O Grupo Lazarus, ligado à Coreia do Norte, transferiu 244,148 Bitcoin no valor de cerca de US$ 19,42 milhões, chamando novamente a atenção para carteiras associadas a uma das operações de hacking mais ativas da indústria cripto.
A Lookonchain relatou a transferência em uma publicação no X de 28 de agosto, afirmando que carteiras atribuídas ao Grupo Lazarus haviam se tornado ativas novamente e movido 244,148 BTC cerca de uma hora antes de seu alerta.
O Bitcoin era negociado a aproximadamente US$ 79.500 quando a conta de análise publicou sua estimativa, avaliando a transação em US$ 19,42 milhões. A Lookonchain não identificou o endereço de recebimento no texto da publicação nem informou se o Bitcoin foi movido para uma exchange, um mixer ou outra carteira controlada pelo grupo.
Sem um destino divulgado, a transação por si só não mostra que o Lazarus vendeu ou tentou sacar o Bitcoin. Registros públicos de blockchain confirmam quando fundos se movem entre endereços, mas conectar esses endereços a uma organização geralmente depende de rótulos e análises fornecidas por investigadores ou empresas de inteligência de blockchain.
A transação de 28 de agosto seguiu outro grande movimento de Bitcoin atribuído ao grupo no início do mês. Em 12 de agosto, a Lookonchain disse que o Lazarus transferiu 262,2 BTC, então avaliados em aproximadamente US$ 16,64 milhões, de uma carteira identificada para um endereço recém-criado.
Na ocasião, a conta de análise descreveu a transação como uma transferência de carteira para carteira, em vez de uma venda. Considerando seus valores em dólares reportados, os dois movimentos de agosto envolveram mais de US$ 36 milhões em Bitcoin, embora nenhuma fonte tenha confirmado que as transações vieram do mesmo saldo ou serviram ao mesmo propósito.
A atividade passada das carteiras mostra por que o destino importa. Em março de 2025, cinco endereços desconhecidos receberam um total combinado de 44,07 BTC, avaliados em cerca de US$ 3,76 milhões, de carteiras atribuídas ao Lazarus, de acordo com relatórios on-chain anteriores. As transações reduziram as participações da carteira rastreada para 13.441 BTC na época.
Como o crypto.news relatou anteriormente, a Bybit processou a Coreia do Norte e o Grupo Lazarus em um tribunal federal de Washington, D.C., em 7 de agosto, buscando recuperar ativos ligados ao roubo de US$ 1,5 bilhão da exchange.
O processo também nomeou o Departamento Geral de Reconhecimento da Coreia do Norte, ou RGB, que o Tesouro dos EUA identifica como a principal agência de inteligência do país. Um juiz federal emitiu uma liminar que impediu réus não identificados de transferir, vender ou dispor de certos ativos conectados ao caso.
A Bybit entrou com a ação civil separadamente das investigações criminais em andamento nos EUA. Uma liminar preserva a propriedade identificada enquanto a litigância continua e não constitui uma decisão final sobre a propriedade ou responsabilidade.
O FBI atribuiu o ataque à Bybit de fevereiro de 2025 a atores norte-coreanos operando sob o nome TraderTraitor. Segundo a agência, os atacantes converteram parte dos ativos roubados em Bitcoin e outros ativos antes de espalhá-los por milhares de endereços em várias blockchains.
Em seu alerta público, o FBI disse que esperava que os ativos fossem movidos novamente e, eventualmente, trocados por moeda emitida pelo governo. O bureau pediu a exchanges, pontes, serviços financeiros descentralizados, empresas de análise de blockchain e operadores de nós que bloqueassem transações envolvendo os endereços que identificou.
Até abril de 2025, o CEO da Bybit, Ben Zhou, disse que 27,6% dos fundos roubados não podiam mais ser rastreados, de acordo com um relatório de agosto sobre os métodos de ataque da Coreia do Norte. O mesmo relatório afirmou que a distribuição de ativos por muitas carteiras de Bitcoin havia tornado o rastreamento de blockchain mais difícil.
A Lookonchain não conectou a última transferência de 244,148 BTC diretamente ao roubo da Bybit. Nenhuma agência governamental ou empresa de inteligência de blockchain citada nos relatórios disponíveis identificou publicamente a origem das moedas envolvidas no movimento de 28 de agosto.
