O Grupo Lazarus causou 70% de todas as explorações no DeFi em 2026: Arkham

O Grupo Lazarus, uma organização de hackers associada à Coreia do Norte, foi responsável por mais de 70% de todas as explorações de criptomoedas registradas em 2026, de acordo com um relatório da empresa de análise on-chain Arkham. Somente em abril, o grupo roubou mais de US$ 577 milhões entre os dois ataques às plataformas KelpDAO e ao Drift Protocol.

De acordo com o relatório Arkham, Lazarus opera sob o Escritório de Reconhecimento Geral da Coreia do Nortea principal agência de inteligência do país, com dois objectivos centrais: financiar o programa de armas nucleares do regime e construir reservas cambiais fora do alcance dos reguladores financeiros internacionais.

Em 2023, a Casa Branca dos EUA estimou que, conforme citado no mesmo relatório, aproximadamente metade do programa de mísseis norte-coreano tinha sido financiado com fundos obtidos através dos ataques cibernéticos do Lazarus.

Desde que o grupo começou a focar no ecossistema de criptomoedas em 2017, já acumulou mais de US$ 6 bilhões em criptoativos roubadosde acordo com Arkham.

O maior ataque até o momento foi o hack da Bybit em fevereiro de 2025, que introduziu malware na interface de assinatura do provedor de custódia da exchange e desviou US$ 1,5 bilhão em Ether (ETH), o maior roubo da história das criptomoedas.

Como Lazarus lava dinheiro?

Assim que os fundos são roubados, Lazarus executa um processo de lavagem em camadas, consistente com Arkham. O primeiro passo usual é converter ativos roubados em Bitcoin (BTC) usando THORChain, um protocolo de troca entre cadeias sem custódia centralizada.

Bitcoin é preferido por seu modelo de contabilidade, de acordo com eles apontam de Arkham. Ao contrário do Ethereum, onde cada conta tem um saldo unificado e todas as transações estão vinculadas ao mesmo endereço, o Bitcoin registra os fundos como unidades individuais com histórico próprio, semelhante a notas físicas numeradas. Isso permite que o Lazarus fragmente os fundos roubados em milhares de carteiras e depois os reagrupe, multiplicando as etapas que qualquer investigador deve rastrear.

Para converter esses fundos em moeda fiduciária, O grupo historicamente usou mesas de negociação de balcão (canais diretos de compra e venda fora das bolsas tradicionais) operados por intermediários chineses, conforme explicado pela equipe de Arkham.

A Lazarus também utilizou a bolsa russa Garantex, que processou mais de US$ 96 bilhões em volume de transações antes de ser apreendida pelo Serviço Secreto dos EUA, com 1,35% dessas transações ligadas a atividades criminosas, segundo Arkham.

Dois ataques de 577 milhões de dólares em abril de 2026

Durante abril de 2026, mês que deixou mais de um hack por dia, Lazarus cometeu dois ataques nos quais obteve US$ 577 milhões.

No início daquele mês, este grupo de hackers comprometeu o Drift Protocol, uma exchange descentralizada (DEX) em Solana, por meio de uma operação que durou meses, de acordo com Arkham. Agentes do grupo apareceram em conferências do setor e fizeram depósitos de mais de 1 milhão de dólares para parecerem parceiros legítimos, ganhando assim a confiança do Conselho de Segurança do protocolo.

Uma vez lá dentro, eles fizeram com que seus membros pré-autorizassem as transações. Quando a Drift migrou seu Conselho de Segurança para uma nova configuração sem timelocking (um mecanismo que impõe um período de espera antes de executar transações confidenciais), Lazarus executou essas transações e drenou US$ 285 milhões.

Mais tarde, em 18 de abril, o grupo atacou o KelpDAO explorando uma falha em sua ponte cross-chain, que operava no LayerZero, um protocolo de mensagens que permite verificar e transmitir transações entre diferentes redes de criptomoedas.

De acordo com Arkham, o Lazarus comprometeu os nós de comunicação do sistema de verificação da ponte, manipulou as informações recebidas e fabricou uma mensagem falsa para retirar tokens avaliados em US$ 292 milhões para suas próprias carteiras. O ataque também gerou cerca de 200 milhões de dólares em dívidas incobráveis ​​em protocolos financeiros descentralizados que aceitaram esses tokens como garantia, de acordo com o mesmo relatório.

O mais recente kit de malware do Grupo Lazarus

A escalada do Lazarus não se limita a explorações de protocolo. No dia 21 de abril, conforme relatado pela CriptoNoticias, Mauro Eldritch, especialista em segurança ofensiva e fundador da BCA LTD, publicou uma análise do Mach-O Man, um kit de malware para macOS atribuído ao grupo.

O ataque vem como um convite falso para uma reunião no Telegram que redireciona para um site que imita plataformas como Zoom ou Google Meet, onde o usuário é instruído a colar um comando em seu terminal. Quando executado, o malware rouba credenciais, chaves privadas de carteira e cookies de sessão ativa de exchanges e os exfiltra por meio de um bot do Telegram. A vítima instala o malware sem saber: o kit não explora nenhuma vulnerabilidade técnica do sistema.

O padrão que emerge do relatório Arkham é o de uma organização que combina Explorações técnicas sofisticadas, engenharia social prolongada e presença física no setor para maximizar os danos. Com mais de 70% das explorações de 2026 e métodos evoluindo para vetores cada vez menos detectáveis, o Lazarus representa hoje a ameaça de segurança mais sistemática e cara no ecossistema das criptomoedas.