A Ripple está fornecendo inteligência de ameaças ligadas à Coreia do Norte ao Crypto ISAC, esperando que o contexto compartilhado sobre operativos da RPDC e exploits DeFi possa conter uma onda de hacks de 2026 liderada por Drift e KelpDAO.
A Ripple afirmou ter começado a compartilhar inteligência interna de ameaças sobre a atividade de hackers norte-coreanos com membros do Crypto ISAC, um coletivo cibernético sem fins lucrativos focado no setor de ativos digitais.
Em um blog conjunto, a diretora de crescimento do Crypto ISAC, Christina Spring, escreveu que os dados “variam de domínios e carteiras conhecidos por estarem associados a fraudes, a Indicadores de Comprometimento (IOCs) de campanhas ativas de hack da RPDC.”
Ela enfatizou que o que diferencia as informações da Ripple não são apenas indicadores brutos, mas “enriquecimento contextual de uma equipe de segurança com profunda expertise dos atores de ameaças que impactam o ecossistema cripto”, oferecendo aos defensores um contexto mais acionável do que uma lista típica de IOCs.
O próprio anúncio da Ripple no X argumentou que “a postura de segurança mais forte em cripto é uma postura compartilhada”, acrescentando que “um ator de ameaça que falha em uma verificação de antecedentes em uma empresa se candidatará a mais três na mesma semana. Sem inteligência compartilhada, cada empresa começa do zero.”
A inteligência, segundo relatos, inclui perfis enriquecidos de supostos trabalhadores de TI norte-coreanos tentando se infiltrar em empresas de cripto e fintech, ligando endereços de e-mail, domínios, carteiras on-chain e infraestrutura de malware usados em várias campanhas.
A ação da Ripple surge em resposta a uma onda de ataques ligados à RPDC que tiveram como alvo o DeFi em 2026, mais notavelmente os hacks nos protocolos Drift Protocol, baseado em Solana, e na plataforma de re-staking KelpDAO.
A TRM Labs estima que apenas esses dois incidentes renderam aos grupos norte-coreanos cerca de US$ 577 milhões — US$ 285 milhões do Drift e aproximadamente US$ 292 milhões do KelpDAO — representando 76% de todo o valor de hacks de cripto até abril.
A Chainalysis e a TRM observam que atores ligados à Coreia do Norte roubaram mais de US$ 2 bilhões em 2025, elevando seu total acumulado para mais de US$ 6,7 bilhões, e que a participação da RPDC nas perdas globais por hacks de cripto subiu de menos de 10% em 2020 para 64% em 2025.
O exploit de 1º de abril do Drift seguiu o que The Hacker News e Chainalysis descrevem como uma campanha de engenharia social de seis meses que começou no final de 2025, durante a qual proxies norte-coreanos realizaram reuniões presenciais com colaboradores do Drift e usaram essa confiança para convencer os signatários a pré-autorizar saques por meio do recurso “durable nonce” da Solana.
Os atacantes então executaram 31 transações pré-assinadas em cerca de 12 minutos, drenando US$ 285 milhões em ativos antes de fazer a ponte da maioria dos fundos para o Ethereum; a TRM afirma que o ETH roubado permaneceu em grande parte dormente, indicando um plano de lavagem cauteloso e de longo prazo.
O exploit de 18 de abril da KelpDAO usou um manual diferente: atores ligados à RPDC comprometeram dois nós RPC internos, lançaram ataques DDoS em nós externos e inseriram dados falsos no DVN da LayerZero Labs para cunhar 116.500 rsETH não-lastreados, usando então essa garantia para emprestar cerca de US$ 196 milhões em ETH na Aave.
Análises subsequentes da TRM e de outros mostram que, embora o Conselho de Segurança da Arbitrum tenha congelado aproximadamente US$ 71,5 milhões em ETH downstream, os atacantes rapidamente mudaram para trocar os fundos restantes por BTC via THORChain e intermediários chineses, sublinhando a sofisticação e adaptabilidade de suas operações de lavagem.
Em resposta, a coalizão DeFi United, liderada pela Aave, levantou mais de US$ 300 milhões em um plano de recuperação para a KelpDAO, enquanto o congelamento emergencial da Arbitrum e a rápida formação de forças-tarefa de recuperação entre protocolos destacam uma crescente disposição em coordenar medidas defensivas no nível do ecossistema.
Uma matéria recente da Decrypt e a própria comunicação da Ripple enquadram a nova iniciativa de compartilhamento de dados como uma tentativa de antecipar essa evolução nas táticas — movendo a indústria de uma conscientização fragmentada para inteligência compartilhada e em tempo real contra o que a pesquisadora de segurança Natalie Newson, da CertiK, chama de “uma operação financeira dirigida pelo Estado, funcionando em escala e velocidade institucionais.”
