Os hackers patrocinados pelo Estado norte-coreano se tornaram silenciosamente a operação de roubo financeiro mais lucrativa do mundo, financiando mísseis com criptoativos roubados. Operando sob o Reconnaissance General Bureau em três unidades especializadas — Lazarus, Bluenoroff e Andariel — o grupo drenou mais de US$ 6 bilhões em ativos digitais desde 2017. Diferentemente do cibercrime comum, é o braço de receita de um Estado-nação, o que torna cada invasão um evento geopolítico, e não um problema de TI.
Anatomia de uma quadrilha estatal
Ativo desde 2009, com um efetivo estimado de mais de 6.000 pessoas no Bureau 121, o grupo recruta jovens operadores em universidades de elite, os envia à China para aprender a web aberta e depois os traz de volta a Pyongyang ou os insere em empresas de fachada no exterior posando como desenvolvedores freelance. Seu histórico é como um currículo: US$ 35 mi da Sony Pictures (2014), US$ 81 mi do Bangladesh Bank via SWIFT (2016), o ransomware WannaCry que paralisou o NHS do Reino Unido (2017), US$ 625 mi da ponte da Ronin Network (2022), US$ 540 mi somando WazirX e DMM Bitcoin (2024) e um recorde de US$ 1,5 bi da Bybit (fev 2025) via exploração da interface da Safe Wallet. Mais recentemente, a LayerZero atribuiu ao Lazarus uma invasão de US$ 292 mi na KelpDAO, tendo como elo fraco uma configuração de verificador único. Entre as fontes citadas estão FBI, Tesouro dos EUA, Elliptic, LayerZero e Mandiant.
Principais conclusões
- O Lazarus drenou mais de US$ 6 bilhões em ativos digitais desde 2017, redirecionados aos programas de armas de Pyongyang via mixers e mesas OTC.
- A invasão à Bybit em fevereiro de 2025, de US$ 1,5 bi, é o maior roubo de cripto já registrado, explorando a interface da Safe Wallet durante uma transferência rotineira de cold para warm.
- Ativo desde 2009, com um efetivo estimado de mais de 6.000 pessoas no Bureau 121, o Lazarus opera três unidades: Lazarus (espionagem), Bluenoroff (bancos e cripto) e Andariel (infraestrutura crítica).