas de trabalho no LinkedIn que instalam malware quando a vítima abre um documento ou executa um repositório.
O segundo são explorações de pontes cross-chain, focadas na lógica de smart contracts que validam transferências de ativos entre redes.
O terceiro são ataques à cadeia de suprimentos de software, mirando dependências usadas por protocolos de cripto — técnica tradicional da cibersegurança clássica que foi adaptada para o universo blockchain.
Leia também: Inglaterra vs Índia já não é só críquete para traders de mercados de previsão
Alvo em transformação: de exchanges para DeFi
A primeira geração de grandes ataques em cripto foi escrita a partir de brechas em exchanges centralizadas. Mt. Gox em 2014, Bitfinex em 2016, Coincheck em 2018. Eram golpes que exploravam hot wallets, vulnerabilidades de API ou corrupção de insiders, geralmente conduzidos por quadrilhas oportunistas, não por estruturas estatais com suporte institucional.
O manual atual da RPDC é de outra natureza. Em seu relatório 2024 Crypto Threat Intelligence, a TRM Labs concluiu que a parcela dos roubos em cripto atribuídos à Coreia do Norte via ataques a protocolos DeFi — em vez de hacks a exchanges centralizadas — saltou de cerca de 30% em 2021 para mais de 70% em 2024. O movimento acompanha a própria migração da liquidez para on-chain.
O valor total travado (TVL) em protocolos DeFi globalmente passou de US$ 180 bilhões no pico de 2021, despencou durante o bear market de 2022 e depois se recuperou para níveis que voltam a representar um alvo atrativo. Dados da DefiLlama (https://defillama.com/), em meados de 2026, mostram TVL acima de US$ 110 bilhões em todas as chains, com pontes cross-chain concentrando uma fatia desproporcional desse valor em pools únicos.
Contratos de pontes DeFi são alvos estruturalmente atraentes para atacantes sofisticados porque concentram grandes pools de liquidez em um único smart contract ao mesmo tempo em que exigem mecanismos complexos de validação cross-chain, difíceis de auditar por completo.
Pontes entre redes viraram uma obsessão específica das unidades da RPDC por causa da sua topologia de risco singular. Um contrato de ponte precisa confiar em afirmações vindas de uma blockchain remota que ele não consegue verificar de forma nativa. A lógica de validação é complexa, frequentemente baseada em comitês multisig ou em provas de light clients. Ambos os modelos criam premissas exploráveis.
A ponte da Ronin usava um multisig de nove chaves que, na prática, foi degradado para um limiar de cinco assinaturas por meio de engenharia social. Uma vez obtido o controle efetivo sobre cinco chaves, os invasores conseguiram autorizar saques que drenaram o contrato da ponte.
Leia também: Vale a pena pagar o dobro por Fable 5 se Opus 4.8 ainda entrega tanto?
O vetor da falsa oferta de emprego e a caça a desenvolvedores
O componente mais constante — e subestimado — da campanha da RPDC em H1 2026 é a máquina de engenharia social direcionada a desenvolvedores e funcionários de protocolos cripto. Não se trata de um “hack técnico” no sentido clássico, mas de uma operação paciente de inteligência humana que termina, lá na frente, em execução de código.
O roteiro padrão, descrito em detalhes pela Mandiant em sua análise sobre a ameaça financeira do APT38 (APT38 financial threat analysis) e pela Cybersecurity and Infrastructure Security Agency dos EUA no Alerta CISA AA22-108A, envolve operativos da RPDC criando perfis profissionais convincentes no LinkedIn, muitas vezes com fotos geradas por IA. Eles abordam desenvolvedores que trabalham em protocolos de cripto, oferecendo trabalhos como freelancer, entrevistas de emprego ou oportunidades de revisão de código.
Em casos documentados, agentes da RPDC mantiveram relações no LinkedIn com alvos da comunidade de desenvolvedores cripto por semanas ou meses antes de enviar um payload malicioso, ganhando confiança em conversas tecnicamente sofisticadas sobre a base de código específica da vítima.
Quando o alvo engaja, o atacante, em algum momento, envia um arquivo que exige execução local. Pode ser um PDF com payload embutido, um repositório no GitHub contendo uma dependência maliciosa ou um “teste técnico” falso que instala uma backdoor.
A partir do momento em que o atacante consegue uma base na máquina do desenvolvedor, ele passa a coletar chaves privadas, tokens de sessão para sistemas internos e credenciais de infraestrutura em nuvem usadas para gerenciar deploys dos protocolos.
