O Grupo Lazarus, ligado à Coreia do Norte, transferiu 244.148 Bitcoins no valor de cerca de 19,42 milhões de dólares, chamando atenção novamente para carteiras associadas a uma das operações de hacking mais ativas da indústria de criptomoedas.
Resumo
- O Grupo Lazarus transferiu 244.148 BTC no valor de cerca de 19,42 milhões de dólares, de acordo com a Lookonchain.
- O destino da transação e a conexão com qualquer roubo anterior não foram divulgados.
- Outra carteira ligada ao Lazarus moveu 262,2 BTC para um novo endereço no início de agosto.
- As sanções dos EUA geralmente proíbem americanos de lidar com propriedades ligadas ao Grupo Lazarus.
Grupo Lazarus move 244 BTC entre carteiras
A Lookonchain relatou a transferência em uma publicação no X em 28 de agosto, dizendo que carteiras atribuídas ao Grupo Lazarus se tornaram ativas novamente e moveram 244.148 BTC cerca de uma hora antes do alerta.
O Bitcoin era negociado a aproximadamente 79.500 dólares quando a conta de análise publicou sua estimativa, colocando o valor da transação em 19,42 milhões de dólares. A Lookonchain não identificou o endereço de recebimento no texto da publicação nem disse se o Bitcoin foi movido para uma exchange, mixer ou outra carteira controlada pelo grupo.
Sem um destino divulgado, a transação por si só não mostra que a Lazarus vendeu ou tentou sacar o Bitcoin. Os registros públicos do blockchain confirmam quando fundos se movem entre endereços, mas conectar esses endereços a uma organização geralmente depende de rótulos e análises fornecidos por investigadores ou empresas de inteligência de blockchain.
A transação de 28 de agosto ocorreu após outro grande movimento de Bitcoin atribuído ao grupo no início do mês. Em 12 de agosto, a Lookonchain disse que a Lazarus transferiu 262,2 BTC, então avaliados em aproximadamente 16,64 milhões de dólares, de uma carteira identificada para um endereço recém-criado.
Na época, a conta de análise descreveu a transação como uma transferência de carteira para carteira, em vez de uma venda. Considerando os valores em dólares relatados, os dois movimentos de agosto envolveram mais de 36 milhões de dólares em Bitcoin, embora nenhuma fonte tenha confirmado que as transações vieram do mesmo saldo ou serviram ao mesmo propósito.
A atividade anterior da carteira mostra por que o destino é importante. Em março de 2025, cinco endereços desconhecidos receberam um total de 44,07 BTC no valor de cerca de 3,76 milhões de dólares de carteiras atribuídas à Lazarus, de acordo com relatórios anteriores de on-chain. As transações reduziram as participações da carteira rastreada para 13.441 BTC na época.
Roubo da Bybit deixou Bitcoin em milhares de endereços
Como o crypto.news relatou anteriormente, a Bybit processou a Coreia do Norte e o Grupo Lazarus em um tribunal federal de Washington, D.C., em 7 de agosto, buscando recuperar ativos ligados ao roubo de 1,5 bilhão de dólares da exchange.
O processo também nomeou o Escritório Geral de Reconhecimento da Coreia do Norte, ou RGB, que o Tesouro dos EUA identifica como a principal agência de inteligência do país. Um juiz federal emitiu uma liminar preliminar que bloqueou réus não identificados de transferir, vender ou dispor de certos ativos conectados ao caso.
A Bybit entrou com a ação civil separadamente das investigações criminais em andamento nos EUA. Uma liminar preliminar preserva a propriedade identificada enquanto o litígio continua e não equivale a uma decisão final sobre propriedade ou responsabilidade.
O FBI atribuiu o ataque à Bybit em fevereiro de 2025 a atores norte-coreanos operando sob o nome TraderTraitor. De acordo com a agência, os atacantes converteram parte dos ativos roubados em Bitcoin e outros ativos antes de espalhá-los por milhares de endereços em várias blockchains.
Em seu alerta público, o FBI disse que esperava que os ativos fossem movidos novamente e eventualmente trocados por moeda emitida pelo governo. O bureau pediu a exchanges, pontes, serviços de finanças descentralizadas, empresas de análise de blockchain e operadores de nós que bloqueassem transações envolvendo os endereços que identificou.
Em abril de 2025, o CEO da Bybit, Ben Zhou, disse que 27,6% dos fundos roubados não podiam mais ser rastreados, de acordo com um relatório de agosto sobre os métodos de ataque da Coreia do Norte. O mesmo relatório disse que a distribuição de ativos em muitas carteiras Bitcoin tornou o rastreamento de blockchain mais difícil.
