Um único Estado-nação abocanhou dois terços de cada dólar roubado do ecossistema global de criptoativos no primeiro semestre de 2026.
Não é erro de arredondamento. Não é efeito isolado de um grande assalto.
É o resultado de uma campanha de hacking contínua e industrializada — quase uma década de lapidação de métodos, que hoje supera, sozinha, todos os demais agentes de ameaça somados no setor.
A escala impressiona mesmo pelos padrões do crime em cripto, um ambiente historicamente pródigo em números dramáticos.
Grupos ligados à Coreia do Norte responderam por 66,2% de todas as perdas globais com hacks de ativos digitais no primeiro semestre de 2026, segundo números que circularam nesta semana entre empresas de segurança on-chain.
Essa concentração de perdas em um único agrupamento de ameaças representa uma mudança qualitativa no perfil de risco de todo o setor. E ocorre justamente quando o capital institucional volta a entrar em cripto no ritmo mais acelerado desde 2021.
Em resumo
- Hackers ligados à Coreia do Norte capturaram 66,2% de todas as perdas com hacks de cripto na primeira metade de 2026, um novo pico de concentração em roubo estatal.
- O Lazarus Group e outras unidades da RPDC evoluíram de ataques oportunistas a corretoras para operações altamente estruturadas contra protocolos DeFi, pontes cross-chain e engenharia social de desenvolvedores.
- Os recursos financiam diretamente os programas de armamento norte-coreanos, transformando a segurança em cripto numa questão geopolítica tratada com urgência por reguladores em Washington, Bruxelas e Seul.
Os 66% e o que esse número realmente mede
Antes de discutir o quadro estratégico, vale destrinchar a metodologia por trás desse percentual.
Os 66,2% referem-se à fatia das perdas totais comprovadas com hacks de cripto atribuídas a carteiras ligadas à RPDC no primeiro semestre de 2026 — com base em perícia on-chain que rastreia os fluxos desde o roubo inicial, passando por mixers, até a saída para o sistema financeiro tradicional.
A Chainalysis, referência em dados históricos sobre crime em cripto, informou em seu Crime Report 2024 que grupos associados à Coreia do Norte roubaram cerca de US$ 1,34 bilhão em 47 incidentes em 2023 — 61% do valor total subtraído em hacks naquele ano.
O dado do primeiro semestre de 2026 indica uma concentração ainda maior. Sugere que a distância entre as capacidades da RPDC e as de outros atores maliciosos está se ampliando, não diminuindo.
Essa fatia de 66,2% é a maior concentração já registrada de roubo estatal de ativos digitais em um único período de seis meses.
É crucial notar o que esse número de 66% não captura.
Ele exclui esquemas de saída (“exit scams”), “rug pulls” e fraudes em geral — que a Chainalysis normalmente categoriza separadamente de hacks. O denominador considera apenas perdas confirmadas por invasões técnicas.
Incluir todas as categorias de crime em cripto reduziria a participação percentual da RPDC. Mas não diminuiria o montante absoluto em dólares roubado.
Leia também: Demanda à vista por XRP sobe enquanto perps da Binance emitem alerta de US$ 783 mi
Como o Lazarus Group virou superpotência em cripto
O Lazarus Group — denominação guarda-chuva usada por agências de inteligência dos EUA e pesquisadores privados para as unidades cibernéticas mais avançadas da RPDC — não nasceu com foco em cripto.
A atuação inicial incluía ataques destrutivos, assaltos bancários via exploração da rede SWIFT e campanhas de ransomware.
A virada para cripto foi gradual. Ganhou corpo em torno de 2017, quando o grupo passou a mirar corretoras sul-coreanas — e se acelerou de forma decisiva após o ataque à Ronin Network em 2022.
O hack da Ronin, no qual o Lazarus Group subtraiu cerca de US$ 625 milhões da sidechain do Axie Infinity, foi um ponto de inflexão estratégico.
