Dois ataques de alto valor registrados em abril impulsionaram a Coreia do Norte a responder por 76% das perdas globais com hacks cripto nos primeiros quatro meses de 2026. Segundo a TRM Labs, hackers ligados ao regime roubaram US$ 577 milh\u00f5es entre janeiro e abril, concentrados em apenas dois incidentes: Drift Protocol e KelpDAO.<\/p>\n
O ataque ao Drift Protocol resultou em perdas de US$ 285 milh\u00f5es, enquanto o golpe contra a KelpDAO somou US$ 292 milh\u00f5es. Juntos, representaram cerca de 3% do total de incidentes no per\u00edodo, mas excederam tr\u00eas quartos do valor roubado no mercado cripto.<\/p>\n
A TRM aponta uma caracter\u00edstica recorrente: ataques a poucos alvos de alto valor, com opera\u00e7\u00f5es complexas e planejamento pr\u00e9vio, diferentemente de a\u00e7\u00f5es em grande quantidade. As perdas atribu\u00eddas \u00e0 Coreia do Norte somam mais de US$ 6 bilh\u00f5es desde 2017.<\/p>\n
At\u00e9 abril, a participa\u00e7\u00e3o norte-coreana em perdas globais cresceu: menos de 10% em 2020\u20132021, 22% em 2022, 37% em 2023, 39% em 2024, 64% em 2025 e 76% nos quatro primeiros meses de 2026, o maior n\u00edvel j\u00e1 registrado pela empresa.<\/p>\n
A TRM indica que o Drift foi atacado por um subgrupo ligado ao Lazarus Group, mas distinto do TraderTraitor. A opera\u00e7\u00e3o envolveu meses de engenharia social e reuni\u00f5es presenciais com funcion\u00e1rios do Drift.<\/p>\n
A prepara\u00e7\u00e3o t\u00e9cnica come\u00e7ou em 11 de mar\u00e7o. Invasores criaram contas de \u201cdurable nonce\u201d na Solana e induziram o Security Council multisig do Drift a pr\u00e9-autorizar opera\u00e7\u00f5es para uso no ataque.<\/p>\n
Em 1\u00ba de abril, ap\u00f3s migra\u00e7\u00e3o do Security Council para configura\u00e7\u00e3o 2 de 5 sem per\u00edodo de espera, ocorreram 31 saques pr\u00e9-assinados em cerca de 12 minutos. Os recursos foram drenados, convertidos e moveram-se para a Ethereum, onde permanecem em grande parte parados.<\/p>\n
No caso da KelpDAO, hackers exploraram uma falha na ponte LayerZero, comprometeram n\u00f3s RPC internos e manipularam dados da blockchain com valida\u00e7\u00e3o fraudulenta.<\/p>\n
A atividade resultou em saque de aproximadamente 116,5 mil rsETH, avaliados em US$ 292 milh\u00f5es. O ataque \u00e9 atribu\u00eddo ao TraderTraitor, ligado ao Lazarus, com participa\u00e7\u00e3o de infraestruturas associadas a intermedi\u00e1rios chineses e roubos anteriores.<\/p>\n
No Drift, os fundos seguiram para Ethereum e permaneceram majoritariamente estagnados, sugerindo planejamento de liquida\u00e7\u00e3o gradual ao longo do tempo.<\/p>\n
Na KelpDAO, a movimenta\u00e7\u00e3o foi mais r\u00e1pida. Parte dos ativos ficou na Arbitrum; cerca de US$ 75 milh\u00f5es foram congelados pelo Security Council da rede. Em seguida, US$ 175 milh\u00f5es foram convertidos em ETH e, principalmente via THORChain, para Bitcoin.<\/p>\n
A TRM indica que a THORChain voltou a ser rota relevante para recursos desviados pela Coreia do Norte, incluindo incidentes anteriores como o de 2025 na Bybit. No momento, a lavagem \u00e9 promovida via intermedi\u00e1rios chineses, e n\u00e3o apenas pelos norte-coreanos.<\/p>\n
A an\u00e1lise destaca que o problema n\u00e3o \u00e9 apenas o volume, mas a sofistica\u00e7\u00e3o das opera\u00e7\u00f5es. Grupos ligados \u00e0 Coreia do Norte v\u00eam priorizando pontes entre blockchains, governan\u00e7as com v\u00e1rias assinaturas e infraestrutura cross-chain, permanecendo como alvo cr\u00edtico para o mercado cripto global.<\/p>\n","protected":false},"excerpt":{"rendered":"