Coreia do Norte se torna o 3º maior detentor governamental de Bitcoin após hack na Bybit

A Coreia do Norte acabou de subir para o terceiro lugar entre governos que detêm Bitcoin após um roubo de criptomoedas de US$ 1,4 bilhão. Em 21 de fevereiro, hackers do Grupo Lazarus, uma organização de cibercrime apoiada por Pyongyang, infiltraram-se na Bybit, uma das maiores exchanges de criptomoedas do mundo, roubando principalmente Ethereum.

Pouco depois, o grupo converteu uma grande parte dos fundos roubados em Bitcoin, impulsionando o estoque total da Coreia do Norte para 13.562 BTC, valendo US$ 1,14 bilhão.

Os Estados Unidos, que recentemente lançaram sua Reserva Estratégica de Bitcoin (SBR), continuam sendo o maior detentor governamental de Bitcoin com 198.109 BTC, avaliados em US$ 16,71 bilhões. O Reino Unido segue com 61.245 BTC valendo US$ 5,17 bilhões. A nova posição da Coreia do Norte a coloca à frente do Butão, que detém 10.635 BTC (US$ 897,6 milhões), e El Salvador, que tem 6.117 BTC (US$ 516,11 milhões).

O salto repentino nas holdings ocorreu poucos dias antes do presidente Donald Trump assinar uma ordem executiva em 6 de março, estabelecendo oficialmente a SBR, alimentando especulações sobre as motivações da Coreia do Norte na corrida global de criptomoedas.

Grupo Lazarus desfaz fundos roubados apesar da repressão global

A fortuna em Bitcoin da Coreia do Norte não está apenas parada em uma carteira. Empresas de rastreamento de blockchain relatam que US$ 300 milhões do hack na Bybit já foram sacados, apesar dos esforços globais para congelar os fundos.

“Cada minuto é importante para os hackers que estão tentando confundir o rastro do dinheiro, e eles são extremamente sofisticados no que estão fazendo”, disse Tom Robinson, co-fundador da Elliptic, uma empresa que rastreia fluxos de criptomoedas ilícitos. Os ativos roubados estão sendo movidos por um processo complexo de lavagem, com especialistas alertando que o dinheiro está financiando os programas nucleares e militares da Coreia do Norte.

O Grupo Lazarus também expandiu suas operações cibernéticas. Nos últimos meses, pesquisadores descobriram que os hackers haviam comprometido o npm, um gerenciador de pacotes popular para desenvolvedores JavaScript.

Usando técnicas de typosquatting, o Lazarus inseriu versões maliciosas de pacotes de software amplamente utilizados, enganando desenvolvedores para que baixassem código infectado por malware. Os pacotes corrompidos, incluindo is-buffer-validator, yoojae-validator, event-handle-package, array-empty-validator, react-event-dependency e auth-validator, injetaram o malware BeaverTail na execução.

O BeaverTail extrai credenciais de login, escaneia arquivos do navegador em busca de senhas salvas e drena carteiras de criptomoedas como Solana e Exodus. “Este malware é uma ameaça direta aos desenvolvedores que trabalham em aplicações financeiras e de blockchain”, disse Kirill Boychenko, analista de inteligência de ameaças na Socket Security. O malware transmite secretamente os dados roubados para servidores controlados pelo Lazarus, uma tática que o grupo de hackers usa há anos para permanecer indetectável.

OKX é alvo de escrutínio por lavagem de fundos do Lazarus, enquanto Bybit congela ativos

Reguladores em toda a Europa estão investigando a OKX, uma das maiores plataformas de negociação de criptomoedas, devido a alegações de que ela foi usada para lavar US$ 100 milhões vinculados ao hack da Bybit. Em 6 de março, funcionários de todos os 27 estados-membros da União Europeia se reuniram sob a Autoridade Europeia dos Valores Mobiliários e dos Mercados (ESMA) para discutir se a plataforma Web3 da OKX se enquadra no quadro de Ativos de Criptoativos nos Mercados (MiCA).

As autoridades afirmam que os hackers do Lazarus usaram a carteira de autocustódia e o serviço de negociação descentralizada da OKX para processar os fundos roubados e, se considerados culpados, a OKX pode enfrentar penalidades massivas.

Enquanto isso, a Bybit e outras exchanges estão congelando ativamente os fundos hackeados, mas nem todas as plataformas estão cooperando. Uma exchange, a eXch, supostamente permitiu que o Lazarus sacasse mais de US$ 90 milhões antes de tomar medidas. Executivos da Bybit acusaram Johann Roberts, proprietário da eXch, de atrasar deliberadamente o congelamento dos ativos.

Roberts nega qualquer irregularidade. “Inicialmente, não congelamos os fundos porque estávamos em uma disputa de longa data com a Bybit e não tínhamos certeza de que os fundos eram provenientes do hack”, disse ele em uma declaração por e-mail. Mais tarde, ele confirmou que a eXch está cooperando, mas criticou as medidas regulatórias rigorosas, argumentando que elas ameaçam a privacidade e o anonimato nas criptomoedas.

Os Estados Unidos e seus aliados continuam a culpar a Coreia do Norte por dezenas de hacks de criptomoedas na última década, apontando para a dependência de Pyongyang de criptomoedas roubadas para contornar sanções econômicas. O Grupo Lazarus inicialmente focou em hackear bancos, mas nos últimos cinco anos, mudou seu foco inteiramente para exchanges de criptomoedas, mirando plataformas centralizadas, protocolos DeFi e desenvolvedores de blockchain.