O episódio demonstrou que a infraestrutura DeFi — com sua complexidade de smart contracts, dependência de pontes cross-chain e vulnerabilidades em engenharia social de desenvolvedores — oferecia uma superfície de ataque muito mais lucrativa que as corretoras centralizadas, que haviam endurecido defesas após uma década de invasões.
O roubo de US$ 625 milhões em março de 2022 continua sendo o maior hack de DeFi já registrado. Serviu de modelo operacional para as campanhas de cripto da RPDC que se seguiram.
Desde 2022, o grupo vem refinando sistematicamente três vetores principais de ataque.
O primeiro é o comprometimento de credenciais de desenvolvedores — normalmente via falsas propostas de emprego no LinkedIn que instalam malware quando a vítima abre um arquivo ou executa um repositório.
O segundo são as explorações de pontes cross-chain, mirando a lógica de smart contracts que validam transferências de ativos entre redes.
O terceiro são ataques à cadeia de suprimentos de software, explorando dependências usadas por protocolos de cripto — técnica consagrada na cibersegurança tradicional e agora adaptada ao universo blockchain.
Leia também: Inglaterra vs Índia já não é só críquete para traders de mercados de previsão
Do alvo em corretoras para a artilharia contra DeFi
A fase inicial da crônica dos grandes hacks em cripto foi escrita em cima de quebras de corretoras centralizadas. Mt. Gox em 2014, Bitfinex em 2016, Coincheck em 2018. Esses ataques exploravam hot wallets, falhas de API ou conluio com insiders. Os autores, em geral, eram grupos criminosos oportunistas, sem o respaldo institucional de um Estado.
O manual atual da RPDC é de outra natureza. A TRM Labs, em seu relatório 2024 Crypto Threat Intelligence, identificou que a fatia dos roubos de cripto atribuídos à Coreia do Norte originada em exploits de protocolos DeFi — e não em invasões a corretoras — saltou de cerca de 30% em 2021 para mais de 70% em 2024. A mudança acompanha a própria expansão da liquidez on-chain.
O valor total travado em protocolos DeFi (TVL) globalmente passou de US$ 180 bilhões no pico do fim de 2021, desabou com o bear market de 2022 e voltou a patamares que novamente oferecem um alvo atraente. Dados da DefiLlama (https://defillama.com/) em meados de 2026 apontam TVL acima de US$ 110 bilhões em todas as redes, com pontes cross-chain controlando uma fatia desproporcional desse capital em pools concentrados.
Contratos de pontes DeFi são estruturalmente atraentes para atacantes sofisticados porque concentram grandes pools de liquidez em um único smart contract e exigem lógica complexa de validação entre cadeias, difícil de auditar por completo.
Pontes cross-chain tornaram-se obsessão específica das unidades norte-coreanas por causa de sua topologia singular de risco. Um contrato de ponte precisa confiar em afirmações vindas de uma chain remota que ele não consegue verificar de forma nativa. A lógica de validação é complexa, muitas vezes baseada em um comitê multisig ou em provas de light client. Ambos os modelos embutem hipóteses exploráveis.
No caso da Ronin, a ponte utilizava um esquema multisig de nove de nove assinaturas, que na prática foi degradado a um limiar de cinco de nove via engenharia social. Uma vez obtido o controle sobre cinco chaves, os invasores conseguiram autorizar saques que drenaram o contrato.
Leia também: Fable 5 vale o dobro do preço quando Opus 4.8 ainda entrega?
O vetor da falsa oferta de emprego e a caça a desenvolvedores
O elemento mais constante — e subestimado — da campanha da RPDC no primeiro semestre de 2026 é a infraestrutura de engenharia social dirigida a desenvolvedores e funcionários de protocolos. Não se trata de um “hack técnico” clássico, mas de uma operação de inteligência baseada em relacionamento, que termina em execução de código.