O nível de sofisticação dessa prática reflete um investimento institucional em desenvolvimento de capacidades que grupos criminosos privados não conseguem igualar. As unidades de ciberataque da RPDC são funcionários de Estado, treinam em tempo integral, seguem rigorosa disciplina de segurança operacional e acumulam, há anos, conhecimento sobre quais protocolos são mais vulneráveis e quais desenvolvedores são mais acessíveis.
A engrenagem de lavagem por trás dos números de roubo
Roubar criptomoedas é só o primeiro passo. Transformar esses ativos em receita utilizável pelo regime exige uma cadeia de lavagem elaborada, que, por si só, virou objeto de pesquisas on-chain cada vez mais detalhadas. É no pós-roubo, na movimentação dos fundos, que os investigadores conseguem, com mais frequência, atribuir ataques à RPDC, graças a padrões comportamentais identificáveis do grupo. padrões no modo como movimenta e oculta recursos.
A Chainalysis mapeou o fluxo “padrão” de lavagem da RPDC como um processo em várias etapas. Primeiro, os criptoativos roubados são convertidos em Ethereum (ETH) ou Bitcoin (BTC) via DEXs on-chain, trocando tokens ilíquidos, específicos de protocolos, por ativos de maior liquidez. Em seguida, esses recursos passam por serviços de mixing: historicamente, o grupo usava o Tornado Cash até as sanções do OFAC em agosto de 2022, que o forçaram a migrar para outras ferramentas de ofuscação, como Sinbad e Yomix — ambas também já alvo de sanções dos EUA.
O OFAC sancionou o mixer Sinbad em novembro de 2023 e o Yomix em abril de 2025, evidenciando um jogo de gato e rato em que cada nova ferramenta de lavagem da RPDC acaba, mais cedo ou mais tarde, enquadrada por sanções, empurrando o grupo para novas infraestruturas.
Após o mixing, os fundos percorrem uma malha de contas aninhadas em exchanges, mesas OTC em jurisdições com fiscalização antilavagem ineficaz e plataformas peer-to-peer. A “saída” mais comum historicamente tem sido exchanges no Leste e no Sudeste Asiático com exigências fracas de KYC. Um relatório de 2024 do Painel de Especialistas das Nações Unidas sobre a Coreia do Norte apontou especificamente o produto de ataques cripto como uma das principais fontes de financiamento do programa de mísseis balísticos da RPDC, estimando que a receita com cripto cobriu cerca de 40% das necessidades de divisas para o desenvolvimento de armas de destruição em massa.
Leia também: Ethereum Pode Ir a um “Estado Quase Zero” no Plano Mais Radical de Lean Chain de Buterin
A resposta regulatória e seus limites
O governo dos EUA tem usado um arsenal considerável contra as operações cripto da RPDC, combinando designações do OFAC contra carteiras e mixers, comunicados de atribuição do FBI para ataques específicos e alertas conjuntos com agências de inteligência aliadas. O Departamento de Justiça denunciou formalmente diversos agentes norte-coreanos, ainda que a persecução penal seja, na prática, inviável na ausência de tratados de extradição.
A limitação da resposta americana é estrutural. Sanções sobre endereços de carteiras funcionam apenas contra atores que, em algum momento, dependem de infraestrutura financeira regulada para fazer o cash-out. Seu impacto é mínimo sobre operadores sofisticados que roteiam fundos por jurisdições fora do alcance das regras de AML dos EUA. A ação do OFAC contra o Tornado Cash foi relevante e polêmica, mas a RPDC se adaptou em poucos meses, migrando para novas plataformas.
O Departamento de Justiça já acusou formalmente sete hackers militares norte-coreanos ligados a operações de roubo de cripto, mas nenhum foi levado a julgamento. As denúncias funcionam sobretudo como ferramenta de atribuição e mecanismo de dissuasão para terceiros que, de outra forma, poderiam facilitar a movimentação de recursos.
O Grupo de Ação Financeira Internacional (Gafi/FATF), órgão intergovernamental que define padrões de AML, elevou a Coreia do Norte à sua categoria de risco máximo, mantendo um apelo permanente para que países-membros apliquem diligência reforçada a qualquer transação com vínculo à RPDC. Mas as recomendações do Gafi não são vinculantes, e as jurisdições mais úteis à RPDC para converter cripto em moeda fiduciária tendem a ser países fora do organismo — ou membros com histórico fraco de implementação.
O regulamento europeu Markets in Crypto-Assets (MiCA), em vigor integral desde o fim de 2024, incorporou exigências de “travel rule”, impondo identificação de contraparte para transferências cripto acima de certos limiares. Defensores argumentam que isso fecha parte dos canais OTC usados como off-ramp. Críticos observam que as operações da RPDC são sofisticadas o bastante para contornar KYC utilizando carteiras não custodiadas e jurisdições fora do alcance regulatório da UE.
