US$ 1,4 bi em bitcoins obtidos por ataque norte-coreano à Binance intocados

Hackers norte-coreanos por trás do roubo de US$ 6,3 bilhões da Binance

Mais uma vez, Pyongyang é acusada de orquestrar um roubo de US$ 6,3 bilhões contra a maior corretora de criptomoedas do mundo em volume de negociação. A investigação preliminar da Binance sugeriu que a invasão teve origem no laptop de um engenheiro de software que teve seu sistema comprometido. A violação, posteriormente, proporcionou aos invasores um ponto de entrada em um dos serviços internos da corretora.

No entanto, descobertas forenses posteriores revelaram outros sistemas comprometidos, sugerindo uma operação muito mais sofisticada do que o simples roubo das credenciais de um único funcionário. Várias empresas de inteligência de blockchain, incluindo Chainalysis, Elliptic e TRM Labs, atribuíram o roubo ao Tradertraitor, uma avaliação reforçada em 31 de outubro, quando o FBI identificou a operação de hackers norte-coreana como responsável pelo ataque.

O Tradertraitor está intimamente ligado ao Grupo Lazarus, operando como um subgrupo especializado e motivado financeiramente, além de ser uma designação para campanhas associadas de malware e espionagem cibernética dentro do amplo aparato de hacking patrocinado pelo Estado norte-coreano. O Grupo Lazarus historicamente controla participações substanciais em bitcoins, e o mais recente roubo de 18.270,2 BTC posiciona ostensivamente a Coreia do Norte como o terceiro maior detentor estatal da criptomoeda no mundo.

Embora a liquidação de bitcoins adquiridos ilegalmente seja amplamente considerada um desafio formidável, Pyongyang tem demonstrado repetidamente uma aparente capacidade de converter ativos roubados em fundos utilizáveis com relativa facilidade.

Por dentro do roubo de bitcoins que esvaziou 95% de uma carteira quente da Binance

O mais recente roubo à Binance apresenta um mistério particularmente intrigante, já que o mecanismo preciso por trás da extração de bitcoins permanece obscuro. Os fundos roubados, atualmente avaliados em US$ 1,4 bilhão, passaram por 11 transferências distintas antes de serem distribuídos em carteiras contendo quantidades variadas de BTC.

No total, os fundos estão agora distribuídos por 19 carteiras distintas, com todas as transações confirmadas na altura do bloco 973.732 da Bitcoin. Os fundos roubados se originaram de uma carteira quente da Binance identificada como bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h, que atualmente mantém aproximadamente 5,495 BTC, avaliados em US$ 426.000.

Desde sua criação em 2021, esse endereço excepcionalmente ativo processou a impressionante quantia de 16.517.012,48 BTC em transferências recebidas e 16.517.006,98 BTC em transações enviadas. Em junho de 2022, a carteira apresentava um saldo de 138.000 BTC e mantinha conexões transacionais com os principais participantes do setor, incluindo plataformas de câmbio centralizadas (CEX) como Kraken, OKX, Bullish, Bybit, Coinbase e dezenas de outras.

Endereços supostamente associados à Wintermute, a formadora de mercado algorítmica de criptomoedas, também interagiram com a carteira em 76 ocasiões, envolvendo mais de US$ 900 milhões em bitcoins. Quando o Tradertraitor comprometeu a carteira, ela continha aproximadamente 19.200 BTC, e o grupo de hackers desviou quase 95% de seus ativos em menos de 20 minutos. Das 19 carteiras atribuídas aos hackers de Pyongyang, 17 contêm exatamente 1.000 BTC cada, enquanto as duas restantes possuem 832,5 BTC e 437,7 BTC, respectivamente.

Bitcoins roubados permanecem inativos enquanto o histórico de lavagem de dinheiro da Coreia do Norte levanta questões

Por enquanto, os bitcoins roubados permanecem intocados nessas carteiras, embora sua inatividade atual não ofereça garantia de inatividade permanente. A divisão do saque criou mais saídas para monitorar, mas não apagou suas origens. Investigadores on-chain e empresas de inteligência de blockchain, sem dúvida, examinarão minuciosamente esses endereços de bitcoin, já que os BTC roubados frequentemente permanecem inativos por longos períodos antes de sua eventual movimentação, embora tais atrasos estejam longe de ser universais.

Enquanto isso, as carteiras diretamente atribuídas ao Grupo Lazarus pela Arkham Intelligence contêm atualmente uma quantia relativamente modesta de 23,38 BTC, um abismo em relação aos cerca de 14.000 BTC que controlavam em março de 2025. Isso sugere que a Coreia do Norte demonstrou uma capacidade considerável de dispersar sistematicamente milhares de bitcoins e, por fim, encontrar meios de liquidar os ativos ilícitos. Embora um amplo esforço de recuperação esteja em andamento para ajudar a Binance a recuperar seus ativos roubados, o Bitcoin não oferece nenhum mecanismo para simplesmente congelar os fundos.

As regras inalteráveis do Bitcoin deixam os investigadores em alerta

Os emissores de stablecoins podem imobilizar ativos por meio de restrições incorporadas aos contratos de seus tokens, mas o Bitcoin não possui uma autoridade central equivalente capaz de colocar endereços na lista negra ou reverter transações confirmadas. Consequentemente, os investigadores devem identificar possíveis pontos de intervenção, como corretoras, corretores ou outros intermediários pelos quais os recursos roubados possam eventualmente passar. Alternativamente, obter o controle das chaves privadas correspondentes poderia fornecer um meio de apreender os bitcoins. Nenhuma das duas abordagens, no entanto, constitui uma reversão administrativa de uma transação registrada no blockchain do Bitcoin.

Por enquanto, o livro-razão transparente fornece um rastro probatório detalhado sem conferir controle sobre os próprios ativos. Os investigadores podem rastrear cada movimento dos bitcoins roubados, mas a visibilidade por si só não lhes confere autoridade para transferi-los.