O roteiro padrão, detalhado pela Mandiant em sua análise sobre a ameaça financeira do APT38 (https://www.mandiant.com/resources/apt38-details-on-new-north-korean-regime-backed-threat-group) e pela Cybersecurity and Infrastructure Security Agency dos EUA no Alerta CISA AA22-108A, envolve operativos da RPDC criando perfis profissionais convincentes no LinkedIn, muitas vezes com fotos geradas por IA. Eles abordam desenvolvedores que atuam em protocolos de cripto, oferecendo trabalhos como freelancer, entrevistas formais ou oportunidades de revisão de código.
Em casos documentados, agentes norte-coreanos mantiveram relações no LinkedIn com desenvolvedores-alvo durante semanas ou meses antes de enviar o payload de malware, construindo confiança com conversas tecnicamente sólidas sobre o código específico em que a vítima trabalha.
Quando o alvo morde a isca, o atacante acaba enviando um arquivo que precisa ser aberto ou executado. Pode ser um PDF com payload embutido, um repositório no GitHub contendo uma dependência maliciosa ou um suposto teste técnico que instala uma backdoor.
Uma vez obtido o acesso inicial à máquina do desenvolvedor, os invasores podem coletar chaves privadas, tokens de sessão de sistemas internos e credenciais de infraestrutura em nuvem usada para gerenciar deploys do protocolo.
O nível de sofisticação dessa “tradecraft” reflete um investimento institucional em desenvolvimento de capacidades que grupos criminosos privados não conseguem igualar. As unidades cibernéticas da RPDC são funcionários de Estado, treinam em tempo integral, operam sob rígida disciplina de segurança operacional e acumulam anos de conhecimento sobre quais protocolos são mais vulneráveis e quais desenvolvedores são mais suscetíveis à abordagem.
Leia também: Ação da TeraWulf salta enquanto acordo com Anthropic reposiciona mineradora de Bitcoin em pivot de IA de US$ 19 bi
A engrenagem de lavagem por trás dos números
Roubar criptomoedas é apenas o primeiro passo. Transformar esses ativos em receita útil para o regime exige uma cadeia de lavagem complexa, que se tornou objeto de intensa investigação on-chain. É no rastro pós-roubo que investigadores mais frequentemente conseguem atribuir ataques à RPDC, porque o grupo exibe padrões comportamentais reconhecíveis. padrões na forma como movimenta e oculta fundos.
A Chainalysis descreveu o fluxo típico de branqueamento da Coreia do Norte como um processo em várias etapas. Os criptoativos roubados são primeiro convertidos em Ethereum (ETH) ou Bitcoin (BTC) através de DEXs on-chain, trocando tokens ilíquidos e específicos de cada protocolo por ativos com muito mais liquidez. Em seguida, esses fundos passam por mixers, com o grupo a recorrer historicamente ao Tornado Cash até às sanções do OFAC em agosto de 2022, que o forçaram a migrar para outras ferramentas de ofuscação, como Sinbad e Yomix — ambas entretanto também alvo de sanções dos EUA.
O OFAC sancionou o mixer Sinbad em novembro de 2023 e o mixer Yomix em abril de 2025, num jogo constante de gato e rato em que cada nova ferramenta de lavagem associada à Coreia do Norte acaba, mais cedo ou mais tarde, sob ação sancionatória, empurrando o grupo para novas infraestruturas.
Depois da mistura, os fundos circulam por uma rede de contas “aninhadas” em exchanges, brokers OTC em jurisdições com fraca aplicação de regras de AML e plataformas peer‑to‑peer. A rampa de saída mais utilizada tem sido, historicamente, exchanges na Ásia Oriental e Sudeste Asiático, com requisitos de KYC muito limitados. Um relatório de 2024 do Painel de Peritos das Nações Unidas sobre a Coreia do Norte apontou explicitamente os proventos de roubos de cripto como principal fonte de financiamento do programa de mísseis balísticos do regime, estimando que essa receita em cripto cobre cerca de 40% das necessidades de divisas para o desenvolvimento de armas de destruição maciça.