Leia também: Imagem Muse da Meta Transforma o Instagram em Matéria‑Prima Para Arte de IA
O que a perícia on-chain de fato revela
A atribuição de roubos de cripto à Coreia do Norte não é um juízo político: ela se ancora em dados on-chain verificáveis, que qualquer pesquisador com acesso a blockchains públicas e ferramentas de clustering de carteiras pode replicar. Entender esse processo é fundamental para avaliar a credibilidade das conclusões.
Quando a RPDC compromete um protocolo, a transação inicial aparece de imediato on-chain. Os fundos roubados são enviados a carteiras sob controle do atacante, que então executam uma sequência de swaps, operações de bridge e mixing. A Elliptic, outra empresa de análise de blockchain, já divulgou uma metodologia detalhada mostrando que carteiras associadas à RPDC se agrupam em torno de assinaturas de comportamento: padrões específicos de horário, rotas de swap preferenciais, quantias residuais características deixadas em carteiras intermediárias e a tendência de manter fundos parados em certos clusters por longos períodos antes de movê-los.
A análise de clustering de carteiras da Elliptic identificou mais de 15 mil endereços ligados a operações de roubo da RPDC, construindo um grafo de carteiras interconectadas que peritos forenses usam para rastrear o fluxo de fundos mesmo após passarem por mixers.
Os comunicados do FBI atribuindo ataques específicos — como a violação da Alphapo e o exploit da Atomic Wallet em 2023 — baseiam-se nessa metodologia forense, combinada a inteligência de sinais classificada.
A junção de dados públicos on-chain com informações de inteligência governamental vem produzindo níveis de confiança em atribuição superiores ao que se observa em boa parte das investigações de cibercrime tradicional, nas quais essa camada de evidência simplesmente não existe.
Leia também: Saylor Diz Que Crescimento de 3,3% no Bitcoin Pode Sustentar Dividendos da Estratégia
O esquema de “trabalhadores de TI” como canal paralelo de receita
Paralelamente aos hacks, a RPDC opera um programa de geração de receita em cripto que ganhou destaque nas ações de enforcement em 2024 e 2025. Milhares de norte-coreanos, usando identidades falsas apoiadas em documentos gerados por IA e vídeos deepfake, conseguiram vagas remotas em empresas de cripto e startups Web3 na América do Norte e na Europa.
O Departamento de Justiça acusou quatorze pessoas em maio de 2024 por operarem um esquema que colocava trabalhadores de TI norte-coreanos em mais de 300 companhias americanas, canalizando os salários de volta para a RPDC.
A denúncia alegava que cada trabalhador podia ganhar entre US$ 250 mil e US$ 300 mil por ano, com o esquema total movimentando dezenas de milhões de dólares ao longo de vários anos.
A acusação de maio de 2024 do DOJ documentou trabalhadores de TI norte-coreanos recebendo até US$ 300 mil anuais em empresas de cripto e tecnologia dos EUA, com remessas para a RPDC feitas por uma rede de facilitadores nos EUA, Reino Unido e China.
Esse programa de “trabalhadores de TI” é especialmente preocupante para o setor cripto porque injeta acessos internos diretamente nos times de desenvolvimento. Um funcionário com credenciais legítimas e acesso a repositórios é, em muitos aspectos, mais perigoso do que um atacante externo tentando atravessar camadas de defesa perimetral.
Diversos pesquisadores de segurança já relataram que padrões suspeitos em commits, acessos incomuns a repositórios e horários de trabalho atípicos passaram a ser tratados como potenciais sinais de alerta de trabalhadores de TI ligados à RPDC por empresas cripto mais atentas à segurança.
A sobreposição entre o esquema de trabalhadores de TI e as campanhas de engenharia social direcionadas a desenvolvedores faz com que a superfície de ataque da RPDC contra a indústria cripto seja multidimensional: hackers externos, devs comprometidos por ofertas de emprego falsas e insiders plantados atuam como vetores simultâneos.
Leia também: OpenAI Consegue Aprovação Para o GPT‑5.6 Enquanto Trump Libera Expansão da IA
A resposta mais ampla de segurança da indústria
A reação da indústria à ameaça norte-coreana tem sido relevante, mas desigual.
Os protocolos mais capitalizados hoje investem pesado em auditorias de segurança pré‑deploy, mantêm programas de bug bounty com recompensas de seis dígitos e contam com times internos de segurança formados por ex-pesquisadores de ofensiva.
Essa concentração de gastos em segurança no topo da curva de capitalização replica o mesmo “power law” que estrutura o mercado cripto como um todo.
