Resumo executivo
Relatórios baseados em análise da Chainalysis, reproduzidos por veículos de segurança, atribuem a grupos norte‑coreanos o furto de US$2,02 bilhões em criptomoedas ao longo de 2025 — um incremento de cerca de 51% em relação a 2024. As operações concentraram grandes golpes (ex.: ataque a Bybit em fevereiro de 2025) e mudanças operacionais para maximizar valores subtraídos por incidente.
Escopo e magnitude
Segundo a publicação, o total de US$2,02 bilhões representa a maior quantia anual atribuída a operadores ligados à Coreia do Norte desde 2016, elevando o total acumulado a cerca de US$6,75 bilhões. A indústria de criptomoedas registrou mais de US$3,4 bilhões em roubos em 2025, dos quais as operações norte‑coreanas representaram aproximadamente 76% das comprometimentos de serviços.
Táticas e padrões observados
A Chainalysis identifica duas estratégias principais utilizadas pelos atacantes:
- Inserção de agentes internos: atores tentam colocar ou explorar funcionários internos em exchanges, custodians e empresas web3 para obter acesso confiável a sistemas críticos.
- Esquemas de recrutamento falso: além de candidatar‑se a vagas, os atacantes passaram a se passar por recrutadores e representantes de grandes empresas de web3 e IA. Em entrevistas e processos de seleção forjados, extraem credenciais, código‑fonte e acesso VPN dos candidatos e das vítimas.
Em níveis mais altos, os grupos também se apresentam como investidores estratégicos ou compradores em potencial para colher informações sensíveis em reuniões de pitch e due diligence falsa.
Episódios de destaque
O relatório destaca que o ataque a Bybit em fevereiro de 2025 foi responsável por cerca de US$1,5 bilhão do total anual — um dos maiores roubos únicos na história do setor. Os dados mostram uma mudança de modus operandi: em vez de multiplicidade de ataques menores, há menos incidentes, porém de maior impacto financeiro.
Padrões de lavagem e janela temporal
Chainalysis observa um ciclo de lavagem com três fases distribuídas em ~45 dias:
- Primeiros 5 dias — movimentação rápida via protocolos DeFi (aumento de ~370% na atividade) e mixers (saltos na ordem de 135%).
- Dias 6–10 — transição via exchanges com verificações limitadas e uso de pontes cross‑chain; centralizadas recebem mais fundos nesta fase.
- Dias 20–45 — conversão para moeda fiat, com preferência por exchanges sem KYC e serviços de garantia em língua chinesa (aumento expressivo na atividade nessas rotas).
Os atacantes costumam fragmentar saques, mantendo ~60% das transferências abaixo de US$500 mil para reduzir detecção, enquanto outros grupos preferem transferências muito maiores.
Implicações e oportunidades de detecção
Chainalysis aponta padrões repetitivos que podem ser monitorados por equipes de investigação: janelas temporais de movimentação, preferência por serviços de mistura e por gateways regionais/linguísticos específicos, e o uso de fragmentação de transações para tentar evitar gatilhos de monitoramento. Esses sinais permitem ações proativas em exchanges e serviços financieros para mitigar cash‑out.
O que o setor sabe e limites da fonte
A matéria reproduz achados da Chainalysis e inclui números agregados; a análise identifica rotas de lavagem preferidas e técnicas operacionais observadas em 2025. Dados detalhados de transações e listas de endereços associados não foram integralmente reproduzidos no resumo editorial — equipes de response devem consultar o relatório técnico da Chainalysis para IoCs e fluxos transacionais específicos.
Relevância para CISOs e equipes antifraude
Para provedores de exchange, custodians e equipes de segurança web3, os pontos críticos são: reforçar controles de recrutamento e verificação de identidade para processos de contratação (mitigando ataques de engenharia social direcionados), ampliar monitoramento de saques fracionados e padrões de ponte cross‑chain, e cooperar com ferramentas de análise on‑chain para bloquear rotas conhecidas de lavagem e serviços de mistura identificados.