Hackers ligados à Coreia do Norte roubaram mais de US$ 1 bilhão em criptomoedas este ano, de acordo com a Chainalysis. A violação da Bitget de US$ 387,5 milhões levou o total a ultrapassar a marca, enquanto as perdas totais por explorações em DeFi continuam caindo, porque os roubos se consolidaram em uma única operação estatal.
Os Roubos de Criptomoedas da Coreia do Norte Ultrapassaram US$ 1 Bilhão. As Criptomoedas Celebraram.
Principais Pontos
- Hackers ligados à Coreia do Norte roubaram mais de US$ 1 bilhão em criptomoedas em 2026, depois de terem tomado mais de US$ 2 bilhões em 2025, de acordo com a Chainalysis.
- A violação da Bitget em 24 de setembro, de US$ 387,5 milhões e a maior do ano, levou o total acumulado a ultrapassar a marca.
- As perdas totais por explorações em DeFi estão, na verdade, caindo. As "boas notícias" escondem uma consolidação dos roubos em uma única operação industrializada e apoiada pelo Estado.
- O vetor de ataque mudou do código para as pessoas: o hack do Drift Protocol envolveu seis meses de infiltração presencial, não um bug em contrato inteligente.
- A THORChain recusou-se a bloquear os fundos roubados da Bitget, enquanto a NEAR Intents bloqueou US$ 50 milhões, dividindo o DeFi em dois futuros incompatíveis.
Os hackers da Coreia do Norte já roubaram mais de US$ 1 bilhão em criptomoedas este ano, de acordo com a Chainalysis. O número que os levou a ultrapassar essa marca foi os US$ 387,5 milhões drenados da exchange Bitget em 24 de setembro, o maior hack único de 2026. Ainda assim, na mesma semana, uma boa parte do setor estava silenciosamente se elogiando, porque as perdas totais por exploits no DeFi estão em queda.
Ambos os fatos são verdadeiros. Esse é o problema.
O Panorama Maior: O Show de Amadores das Criptomoedas Terminou
A manchete "as perdas por hacks caíram" é real, mas enganosa. No primeiro trimestre de 2026, os protocolos DeFi perderam cerca de US$ 168 milhões devido a exploits, uma queda de aproximadamente 90% em relação aos US$ 1,58 bilhão roubados no primeiro trimestre de 2025, trimestre que incluiu o recorde de US$ 1,4 bilhão do hack da Bybit. Lendo isso de forma ingênua, parece que as criptomoedas finalmente melhoraram sua segurança.
O que realmente aconteceu é menos lisonjeiro. Os ataques de script-kiddies e lobos solitários que antes inflavam as estatísticas anuais, os bugs de protocolos de empréstimo de US$ 150.000, as falhas na lógica de cotação de US$ 80.000, secaram em grande parte. No seu lugar, destaca-se uma única operação financiada pelo Estado que extrai consistentemente nove dígitos de cada vez. O roubo não diminuiu. Ele se consolidou.
A Coreia do Norte trata o roubo de criptomoedas como uma linha de receita estatal. As Nações Unidas estimaram repetidamente que os fundos de criptomoedas roubadas financiam uma fatia significativa dos programas de armas de Pyongyang. Não se trata de uma gangue de criminosos que por acaso aprendeu Solidity. É uma política industrial nacional executada por unidades como Lazarus e TraderTraitor, com um pipeline de recrutamento, um currículo de treinamento e uma cadeia logística de lavagem de dinheiro que envergonharia a maioria das instituições financeiras legítimas.
Pense no que "industrializado" realmente significa aqui. O ataque ao Drift Protocol em abril não foi uma violação; foi uma operação. Os atacantes passaram cerca de seis meses se passando por uma empresa de negociação quantitativa, frequentando conferências, fazendo amizade com contribuidores pessoalmente e até depositando US$ 1 milhão de seu próprio capital em uma vault de projeto para construir confiança. Então, eles abusaram do mecanismo de nonce durável do Solana para assumir os poderes administrativos do Conselho de Segurança. Os contratos inteligentes resistiram perfeitamente. Os humanos não.
Por que a Coreia do Norte está vencendo quando os hacks estão "em baixa"?
A resposta é que a indústria se otimizou contra o inimigo errado. Por uma década, o setor de criptomoedas investiu dinheiro em auditorias de código, recompensas por bugs e verificação formal, e esse trabalho teve sucesso em grande parte. Explorar um contrato inteligente bem auditado hoje é genuinamente difícil. Então, o adversário mudou de alvo.
