BitOK: Roubo de criptomoedas ligado à Coreia do Norte chegou a US$ 7,61 bilhões em 2026

Uma mudança relatada: de exploração de código para comprometimento de sistemas de assinatura

A empresa de inteligência em blockchain BitOK estima que hackers norte-coreanos roubaram US$ 7,61 bilhões em criptomoedas em 38 incidentes entre janeiro e outubro de 2026. O relatório identifica seis grandes ataques e afirma que eles se basearam na tomada de controle das pessoas ou dos sistemas que autorizam saques, em vez da exploração de código. Essa distinção é importante para as análises de segurança: o caminho do ataque relatado começou fora da lógica dos contratos inteligentes, que as auditorias padrão de código são projetadas para examinar.

A BitOK afirma que US$ 2,86 bilhões foram congelados ou apreendidos, deixando US$ 4,75 bilhões fora de alcance. A Binance responde por US$ 6,41 bilhões do total relatado, enquanto 32 roubos menores contra pessoas físicas e empresas somam US$ 178,4 milhões. Esses números descrevem um conjunto de perdas altamente concentrado, no qual uma única corretora representa a maior parte do valor relatado. Também mostram que a recuperação por meio de intervenções não acompanhou o volume roubado.

Os números abrangem um período definido, de janeiro a outubro de 2026, e são estimativas atribuídas à BitOK. A principal conclusão do relatório não é que a segurança do código tenha se tornado irrelevante, mas que as verificações do código, por si só, não impediram os seis maiores incidentes. Em todos eles, os saques tinham assinaturas válidas ou passaram pelos controles habituais. A fonte não especifica como a BitOK calculou sua estimativa total, portanto os valores divulgados devem ser entendidos como a avaliação da empresa.

Como os atacantes obtiveram autorização

No caso da Binance, a BitOK aponta o laptop de um engenheiro de DevOps e um contêiner do serviço de assinatura como pontos de entrada dos atacantes. Essa versão é compatível com as conclusões anteriores citadas na fonte sobre o incidente de outubro. Assim, o relatório situa a invasão nas ferramentas e nos acessos usados para autorizar saques, e não em uma falha identificada no próprio código de saque. A fonte não detalha a sequência completa pela qual o laptop ou o contêiner foi comprometido.

Outros casos importantes envolveram sistemas diferentes: signatários de multisig na Drift, uma plataforma de negociação baseada em Solana; um único verificador de bridge na KelpDAO; e o sistema de carteira da Bitget. Esses exemplos abrangem infraestrutura de negociação, bridges e exchanges, mas, segundo a BitOK, tiveram um resultado em comum: foi obtida uma autorização válida ou as verificações normais foram satisfeitas. A preocupação prática de segurança levantada pelo relatório é que proteger o código de cada aplicação pode não ser suficiente se o processo de assinatura puder ser tomado por atacantes.

Segundo a BitOK, antes de cada roubo, os operadores testaram a rota exata com pequenas quantias. No caso da Binance, o contrato do ataque já estava ativo publicamente quatro horas antes do roubo. Esse detalhe sugere que a operação incluiu uma fase de testes, visível na blockchain antes da grande transferência. Isso não permite determinar quais mecanismos de monitoramento estavam em vigor nem se o teste poderia ter sido reconhecido na ocasião, mas mostra por que pequenas transações preliminares podem ser relevantes para uma investigação.

A corrida para movimentar fundos e os limites dos congelamentos

A amostra de 540 transações da BitOK também revela um cronograma que se parecia mais com uma jornada de trabalho do que com atividade contínua: 48% ocorreram entre 16h e 21h, horário de Pyongyang, e o relatório não registrou atividade em feriados públicos da Coreia do Norte. Sábado, domingo e segunda-feira, juntos, corresponderam a apenas 10% das transações. Esses padrões podem ajudar a descrever o comportamento dos operadores, embora a fonte não afirme que o horário, por si só, possa identificar quem iniciou uma transferência específica.

Depois que um ataque começava, o padrão mudava. O relatório afirma que os scripts assumiam o controle e as movimentações de fundos continuavam ininterruptamente. Esse contraste entre um horário de operação relativamente regular e movimentações automatizadas e contínuas após um incidente é relevante para os investigadores que rastreiam transações. Isso também significa que um comprometimento inicial pode rapidamente dar lugar a atividades que não seguem o mesmo padrão aparente de horário comercial. A BitOK não identifica as ferramentas de automação específicas utilizadas.

A velocidade é fundamental para determinar se os fundos podem ser congelados, afirma a BitOK. Poucos minutos após o roubo, os operadores trocaram stablecoins por ETH ou tomaram ETH emprestado usando como garantia os ativos roubados; o relatório observa que o ETH não pode ser congelado por um emissor. Após a exploração da ponte rsETH em abril, 52.440 ETH saíram de protocolos de empréstimo em pouco mais de oito minutos. Isso deixa uma janela estreita para intervenções envolvendo ativos que ainda tenham um emissor capaz de congelá-los.

Um pequeno rastro de transações conecta ataques distintos

O processo de lavagem poderia então ser interrompido antes que os fundos voltassem a ser movimentados. Após o incidente com a rsETH, os ativos teriam ficado parados por 2,5 a 5 dias, antes de scripts encaminhá-los pela THORChain, um protocolo de troca entre blockchains. A BitOK também contabilizou 2.257 trocas vinculadas à Binance, no valor de US$ 55,8 milhões, com custos totais de 0,50%. Os números indicam que, nesta amostra, movimentar fundos por meio de trocas foi relativamente barato; eles não estabelecem o custo da lavagem em todos os ataques.

A diferença nas taxas de recuperação ilustra os limites dos congelamentos. Segundo a BitOK, 43% dos fundos roubados da Binance foram congelados ou apreendidos, em comparação com 6% do total dos demais grandes ataques. Mesmo no caso da Binance, o momento foi determinante: a Tether recebeu seu primeiro pedido de congelamento 34 minutos após o saque, quando 345 milhões de USDT já haviam saído do endereço original. O relatório afirma que os congelamentos só funcionaram para stablecoins que ainda não tinham sido movimentadas.

Um erro na limpeza revelou outra pista investigativa. Depois de encaminhar 5.047 ETH pela Umbra e pela bridge Stargate, um operador transferiu os valores residuais para uma única carteira; em 31 de agosto, 150 endereços transferiram todos os fundos para ela em três minutos e 36 segundos. A carteira coletora recebeu apenas 0,27 ETH, mas endereços de liquidação compartilhados ligam cinco ataques, do KelpDAO, em abril, à Binance, em outubro. A BitOK identifica um único operador de lavagem de dinheiro, embora admita que equipes diferentes possam ter realizado os ataques.

Fonte: BeInCrypto