727 FinanceDo roubo de US$ 6,3 bilhões da Binance a grandes assaltos na indústria de criptomoedas, como Bybit e Ronin, o grupo hacker norte-coreano TraderTraitor veio gradualmente à tona. Como essa rede de hackers, designada pelo governo dos EUA, tem usado recrutamento falso, ataques à cadeia de suprimentos e sequestro de assinaturas para desviar quase US$ 10 bilhões em ativos cripto?
Autor: BlockBeats
Em 1º de novembro, o Federal Bureau of Investigation dos Estados Unidos emitiu um comunicado atribuindo à Coreia do Norte os US$ 6,3 bilhões roubados da Binance em 29 de outubro. O comunicado usou um termo: TraderTraitor.
Se você pesquisar esse nome, descobrirá que os US$ 1,5 bilhão da Bybit, os US$ 300 milhões da Bitget e vários grandes casos de criptomoedas de anos anteriores estão todos ligados a esse nome.
TraderTraitor não é uma empresa, nem um quadro em um organograma. É um codinome que o governo dos Estados Unidos deu a uma categoria de comportamento.
Em abril de 2022, o FBI, a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) e o Departamento do Tesouro dos Estados Unidos emitiram conjuntamente um comunicado numerado AA22-108A. Foi a primeira aparição formal do termo. Na época, referia-se a vários trojans disfarçados de softwares de negociação de criptomoedas, como DAFOM, TokenAIS e CryptAIS, cujas interfaces pareciam convincentes e que começavam a roubar chaves privadas assim que instalados.
As pessoas por trás disso há muito são chamadas no setor de Lazarus Group, APT38, BlueNoroff e Stardust Chollima. Não são quatro equipes separadas. Lazarus é o nome guarda-chuva; APT38 (Mandiant), BlueNoroff (Kaspersky) e Stardust Chollima (CrowdStrike) são três nomes dados por diferentes empresas de segurança à mesma linha de arrecadação de dinheiro.
Dois anos depois, o rótulo foi associado a condutas específicas. Em 23 de dezembro de 2024, o FBI, o Centro de Crimes Cibernéticos do Departamento de Defesa dos Estados Unidos e a Agência Nacional de Polícia do Japão divulgaram conjuntamente uma atribuição para o caso de roubo de US$ 300 milhões da DMM, usando pela primeira vez a expressão "atores cibernéticos norte-coreanos rastreados como TraderTraitor" e listando seus três aliases: Jade Sleet (nome da Microsoft), UNC4899 (nome do Google) e Slow Pisces (nome da Palo Alto).
As informações agora estão relativamente claras: TraderTraitor é a unidade dentro do grupo maior Lazarus que se especializa em criptoativos e atualmente é a mais lucrativa. Pelo menos desde 2020, ela se concentra exclusivamente na blockchain — plataformas de negociação, DeFi, provedores de serviços de carteira, fundos de criptomoedas e indivíduos que detêm grandes quantidades de moedas.
De roubar bancos a roubar plataformas de negociação
Lazarus é um nome guarda-chuva que abrange tudo, desde apagar os discos rígidos da Sony Pictures em 2014 até desviar dinheiro do Bangladesh Bank em 2016.
Tomemos o caso do Bangladesh Bank. A unidade que o executou era então chamada APT38, também conhecida como BlueNoroff. Em fevereiro de 2016, eles forjaram instruções SWIFT (o sistema internacional de mensagens usado para transferências interbancárias) e tentaram transferir US$ 1 bilhão da conta do Bangladesh Bank no Fed de Nova York. Acabaram conseguindo US$ 81 milhões, porque um erro de ortografia em uma transferência fez um banco intermediário interrompê-la.
A técnica de estudar os procedimentos operacionais dos bancos, encontrar brechas na revisão manual e forjar instruções foi posteriormente transplantada sem alterações para plataformas de negociação de criptomoedas.Por volta de 2020. Eles começaram a aprimorar seus métodos, tendo o mundo cripto como alvo. O motivo é fácil de deduzir: há dinheiro e não há regulamentação, e a liquidez é razoável.
Há várias formas de ataque.
A primeira é o recrutamento falso. Um headhunter entra em contato com você no LinkedIn, tem uma conversa agradável e, por fim, envia um "teste de programação pré-contratação" ou um instalador de uma "ferramenta interna". Uma vez instalado, a máquina pertence a eles. Os US$ 620 milhões da Ronin foram perdidos dessa forma.
A segunda é a cadeia de suprimentos. Em vez de enganar pessoas, eles passam a contaminar as cadeias de ferramentas dos desenvolvedores: repositórios maliciosos no GitHub, pacotes envenenados no npm, provedores de serviços de identidade como a JumpCloud. Uma pessoa é comprometida, e uma série de empresas downstream também é comprometida.
A terceira é alterar diretamente as transações. No caso da japonesa DMM, eles roubaram as credenciais de login do outro lado, infiltraram-se nas comunicações internas da empresa de carteiras Ginco e então alteraram uma transferência que deveria ter sido normal. No caso da Bybit, eles invadiram o computador de um desenvolvedor da Safe{Wallet} e inseriram um script no front end web; os signatários ainda viam uma página normal, mas o que assinavam era outra transação.
