Ataque hacker à Binance: como a Coreia do Norte virou 'vilã' dos ataques cibernéticos?

RESUMO ＋

O presidente dos Estados Unidos, Donald Trump, afirmou nesta sexta-feira, 30, que o país investiga possível participação da Coreia do Norte no roubo recorde de US$ 6,3 bilhões em criptomoedas da Binance, maior empresa mundial do setor. O regime é associado a ataques do grupo estatal Lazarus. Segundo monitores da ONU citados pela agência Reuters, recursos roubados financiam o programa nuclear norte-coreano.

O presidente dos Estados Unidos, Donald Trump, disse nesta sexta-feira, 30, que o país investiga um possível envolvimento da Coreia do Norte no roubo de US$ 6,3 bilhões, em criptomoedas, daBinance, a maior empresa do ramo no mundo.

"Estamos investigando", disse Trump a jornalistas no Salão Oval, ao ser questionado se o ataque deveria ser atribuído a um grupo de hackers da Coreia do Norte. "Foi um ataque hacker", acrescentou. O roubo é considerado o maior da história.

O perfil Watcher.Guru conseguiu identificar o desvio de US$ 1,57 bilhão na stablecoinUSDT, US$ 1,45 bilhão em bitcoin, US$ 875 milhões em ether, US$ 823 milhões na stablecoin USDC, US$ 234 milhões em TRX, US$ 88,75 milhões na stablecoin RLUSD, US$ 75 milhões em wrapped beacon ETH, US$ 50 milhões em tether gold e US$ 447,5 milhões em outras criptomoedas.

O possível envolvimento da Coreia do Norte na ação cibernética não surpreende a comunidade internacional. O país é conhecido por um histórico longo de ataques hackers que levaram ativos bilionários de empresas e corretoras.

Em fevereiro de 2025, os norte-coreanos executaram um roubo histórico de US$ 1,5 bilhão contra a corretora Bybit. Segundo o FBI e o Center for Strategic and International Studies (CSIS), a operação combinou engenharia social direcionada aos funcionários da empresa com um ataque à cadeia de suprimentos de software.

Essa tática avançada permitiu que os hackers norte-coreanos violassem uma carteira de múltiplas assinaturas, pulverizando rapidamente os ativos em milhares de endereços no blockchain e convertendo-os em Bitcoin para dificultar o rastreio internacional.

Pouco antes, em julho de 2024, a WazirX, maior corretora de criptomoedas da Índia, também foi alvo de uma ofensiva do regime que resultou no desvio de US$ 235 milhões.

Mas o que faz da Coreia do Norte uma "vilã" dos ataques cibernéticos?

Grupo Lazarus

As atividades cibernéticas da Coreia do Norte ficam concentradas em uma unidade patrocinada pelo Estado: o grupo Lazarus, que opera sob o comando do Reconnaissance General Bureau (RGB), a principal agência de inteligência do país.

O Departamento de Justiça dos Estados Unidos atribui oficialmente ao Lazarus a invasão aos servidores da Sony Pictures em 2014, e as autoridades de inteligência do Reino Unido apontam o grupo como o autor do ransomware WannaCry em 2017, que paralisou hospitais, bancos e empresas globalmente.

Com o endurecimento do isolamento internacional, a missão militar do grupo mudou para a extração de capital. Em 2016, eles orquestraram o assalto ao Banco de Bangladesh, manipulando a rede global de transferências SWIFT para roubar US$ 81 milhões, conforme documentado pelo Federal Reserve.

"A Coreia do Norte investe há anos na formação de profissionais de tecnologia e no treinamento de unidades especializadas. Essas equipes têm acesso a redes internacionais, e parte de seus integrantes atua no exterior, com oportunidades que não estão disponíveis à maioria da população do país", afirma John Park, especialista em Inteligência Artificial e engenheiro de software da AGI Inc.

O regime de Kim Jong-un encontrou nas criptomoedas o vetor perfeito para driblar o sistema financeiro regulado. O sequestro dos ativos é uma forma do regime contornar o severo isolamento financeiro imposto pelas sanções internacionais, gerando um fluxo de caixa direto e contínuo para o Estado.

Em outras palavras, não há um banco central ou autoridade reguladora que possa barrar preventivamente uma transação norte-coreana no exato momento em que ela ocorre. A natureza digital e global dos tokens permite que os hackers utilizem "mixers" (misturadores na dark web) para fracionar, embaralhar e apagar o rastro dos fundos em questão de minutos.

"O processo geralmente começa com a divisão dos valores roubados e sua movimentação por diferentes carteiras digitais e criptomoedas, a fim de dificultar a identificação da origem do dinheiro. Em seguida, intermediários no exterior ajudam a converter ou gastar esses recursos", afirma John Park. 

Ativos roubados viram armamentos

A Coreia do Norte usa o lucro obtido pelos ataques cibernéticos para financiar seu programa militar e, principalmente, nuclear, que é alvo constante de sanções internacionais. "A preocupação, portanto, vai além das empresas que perdem dinheiro: o roubo apoiado pelo Estado pode ajudar a sustentar as mesmas capacidades militares que a comunidade internacional tenta conter", diz Park. 

Os ataques se enquadram no que é chamado de guerra assimétrica, isto é, podem obter bilhões de dólares em lucro a partir de um "exército" que opera sob custos relativamente baixos. Depois, esses dividendos são usados para o desenvolvimento de mísseis balísticos avaliados em milhões de dólares.

Relatórios recentes do painel de especialistas do Conselho de Segurança da ONU apontam que cerca de 50% de toda a receita em moeda estrangeira da Coreia do Norte tem origem em operações cibernéticas. Segundo a agência Reuters, monitores da ONU confirmam que os bilhões extraídos de corretoras ocidentais financiam diretamente o desenvolvimento e a manutenção do arsenal nuclear do país.

Fator humano

Os hackers da Coreia do Norte não disparam e-mails em massa para uma empresa inteira. Eles miram exclusivamente em pessoas específicas, como desenvolvedores e engenheiros de software que possuem acessos privilegiados às chaves de segurança, bancos de dados ou infraestrutura de pagamentos.

Há registros de que criminosos já criaram perfis falsos altamente detalhados no LinkedIn, passando-se por recrutadores seniores de gigantes da tecnologia ou de corretoras rivais, e abordam o engenheiro-alvo com propostas salariais extremamente atrativas.

Sophia Shigueoka, head de cybersegurança da Core, diz que existem vários vetores de ataque. "Já usaram entrevista de emprego falsa com deepfake e phishing super direcionado", afirma ela.

Phishing é um tipo de ataque cibernético e fraude online baseado em engenharia social, onde criminosos se passam por entidades ou pessoas confiáveis (como bancos, redes sociais, órgãos do governo ou marcas conhecidas) para enganar as vítimas.

O falso recrutador solicita que o engenheiro baixe um pacote de software ou realize um teste prático de programação em uma plataforma específica, por exemplo. Esse material contém código adulterado. Quando o funcionário executa o arquivo em seu computador corporativo de trabalho, ele instala o acesso remoto para os hackers sem perceber.

John Park afirma que a inteligência artificial agrava esse desafio ao facilitar a criação de golpes convincentes, "inclusive os em que criminosos se passam por outras pessoas".