A Chainalysis estimou que hackers norte-coreanos roubaram pelo menos US$ 2,02 bilhões em criptomoedas durante 2025, um aumento de 51% em relação ao ano anterior. A empresa avaliou o roubo cumulativo de cripto do país em não menos que US$ 6,75 bilhões até o final daquele período.
De acordo com seu relatório de dezembro de 2025, as operações norte-coreanas foram responsáveis por 76% do valor perdido por meio de ataques a serviços de cripto durante o ano. A Chainalysis disse que os atacantes realizaram menos incidentes confirmados, mas extraíram quantias maiores de violações bem-sucedidas.
A empresa também descobriu que operadores norte-coreanos haviam direcionado cada vez mais empresas por meio de personificação e acesso de funcionários. Alguns atores se passaram por candidatos a emprego para entrar em negócios de cripto, enquanto outros fingiram recrutar para empresas conhecidas de Web3 e inteligência artificial, de acordo com a Chainalysis.
A atividade atribuída ao Lazarus continuou em abril de 2026, quando atacantes drenaram aproximadamente 116.500 rsETH, avaliados em cerca de US$ 292 milhões, da ponte baseada em LayerZero da KelpDAO. A LayerZero atribuiu o ataque com confiança preliminar à unidade TraderTraitor do Grupo Lazarus.
A Chainalysis afirmou posteriormente que os atacantes comprometeram a infraestrutura que fornecia informações de blockchain ao sistema de verificação da LayerZero. Ao alimentar dados falsos ao sistema, eles fizeram com que um contrato Ethereum liberasse ativos, mesmo que nenhuma queima de token correspondente tivesse ocorrido na rede de origem.
Uma intervenção rápida bloqueou uma segunda tentativa de roubo no valor de cerca de US$ 95 milhões, de acordo com a Chainalysis. O Conselho de Segurança da Arbitrum também congelou mais de 30.000 ETH que os investigadores conectaram às transações posteriores do atacante.
Em junho, o atacante da KelpDAO havia movido aproximadamente US$ 220 milhões em ativos descongelados por meio de serviços de privacidade, de acordo com dados de rastreamento subsequentes. As rotas incluíram THORChain, Wasabi, Tornado Cash e Umbra, enquanto cerca de US$ 1,7 milhão permaneceu nas carteiras originais.
O Escritório de Controle de Ativos Estrangeiros (OFAC) do Tesouro dos EUA sancionou o Grupo Lazarus em setembro de 2019 sob uma ordem executiva que visa o governo norte-coreano. A OFAC identificou Lazarus, Bluenoroff e Andariel como grupos de hackers controlados pelo Estado conectados ao RGB.
Sob a designação, a propriedade pertencente ao Lazarus que entra nos Estados Unidos ou fica sob a posse ou controle de uma pessoa dos EUA deve ser bloqueada e reportada ao OFAC. Os regulamentos do Tesouro também geralmente proíbem os americanos de realizar transações com entidades sancionadas, a menos que a agência as autorize.
O Tesouro disse que o Lazarus havia visado governos, instituições financeiras, empresas de mídia, fabricantes, operadores de infraestrutura e negócios de criptomoedas por meio de roubo cibernético, espionagem e ataques de malware. O departamento ligou o grupo à violação da Sony Pictures em 2014 e ao ataque de ransomware WannaCry que afetou computadores em pelo menos 150 países.
As autoridades dos EUA também agiram contra serviços usados para processar fundos ligados ao grupo. Em 2022, o Tesouro sancionou o mixer de moedas virtuais Blender.io depois de afirmar que ele havia movimentado mais de US$ 20,5 milhões do roubo de aproximadamente US$ 620 milhões da Rede Ronin. O FBI posteriormente atribuiu o ataque Ronin ao Grupo Lazarus e à APT38.
Em agosto de 2023, o FBI alertou separadamente as empresas de cripto sobre movimentos envolvendo Bitcoin roubado por atores norte-coreanos do TraderTraitor. A agência disse que o grupo poderia tentar sacar mais de US$ 40 milhões em Bitcoin e publicou seis endereços de carteiras para empresas privadas examinarem.
BTC