A Immunefi, principal plataforma de bug bounty em Web3, reportou pagamentos totais de mais de US$ 100 milhões em recompensas até meados de 2025 — quantia associada à descoberta de falhas que poderiam ter resultado em bilhões de dólares em perdas potenciais.
O maior pagamento individual de sua história foi uma recompensa de US$ 10 milhões a um white hat que identificou uma vulnerabilidade crítica em um grande protocolo DeFi antes que pudesse ser explorada.
Por outro lado, essa concentração de investimento em segurança nos protocolos de primeira linha deixa muitos projetos DeFi menores — que, somados, ainda reúnem bilhões em TVL — substancialmente desprotegidos.
O problema dos bridges cross-chain, no centro de tantos grandes ataques, vem estimulando respostas arquiteturais específicas.
A principal delas é a migração para bridges mais “trust-minimized”, que usam provas de conhecimento zero para verificar o estado da chain de origem sem depender de comitês de validadores.
Projetos como Succinct Labs e Polyhedra Network desenvolveram infraestruturas de light clients em ZK justamente para eliminar o pressuposto de comitês confiáveis — o mesmo modelo que tornou bridges como a Ronin exploráveis.
Se isso será suficiente para fechar a janela de ataque que hoje sustenta parte relevante das operações da RPDC ainda é uma questão em aberto.É difícil afirmar, com qualquer grau de confiança, que a infraestrutura de segurança está evoluindo rápido o bastante para superar o ritmo de desenvolvimento das capacidades cibernéticas da Coreia do Norte.
A fatia de 66% no primeiro semestre de 2026 indica que, mesmo com investimentos pesados por parte do setor, o atacante segue acompanhando — e, em alguns casos, igualando — o avanço defensivo.
Também leia: SpaceXAI quer um “assassino do Claude” movido a Cursor antes mesmo de fechar o acordo de US$ 60 bi
Implicações geopolíticas e o que vem pela frente
O roubo de criptoativos é hoje a principal fonte de divisas da Coreia do Norte.
Não se trata de hipérbole. É uma descrição operacional sustentada por evidências — e reconhecida pelo Tesouro dos Estados Unidos, pela ONU e por serviços de inteligência de países aliados.
O Painel de Especialistas da ONU estimou em cerca de US$ 3 bilhões o valor desviado em cripto pela Coreia do Norte entre 2017 e 2023, com aceleração do ritmo nos anos mais recentes.
Esses recursos não vão para um “tesouro nacional” nos moldes tradicionais.
Eles alimentam diretamente programas de armamento — sobretudo os esforços de desenvolvimento de mísseis balísticos e de miniaturização de ogivas nucleares, hoje o eixo central da estratégia de Pyongyang.
Cada dólar drenado de um protocolo DeFi tende a se converter em capacidade material e tecnológica para sistemas de armas que estão no centro dos cenários de risco trabalhados por planejadores de defesa dos EUA, da Coreia do Sul e do Japão.
O Painel de Especialistas da ONU vinculou diretamente aqueles US$ 3 bilhões roubados entre 2017 e 2023 ao financiamento dos programas militares norte-coreanos — transformando a segurança em blockchain em variável explícita nas equações de segurança regional no Nordeste Asiático.
Leia a seguir: 5 rivais mais baratos que Fable 5: não pague caro demais pelo seu trabalho diário com IA
Considerações finais
A participação de 66,2% registrada no primeiro semestre de 2026 está longe de ser uma curiosidade estatística.
Ela funciona como um termômetro do estágio atual da disputa entre um dos programas estatais de ciberataque mais avançados do mundo e uma indústria que, por anos, priorizou velocidade de lançamento em detrimento de segurança operacional.
A trajetória desse embate — dos ataques oportunistas a exchanges em 2017, passando pela invasão da ponte Ronin em 2022, até a atual campanha multivetorial que mira simultaneamente desenvolvedores, bridges e insiders — revela um agente de ameaça que aprende, se adapta e escala operações em um ritmo superior ao das iniciativas defensivas do setor cripto.
Os fatores estruturais que hoje favorecem a Coreia do Norte não devem desaparecer no curto prazo.
O país dispõe de um corpo técnico em ciberoperações totalmente estatal, sem a competição de salários do setor privado, sem prestação de contas pública e com mandato explícito para gerar receita por qualquer meio disponível.
A indústria cripto, por outro lado, opera com uma superfície de defesa fragmentada. Os protocolos mais valiosos vêm se blindando melhor — mas a longa cauda de pequenos projetos DeFi continua cronicamente subcapitalizada em segurança.
E as bridges cross-chain, que conectam as “ilhas de liquidez” do ecossistema, permanecem estruturalmente complexas, carregando suposições arquitetônicas que abrem espaço para vulnerabilidades recorrentes e exploráveis.