O CTO da Ledger, Charles Guillemet, traçou a linha explicitamente após o Drift, vinculando seu método ao roubo da Bybit: infiltração de longo prazo dos humanos que detêm as chaves, depois convencê-los a aprovar transações maliciosas. A superfície de ataque mudou para cima na pilha, do código para as pessoas que o operam. A criptomoeda passou dez anos endurecendo seus contratos e esqueceu que a entrada mais fraca ainda é uma pessoa.
A violação da Bitget, em contraste, explorou uma vulnerabilidade de software de terceiros para obter credenciais internas, um risco de fornecedor, e não um bug no protocolo. A Mandiant e a SlowMist ainda estão desvendando exatamente como isso ocorreu. Mas o padrão é consistente: estes são ataques de cadeia de suprimentos e engenharia social direcionados a humanos operacionais, a única camada que nenhum auditor jamais aprova.
Efeitos Ripple: A Contradição do THORChain
A história dentro da história é o que aconteceu com o dinheiro após a Bitget. Em três horas, os atacantes dispersaram US$ 387,5 milhões por quatro redes: 49,7% para Ethereum, 40,8% para o XRP Ledger, 7,6% para Zcash e 1,8% para Tron. Então, eles fizeram o que se tornou a assinatura do Lazarus: eles operaram o XRP através do THORChain, convertendo mais de 90% dele em Bitcoin nativo, sem nunca tocar em uma exchange centralizada que pudesse congelar seus fundos.
A CEO da Bitget, Gracy Chen, pediu publicamente ao THORChain que bloqueasse os endereços sinalizados. "A descentralização é um princípio de design", ela escreveu, "não um escudo para facilitar fundos roubados conhecidos." O THORChain recusou, argumentando que é "sem permissão, como Bitcoin, Ethereum e BNB Chain", e questionando que responsabilidade essas camadas básicas têm por fundos roubados que passam por elas.
A resposta se escreve sozinha. Quando o THORChain foi drenado de US$ 10,7 milhões em maio, a rede foi interrompida em poucas horas e permaneceu offline por cinco semanas. Quando a ThorFi entrou em colapso em janeiro de 2025, seus nós votaram durante a noite para congelar os saques. Como disse o fundador da OKX, Star Xu: uma rede que para quando seu próprio dinheiro está em risco, mas se recusa a parar quando o dinheiro de outra pessoa está em risco, não é "como Bitcoin". Ela está fazendo uma escolha.
Aqui está a bifurcação que importa para todo o ecossistema. O NEAR Intents fez o oposto do THORChain: seu sistema automatizado SHIELD bloqueou cerca de US$ 50 milhões em swaps vinculados à Bitget e até recusou o bônus de 5% oferecido pela Bitget. A Bitget agradeceu. Os puristas da descentralização os atacaram por não serem suficientemente sem permissão. Dois protocolos, duas respostas incompatíveis à mesma pergunta, e todo projeto DeFi agora precisa escolher um lado, quer o diga ou não.
Contexto Histórico: O Manual da Bybit, Refinado
Nada disso é novo; é apenas mais afiado. Em fevereiro de 2025, o Lazarus roubou US$ 1,46 bilhão da Bybit e lavou cerca de US$ 1,2 bilhão através do THORChain, onze dias após o THORChain desativar sua chave de administrador. O ladrão do Coldcard usou-o. O ladrão da Bitget usou-o. O THORChain tornou-se para a lavagem de criptomoedas o que o Tornado Cash era para a lavagem via mixer, exceto que o co-fundador do Tornado Cash foi condenado por operar como transmissor de dinheiro não licenciado, enquanto o THORChain opera abertamente com um token de primeira linha.
A diferença entre então e agora é escala e permanência. Um ano de US$ 1 bilhão costumava ser uma anomalia impulsionada por um único hack catastrófico. Agora, é a linha de base contínua, e o ano ainda não acabou. A Coreia do Norte transformou o roubo em larga escala em uma operação repetível, recorrente trimestralmente, a coisa mais próxima que a criptomoeda tem de uma assinatura de receita hostil.
Lente do Futuro: Para Onde Isso Vai em 1-3 Anos
Três tendências se aceleram a partir daqui.
Primeiro, o ponto de estrangulamento se desloca para o off-ramp. Se a camada do protocolo não censurar, os reguladores pressionarão as exchanges, balcões OTC e bancos que tocam o Bitcoin convertido. O livro-razão do Bitcoin permanece transparente mesmo após a conversão, então a aplicação da lei se concentra onde os fundos saem para moeda fiduciária, exatamente onde os investigadores sempre tiveram mais sucesso.