Leia também: Ethereum Pode Caminhar Para um “Near-Zero State” com o Plano Lean Chain Mais Radical de Buterin
A Resposta Regulamentar e os Seus Limites
Washington mobilizou um arsenal considerável contra as operações cripto da Coreia do Norte, combinando sanções do OFAC sobre carteiras e mixers, comunicados do FBI atribuindo hacks específicos e alertas conjuntos com serviços de inteligência aliados. O Departamento de Justiça acusou formalmente vários operacionais militares norte-coreanos, embora a perspetiva de julgamento seja praticamente nula devido à inexistência de vias de extradição.
O problema da resposta norte‑americana é estrutural. Sanções sobre endereços de carteira só são verdadeiramente eficazes contra atores que dependem de infraestruturas financeiras reguladas para converter cripto em moeda fiduciária. O seu impacto é reduzido sobre operadores sofisticados que canalizam fundos por jurisdições fora do raio de ação das regras de AML dos EUA. As medidas do OFAC contra o Tornado Cash foram relevantes e contestadas, mas a Coreia do Norte adaptou‑se em poucos meses, migrando para outras infraestruturas.
O Departamento de Justiça acusou sete hackers militares norte‑coreanos ligados a operações de roubo de cripto, mas nenhum chegou a julgamento. As acusações funcionam sobretudo como instrumentos de atribuição e como sinal dissuasor para terceiros que, de outra forma, poderiam facilitar a circulação de fundos.
O Grupo de Ação Financeira Internacional (GAFI), organismo intergovernamental responsável por definir padrões globais de AML, elevou a Coreia do Norte à sua categoria de maior risco e mantém um apelo permanente para que os países membros apliquem diligência reforçada em qualquer transação com ligação ao regime. Mas as recomendações do GAFI não são vinculativas — e as jurisdições mais úteis à Coreia do Norte para “descarregar” cripto em fiat tendem a ser Estados fora do GAFI ou membros com histórico fraco de implementação.
O regulamento europeu Markets in Crypto‑Assets (MiCA), em vigor pleno desde o final de 2024, inclui exigências da chamada “travel rule”, obrigando à identificação das contrapartes em transferências de cripto acima de determinados limiares. Defensores sustentam que isto fecha parte dos canais OTC usados como rampa de saída. Críticos contrapõem que as operações da Coreia do Norte são suficientemente sofisticadas para contornar requisitos de KYC, recorrendo a carteiras não custodiais e a jurisdições fora do alcance regulatório da UE.
Leia também: Meta’s Muse Image Transforma o Instagram em Matéria‑Prima Para Arte de IA
O Que a Forense On‑Chain Mostra de Facto
A atribuição de roubos de cripto à Coreia do Norte não assenta num juízo político, mas em dados on‑chain verificáveis que qualquer investigador pode reproduzir com acesso a blockchains públicas e ferramentas de clustering de carteiras. Entender como essa atribuição é feita é crucial para avaliar a sua credibilidade.
Sempre que o regime ataca um protocolo, a transação inicial é imediatamente visível on‑chain. Os fundos roubados são encaminhados para carteiras controladas pelo atacante, que depois executam uma sequência de swaps, operações de bridge e passagens por mixers. A Elliptic, outra empresa de análise de blockchain, divulgou uma metodologia detalhada que mostra como as carteiras ligadas à Coreia do Norte se agrupam em torno de padrões comportamentais: janelas temporais específicas, rotas de swap preferenciais, montantes residuais característicos (“dust”) em carteiras intermédias e uma tendência para manter fundos roubados estacionados em clusters durante longos períodos antes de os mover.
A análise de clustering de carteiras da Elliptic identificou mais de 15.000 endereços associados a operações de roubo norte‑coreanas, criando um grafo de carteiras interligadas que permite aos analistas forenses seguir fluxos de fundos mesmo depois de passarem por mixers.
Os comunicados do FBI atribuindo hacks concretos — como o ataque à Alphapo ou o exploit contra a Atomic Wallet em 2023 — baseiam‑se nesta metodologia forense, combinada com inteligência de sinais classificada.
