TRM Labs e ZachXBT: ataque hacker à Binance é do Lazarus da Coreia do Norte

Investigadores apontam para Pyongyang

A caçada ao invasor da Binance agora tem um principal suspeito, com a empresa de análise de blockchain TRM Labs atribuindo o ataque à Tradertraitor (parte do ecossistema Lazarus), que ela chamou de unidade de hackers de elite da Coreia do Norte. A empresa chegou a essa conclusão com alto grau de confiança com base em inteligência on-chain e off-chain, avaliando o valor roubado em cerca de US$ 6,36 bilhões no momento em que cada ativo foi subtraído.

O investigador independente ZachXBT chegou a uma conclusão semelhante horas antes e, quando questionado sobre quem estava por trás do desvio, ele respondeu:

“É provável que seja o Grupo Lazarus (RPDC)”

Dito isso, as publicações não confirmam automaticamente a responsabilidade, e nenhum governo apontou formalmente um culpado até o momento.

Ari Redbord, diretor global de políticas da TRM, disse à Al Jazeera que o ataque é sem precedentes e será posteriormente considerado um divisor de águas na história das criptomoedas, acrescentando:

“Quando a Coreia do Norte rouba nessa escala, o dinheiro financia a proliferação de armas e outras atividades desestabilizadoras.”

Um esquema conhecido, mas quatro vezes maior

A equipe da TRM acredita que os padrões de execução e assinatura correspondem ao roubo da Bybit no início do ano passado, que o FBI atribuiu ao mesmo grupo, juntamente com o hack da Kelpdao em abril de 2026. A empresa de análise de blockchain Chainalysis estimou, separadamente, que cerca de US$ 5,912 bilhões foram roubados, quase quatro vezes o valor do caso da Bybit.

A preparação foi metódica: o pesquisador de blockchain 0xQuit descobriu que o relé do invasor foi financiado por três saques do Tornade Cash de 0,1 ETH cada nos dois dias anteriores, com um contrato delegado implantado às 15h59 UTC. Outro analista afirmou que o invasor ensaiou a retirada seis horas antes em três carteiras novas, transferindo quantias de teste de vários tokens.

O ataque ocorreu às 20h24 UTC, quando 167.464 ETH foram transferidos da carteira quente 14 da Binance. O Bitcoin.com News detalhou ontem como funcionou a manobra de delegação da carteira, bem como as conclusões iniciais da própria Binance, que apontaram para o laptop comprometido de um engenheiro de DevOps.

As redes sociais deram um tom irônico a todo o episódio, com um comentarista alegando que o invasor lançou uma moeda meme chamada “LAZARUS” no Pump.fun. O Bitcoin.com News não conseguiu verificar se o criador da moeda está vinculado às carteiras do hacker.

Para onde o dinheiro está indo

Ao contrário da Bybit, onde os fundos roubados passaram rapidamente por pontes, essa lavagem de dinheiro se baseou em grandes transações. A TRM informou que o invasor vendeu cerca de 325 milhões de USDT a formadores de mercado por aproximadamente 122.300 ETH, com um desconto de mais de 10%. Ele também tomou emprestado cerca de 19.760 ETH na Aave contra 60 milhões de USDT.

Os congelamentos recuperaram uma grande parcela e a Binance informou que o valor total congelado atingiu aproximadamente US$ 3 bilhões. Ainda assim, a TRM estima que o invasor detenha mais de 420.000 ETH e 18.270 BTC, cerca de US$ 2,4 bilhões fora do alcance dos emissores, com os bitcoins passando por uma “peel chain” — um método de lavagem que divide os fundos em uma longa sequência de transferências menores.

A Onchain Lens informou que o grupo estava transferindo mais de US$ 1 bilhão em ETH para novas carteiras, provavelmente antes da mistura. A TRM espera que a próxima etapa envolva pontes entre cadeias, serviços de swap e corretores de balcão (OTC).

Um ano recorde para roubos de criptomoedas

O roubo ocorre no que a Defillama chama de o ano com mais ataques na história das criptomoedas, com mais de US$ 8 bilhões roubados até agora em 2026. Em comparação, os cibercriminosos roubaram US$ 2,87 bilhões em quase 150 incidentes em 2025.

O ataque à Binance também ocorreu poucas horas depois que a Polymarket suspendeu as negociações devido a uma vulnerabilidade diferente, mostrando em quantas frentes as equipes de segurança estão lutando ao mesmo tempo.

As consequências podem ser sem precedentes

A TRM informou que está alertando seus parceiros por meio da Beacon Network e instou as corretoras a verificarem os depósitos em relação a endereços marcados como pertencentes aos invasores. Ao mesmo tempo, a Binance prometeu uma análise técnica detalhada assim que sua investigação preliminar for concluída.

A questão principal agora é a rapidez, já que cada hora que os ETH e BTC do invasor permanecem sem serem misturados dá aos investigadores mais tempo para identificar saídas, enquanto o histórico da Coreia do Norte sugere que o grupo tentará sacar os fundos por meio de mesas de negociação OTC antes que o rastro esfrie.