Hackers ligados à Coreia do Norte roubaram cerca de US$ 7,61 bilhões em criptoativos em 38 incidentes entre janeiro e outubro de 2026, segundo a empresa de inteligência blockchain BitOK. O dado que chama atenção no relatório não é o volume, e sim o método: nos seis maiores ataques, os criminosos sequestraram pessoas e sistemas responsáveis pela assinatura dos saques, sem explorar nenhuma falha de código.
Bloqueios e apreensões conseguiram reter US$ 2,86 bilhões, o que deixou US$ 4,75 bilhões fora de alcance. Só a Binance responde por US$ 6,41 bilhões do total. Outros 32 furtos menores, contra indivíduos e empresas, somam US$ 178,4 milhões.
Auditoria de código não pega esse tipo de ataque
Segundo a BitOK, todos os saques nos seis maiores incidentes tinham assinaturas válidas ou passaram pelos testes-padrão. Na Binance, o ponto de entrada foi o notebook de um engenheiro DevOps e um container do serviço de assinatura. Em outros casos, os criminosos comprometeram assinantes de multisig na Drift, exchange baseada na Solana, um verificador de bridge na KelpDAO e o sistema de carteiras da Bitget.
Antes de cada roubo, os operadores testaram a mesma rota com quantias pequenas. O contrato usado no ataque à Binance foi executado publicamente quatro horas antes do crime.
O cronograma lembra um expediente de escritório. Numa amostra de 540 transações, 48% das operações ocorreram entre 16h e 21h no horário de Pyongyang. Sábado, domingo e segunda-feira somados representaram apenas 10% do total. Depois que o ataque começava, a rotina mudava: scripts assumiam e a movimentação dos fundos seguia sem interrupção.
Minutos para converter, dias para desaparecer
A velocidade define o que ainda pode ser congelado. Em poucos minutos, os hackers converteram stablecoins em ETH ou tomaram ETH emprestado usando garantias roubadas, já que emissores não conseguem congelar ether. Depois do exploit da bridge rsETH, em abril, os primeiros 52 mil ETH saíram de protocolos de empréstimo em pouco mais de oito minutos. Os fundos ficaram parados de dois dias e meio a cinco dias antes que scripts os movessem via THORChain, protocolo de swaps entre blockchains.