A conjugação de dados públicos on‑chain com informação de serviços de inteligência governamentais permitiu atingir níveis de confiança na atribuição superiores ao que é habitual em investigações de cibercrime tradicional, onde não existe equivalente à “pegada” on‑chain.
Leia também: Saylor Diz Que Crescimento de 3,3% no Bitcoin Pode Sustentar Dividendos da Estratégia
O Esquema dos Trabalhadores de TI Como Canal Paralelo de Receita
Paralelamente aos hacks, a Coreia do Norte opera um programa autónomo de geração de receitas em cripto que ganhou forte atenção das autoridades em 2024 e 2025. Milhares de cidadãos norte‑coreanos, usando identidades falsas suportadas por documentos gerados por IA e vídeos deepfake, conseguiram empregos remotos em empresas de cripto e startups Web3 na América do Norte e na Europa.
O Departamento de Justiça acusou catorze indivíduos em maio de 2024, por operarem um esquema que colocou trabalhadores de TI norte‑coreanos em mais de 300 empresas norte‑americanas, canalizando os rendimentos para o regime.
Segundo a acusação, cada trabalhador chegava a ganhar entre 250.000 e 300.000 dólares por ano, com o esquema a gerar, no total, dezenas de milhões de dólares ao longo de vários anos.
A acusação de maio de 2024 detalha casos de trabalhadores de TI norte‑coreanos a receber até 300.000 dólares anuais em empresas norte‑americanas de cripto e tecnologia, com os fundos remetidos para a Coreia do Norte através de uma rede de facilitadores nos EUA, Reino Unido e China.
O esquema dos trabalhadores de TI é particularmente preocupante para a indústria cripto porque coloca “insiders” dentro das próprias equipas de desenvolvimento. Um funcionário com credenciais válidas e acesso a repositórios de código representa uma ameaça muito maior do que um atacante externo a tentar ultrapassar mecanismos de defesa perimetrais.
Vários investigadores de segurança assinalaram que padrões suspeitos em commits de código, acessos inexplicados a repositórios e horários de trabalho anómalos estão hoje a ser tratados por empresas cripto mais maduras como potenciais indicadores de presença de trabalhadores de TI norte‑coreanos.
A sobreposição entre este esquema e campanhas de engenharia social dirigidas a developers faz com que a superfície de ataque da Coreia do Norte contra a indústria cripto seja multidimensional: hackers externos, programadores comprometidos por falsas ofertas de emprego e insiders plantados atuam em paralelo como vetores de ameaça ativos.
Leia também: OpenAI Ganha Luz Verde Para o GPT‑5.6 Enquanto Trump Liberta Expansão Mais Ampla da IA
A Resposta de Segurança da Indústria
A reação da indústria cripto à ameaça norte‑coreana tem sido substancial, embora desigual.
Os protocolos com mais recursos recorrem hoje a auditorias de segurança exaustivas antes de cada grande atualização, mantêm programas de bug bounty com recompensas de seis dígitos e contam com equipas internas de segurança com experiência em investigação ofensiva.
Esta concentração do investimento em segurança no topo do ecossistema replica a mesma lei de potência que domina o mercado cripto em geral.
A Immunefi, principal plataforma de bug bounties para Web3, reportou pagamentos totais superiores a 100 milhões de dólares em recompensas até meados de 2025 — valores associados à identificação de vulnerabilidades que poderiam ter permitido perdas potenciais na casa dos milhares de milhões.
O maior bounty único da sua história foi um prémio de 10 milhões de dólares a um white hat que detetou uma falha crítica num grande protocolo DeFi antes de ser explorada.
Mas esta concentração do gasto em segurança nos protocolos de primeira linha deixa uma vasta camada de projetos DeFi de menor dimensão — que, em conjunto, continuam a gerir milhares de milhões em TVL — claramente subprotegidos.