A Lookonchain não conectou diretamente a transferência de 244.148 BTC à recente ao roubo da Bybit. Nenhuma agência governamental ou empresa de inteligência de blockchain citada nos relatórios disponíveis identificou publicamente a origem das moedas envolvidas no movimento de 28 de agosto.
Ataques ligados à Lazarus continuaram em 2026
A Chainalysis estimou que hackers norte-coreanos roubaram pelo menos US$ 2,02 bilhões em criptomoedas durante 2025, um aumento de 51% em relação ao ano anterior. A empresa situou o roubo cumulativo de criptomoedas do país em não menos que US$ 6,75 bilhões até o final desse período.
De acordo com seu relatório de dezembro de 2025, as operações norte-coreanas foram responsáveis por 76% do valor perdido em ataques a serviços de criptomoedas durante o ano. A Chainalysis disse que os atacantes realizaram menos incidentes confirmados, mas extraíram quantias maiores de violações bem-sucedidas.
A empresa também descobriu que operadores norte-coreanos cada vez mais visavam empresas por meio de personificação e acesso de funcionários. Alguns atores se passaram por candidatos a emprego para entrar em negócios de criptomoedas, enquanto outros fingiram recrutar para empresas conhecidas de Web3 e inteligência artificial, de acordo com a Chainalysis.
Atividade atribuída à Lazarus continuou em abril de 2026, quando atacantes drenaram aproximadamente 116.500 rsETH, no valor de cerca de US$ 292 milhões, da ponte baseada em LayerZero da KelpDAO. A LayerZero atribuiu o ataque com confiança preliminar à unidade TraderTraitor do Grupo Lazarus.
A Chainalysis disse posteriormente que os atacantes comprometeram a infraestrutura que fornecia informações de blockchain ao sistema de verificação da LayerZero. Ao alimentar o sistema com dados falsos, eles fizeram um contrato Ethereum liberar ativos mesmo sem que uma queima de token correspondente tivesse ocorrido na rede de origem.
Intervenção rápida bloqueou uma segunda tentativa de roubo no valor de cerca de US$ 95 milhões, de acordo com a Chainalysis. O Conselho de Segurança da Arbitrum também congelou mais de 30.000 ETH que investigadores conectaram às transações posteriores do atacante.
Em junho, o atacante da KelpDAO havia movimentado aproximadamente US$ 220 milhões em ativos não congelados por meio de serviços de privacidade, de acordo com dados de rastreamento subsequentes. As rotas incluíam THORChain, Wasabi, Tornado Cash e Umbra, enquanto cerca de US$ 1,7 milhão permanecia nas carteiras originais.
Sanções dos EUA restringem negociações com o Grupo Lazarus
O Escritório de Controle de Ativos Estrangeiros do Tesouro dos EUA sancionou o Grupo Lazarus em setembro de 2019 sob uma ordem executiva que visa o governo norte-coreano. O OFAC identificou Lazarus, Bluenoroff e Andariel como grupos de hackers controlados pelo estado conectados ao RGB.
Sob a designação, propriedade pertencente à Lazarus que entra nos Estados Unidos ou que esteja sob posse ou controle de uma pessoa dos EUA deve ser bloqueada e relatada ao OFAC. Regulamentos do Tesouro também geralmente proíbem americanos de realizar transações com entidades sancionadas, a menos que a agência as autorize.
O Tesouro disse que a Lazarus tinha como alvo governos, instituições financeiras, empresas de mídia, fabricantes, operadores de infraestrutura e negócios de criptomoedas por meio de roubo cibernético, espionagem e ataques de malware. O departamento vinculou o grupo à violação da Sony Pictures em 2014 e ao ataque de ransomware WannaCry que afetou computadores em pelo menos 150 países.
Autoridades dos EUA também agiram contra serviços usados para processar fundos ligados ao grupo. Em 2022, o Tesouro sancionou o misturador de moedas virtuais Blender.io depois de dizer que ele havia processado mais de US$ 20,5 milhões do roubo de aproximadamente US$ 620 milhões da Ronin Network. O FBI posteriormente atribuiu o ataque Ronin ao Grupo Lazarus e ao APT38.
Em agosto de 2023, o FBI separadamente alertou empresas de criptomoedas sobre movimentações envolvendo Bitcoin roubado por atores norte-coreanos do TraderTraitor. A agência disse que o grupo poderia tentar sacar mais de US$ 40 milhões em Bitcoin e publicou seis endereços de carteira para empresas privadas examinarem.