Em segundo lugar, a divisão NEAR-vs-THORChain torna-se uma linha regulatória. O framework DeFi de 2026 do Grupo de Ação Financeira Internacional (GAFI) já afirma que contratos inteligentes não estão sujeitos às suas regras, mas pessoas identificáveis com "influência suficiente" sobre um protocolo podem estar. A própria paralisação de maio do THORChain prova que ele tem essa influência. Isso já não é uma questão legal, é uma questão de cronograma.
Em terceiro lugar, a narrativa de "hacks em declínio" envelhecerá mal. Um único incidente bem cronometrado ainda pode fazer de 2026 um ano recorde, porque o adversário agora conduz uma operação repetível em vez de uma série de exploits afortunados. O risco de cauda ficou mais grosso mesmo enquanto a média diminuía.
A Perspectiva do Trader: Não é Preço, é Venue e Ativo
Esta não é uma história de preço, é uma história de risco de contraparte. O incidente da Bitget é um experimento natural claro sobre o que congela e o que não congela. Circle e Tether congelaram carteiras marcadas como de atacantes em poucos dias, mas o total chegou a cerca de US$ 318.000, ou 0,08% do saque. Os 88% restantes permaneceram inativos em ETH, XRP e Zcash, nenhum dos quais qualquer emissor centralizado pode congelar. Os atacantes sabem exatamente quais ativos são imunes à censura e alocam de acordo.
A conclusão prática é simples e útil: trate hubs de liquidez cross-chain, moedas de privacidade e custódia em carteiras quentes como variáveis de risco que podem ser comprimidas por regulamentação ou alvo de um ator estatal, não apenas como infraestrutura neutra. Diversifique entre venues. Entenda que a postura de conformidade de um venue, ou sua ausência, é agora um fato material sobre sua exposição, independentemente de você estar lavando dinheiro ou não.
Encerramento
Aqui está a pergunta que o mercado de criptomoedas se recusa a responder. Se um estado sancionado e armado com armas nucleares usa seu protocolo "sem permissão" como sua principal via de lavagem de dinheiro, e seu protocolo pode demonstravelmente interromper transações quando seus próprios fundos estão em risco, quanto tempo antes de "não podemos" deixar de ser uma filosofia de design e começar a ser lido como uma escolha?
A indústria passou uma década argumentando que o código é a lei. A Coreia do Norte acabou de provar que a lei tem uma brecha. E a brecha somos nós.
Perguntas Frequentes
Quanto cripto a Coreia do Norte roubou em 2026? Mais de US$ 1 bilhão, de acordo com a Chainalysis, após cerca de US$ 2 bilhões em 2025. O vazamento de US$ 387,5 milhões da Bitget em setembro foi o único incidente que levou o total de 2026 a ultrapassar a marca.
Por que as perdas totais de hacks estão caindo enquanto os roubos da Coreia do Norte estão aumentando? As perdas por exploits de DeFi caíram cerca de 90% ano a ano no 1º trimestre de 2026 porque os hacks de pequena escala e amadores diminuíram. Os roubos não pararam, consolidaram-se em uma única operação estatal executando ataques menores, mas muito maiores.
Por que a THORChain se recusou a bloquear os fundos da Bitget? Ela argumenta que é sem permissão, como Bitcoin ou Ethereum, e não pode censurar endereços individuais. Os críticos apontam que ela interrompeu sua própria rede dentro de horas após um exploit de US$ 10,7 milhões em maio, e congelou seu produto de empréstimo em janeiro de 2025.
Como o hack do Drift aconteceu sem um bug de código? Os atacantes passaram cerca de seis meses fazendo engenharia social com os colaboradores, passando-se por uma empresa de quant, reunindo-se pessoalmente, depositando US$ 1 milhão e, em seguida, abusaram dos nonces duráveis do Solana para assumir os poderes de administrador do Conselho de Segurança. O código resistiu; as pessoas não.
Qual é a diferença entre NEAR Intents e THORChain aqui? O sistema SHIELD do NEAR Intents bloqueou aproximadamente US$ 50 milhões em swaps vinculados à Bitget e recusou a recompensa de 5%. O THORChain recusou-se a agir de forma alguma. As duas respostas representam dois futuros mutuamente exclusivos para as finanças descentralizadas.