O problema das bridges cross‑chain, no epicentro de muitos dos maiores hacks, está a gerar respostas arquitetónicas próprias.
A principal tendência é a migração para bridges mais “trust‑minimized”, que recorrem a provas de conhecimento zero para verificar o estado da cadeia de origem, dispensando comités de validadores como ponto de confiança.
Projetos como a Succinct Labs e a Polyhedra Network estão a construir infraestruturas de light clients baseadas em ZK concebidas precisamente para eliminar o pressuposto de um comité confiável que tornou bridges como a Ronin vulneráveis.
Se é, no mínimo, duvidoso que a infraestrutura de segurança esteja a evoluir com rapidez suficiente para superar o ritmo de desenvolvimento de capacidades da Coreia do Norte.
A fatia de 66% no primeiro semestre de 2026 sugere que, mesmo com um volume relevante de investimento por parte do setor, o atacante continua a acompanhar — e, em alguns vetores, a igualar — o esforço defensivo.
Leia também: SpaceXAI quer um “Claude killer” movido a Cursor antes mesmo de fechar o negócio de US$ 60 bi
Risco geopolítico e o que vem pela frente
O roubo de criptoativos é hoje a principal fonte de divisas para a Coreia do Norte.
Não se trata de força de expressão, mas de uma realidade operacional documentada — reconhecida pelo Tesouro dos EUA, pelas Nações Unidas e por serviços de inteligência de países aliados.
O Painel de Peritos da ONU estimou que o regime norte-coreano arrecadou cerca de US$ 3 mil milhões em cripto entre 2017 e 2023, com o ritmo a acelerar nos últimos anos.
Esses recursos não vão para um “tesouro” estatal convencional.
Eles alimentam diretamente os programas de armamento — em particular os esforços de desenvolvimento de mísseis balísticos e de miniaturização de ogivas nucleares, que constituem a prioridade estratégica central de Pyongyang.
Cada dólar roubado a um protocolo DeFi pode traduzir-se, na prática, em capacidade material e tecnológica para sistemas de armas que os estrategistas de defesa dos EUA, da Coreia do Sul e do Japão incorporam explicitamente nos seus cenários de ameaça.
O Painel de Peritos da ONU ligou diretamente os cerca de US$ 3 mil milhões em roubos entre 2017 e 2023 ao financiamento dos programas de armamento — transformando a segurança em blockchain num elemento efetivo das equações de segurança regional no Nordeste Asiático.
A seguir: 5 rivais mais baratos ao Fable 5: não pague demais pelo seu trabalho diário com IA
Considerações finais
A fatia de 66,2% registada no primeiro semestre de 2026 está longe de ser apenas uma curiosidade estatística.
É um sinal sobre o estado atual da disputa entre um dos programas ciberestatais mais capazes do mundo e uma indústria que, historicamente, privilegiou a velocidade de lançamento em detrimento da segurança operacional.
A trajetória desta disputa — que vai dos ataques oportunistas a bolsas em 2017, passa pela violação da Ronin bridge em 2022 e desemboca na atual campanha multivetorial que atinge, em simultâneo, developers, bridges e insiders — expõe um atacante que aprende, se adapta e escala mais depressa do que o investimento defensivo do setor tem sido capaz de conter.
Os fatores estruturais que favorecem a Coreia do Norte não vão desaparecer no curto prazo.
Pyongyang dispõe de uma força de trabalho cibernética institucionalizada, sem competição do setor privado, sem escrutínio público e com um mandato estatal explícito para gerar receita “por todos os meios disponíveis”.
A indústria cripto, em contraste, apresenta um landscape de segurança fragmentado. Os protocolos de maior valor estão, em geral, mais bem defendidos — mas a cauda longa de pequenos projetos DeFi continua cronicamente subcapitalizada e subprotegida.
E as cross-chain bridges — a infraestrutura que liga as “ilhas de liquidez” do ecossistema — mantêm uma complexidade arquitetónica que, na prática, gera suposições estruturais exploráveis de forma recorrente.