Isso também inclui o caso da Binance desta vez.
Os atacantes se prepararam com 36 horas de antecedência, assinaram 50 autorizações EIP-7702 — um novo recurso do Ethereum que permite a uma carteira "alugar" temporariamente um programa para uso — e então fizeram a hot wallet da Binance transferir o dinheiro por conta própria; 40 minutos, em 10 redes. A conclusão de uma empresa de segurança é que eles muito provavelmente já haviam alcançado o sistema de assinatura da Binance.
O valor envolvido nos casos desta organização
Os doze casos mais famosos: US$ 9,7 bilhões.
Só a Binance responde por US$ 6,3 bilhões. Os onze casos restantes, de 2022 a 2026, somam US$ 3,44 bilhões.
Os US$ 1,5 bilhão da Bybit foram o front end alterado; os US$ 620 milhões da Ronin foram o golpe de recrutamento; os US$ 388 milhões da Bitget foram instruções de saque forjadas escritas no sistema da carteira.
DMM US$ 308 milhões, WazirX US$ 235 milhões, Harmony e Atomic US$ 100 milhões cada, Alphapo US$ 60 milhões, CoinEx US$ 55 milhões, Stake US$ 41 milhões, CoinsPaid US$ 37 milhões.
No gráfico, apenas os casos da Binance, Bybit e DMM foram diretamente nomeados pelo governo dos EUA como TraderTraitor. Ronin, Harmony, Stake, Alphapo, CoinsPaid e Atomic foram atribuídos pelo FBI ao Lazarus/APT38; WazirX foi nomeado em uma declaração conjunta dos Estados Unidos, Japão e Coreia do Sul em janeiro de 2025; CoinEx foi apenas inferido por empresas de análise on-chain. O caso da Bitget é suspeito por várias empresas de estar relacionado ao TraderTraitor, mas nenhuma o atribuiu formalmente.
Segundo estatísticas da TRM, a Coreia do Norte realizou 100 casos desde 2017, totalizando cerca de US$ 12,8 bilhões; US$ 7,4 bilhões até agora este ano; 85% do total global de roubos de criptoativos em 2026 é atribuído à Coreia do Norte. Esta tabela cobre apenas doze deles.As pessoas cujos rostos podem ser correspondidos
Há mais de um hacker norte-coreano nomeado por autoridades dos EUA para quem fotos também foram divulgadas. Park Jin Hyok, Jon Chang Hyok e Kim Il estavam todos na acusação de fevereiro de 2021; em 2024, Rim Jong Hyok foi adicionado, com uma recompensa de US$ 10 milhões.
Park Jin Hyok (Park Jin Hyok), procurado pelo FBI
Park Jin Hyok foi um dos primeiros a ser indiciado: em junho de 2018, o Departamento de Justiça dos EUA apresentou acusações criminais contra ele, e a acusação foi tornada pública em setembro do mesmo ano. A acusação dizia que a conspiração da qual ele participou incluía o ataque à Sony Pictures em 2014, o ataque WannaCry em 2017 e os US$ 81 milhões transferidos do Bangladesh Bank em 2016. Ele permanece foragido e nunca compareceu ao tribunal.
Rastreamento do roubo da Binance
A Binance cobriu cerca de 90% com fundos da empresa, o fundo SAFU e o fundo de seguro de futuros; os 10% restantes são tokens ilíquidos; toda a perda é suportada pela empresa, não pelos usuários.
Até 1º de novembro, cerca de US$ 2,7 bilhões, ou cerca de 42%, haviam sido congelados por emissores de stablecoins e pelo Conselho de Segurança da Arbitrum. Os atacantes ainda detêm 420.000 ETH e 18.270 BTC, cerca de US$ 2,4 bilhões.
A rota de lavagem de dinheiro ainda é a prática padrão: pontes cross-chain para trocar de rede, serviços como THORChain para trocar moedas, mixers para misturar e dispersar as moedas de muitas pessoas juntas, e finalmente negociação de balcão.
Houve alguns contratempos desta vez. A THORChain recentemente atrasou acidentalmente a lavagem dos fundos roubados no ataque à Binance devido a uma reorganização da cadeia Ethereum. Essa reorganização da cadeia fez com que a THORChain emitisse erroneamente reembolsos duplicados a um usuário que depositou 10 ETH, o que, por sua vez, acionou uma pausa emergencial do protocolo, impedindo temporariamente todos os usuários de realizar swaps cross-chain, incluindo os lavadores de dinheiro do grupo de hackers norte-coreano.
Da última vez, os fundos roubados da Bitget passaram pela THORChain, e a THORChain não os congelou de forma alguma, dizendo que descentralização significa que eles não podem congelar — mas não foi isso que disseram quando eles próprios foram hackeados da última vez. Quando a THORChain retomar o serviço, se os fundos roubados do roubo da Binance desta vez ainda passarem pela THORChain, não se sabe qual desculpa eles terão para enrolar as pessoas.