Prévia do resumo
Lazarus: A Máquina de Roubo da Coreia do Norte que Financia Mísseis
Imagina um país onde a internet é um mito para 25 milhões de pessoas. Parece roteiro de ficção científica, né? Pois é a realidade da Coreia do Norte. E lá, uns 8 mil hackers, que nunca viram um vídeo no YouTube nem abriram o Google, já conseguiram roubar mais de 7 bilhões de dólares em uma década. Sabe o que é mais louco? Cada centavo roubado vira, na prática, uma ogiva nuclear. Eu sou o Mister Darkweb e hoje a gente vai mergulhar fundo no Lazarus, a tropa de elite de hackers que pode estar, neste exato momento, de olho no seu dinheiro.
O Começo: Um Arquivo Suspeito e um Alerta Ignorado
Tudo começou bem aleatoriamente no final de 2024. Eu tava fuçando uns vazamentos num fórum underground, coletando dados sobre esquemas financeiros na Ásia. Nada de novo. Aí, entre tantos arquivos, me deparei com um pequeno documento de texto, escrito num inglês meio tosco, sem título, sem nada. Só uma lista de carteiras, datas, valores e, no final, uma nota que dizia algo como: "Nunca mexa nesses endereços. Não são pessoas, é o Estado". Na hora, achei que era paranoia de alguém ou uma brincadeira. Salvei e esqueci. Mas, dois meses depois, em fevereiro de 2025, rolou um evento que fez aquela frase virar um pesadelo real. Uma das maiores exchanges de criptomoedas do mundo simplesmente viu 155 bilhões de dólares sumirem da noite para o dia. Sem hack, sem phishing, sem erro da vítima. E quando o FBI apontou os culpados – o Lazarus Group – eu lembrei do meu arquivo. Comparei os endereços. Quatro dos cinquenta e um batiam. Aí, meu amigo, a coisa ficou séria. Comecei a cavar e o que eu descobri era assustador. Lazarus não é só um grupo de hackers qualquer. Não é a galera do porão com capuz, nem os anônimos querendo grana fácil. É o exército cibernético de um país inteiro: a Coreia do Norte. A nação mais fechada do planeta, que nega a existência deles, mas que constrói toda a sua força de mísseis em cima do trabalho deles. O Departamento de Justiça dos EUA chama o Lazarus de "ferramenta de desestabilização da cibersegurança global e geração de renda ilegal, violando sanções internacionais". Por trás dessa fala técnica, a realidade é de dar arrepios: Lazarus tá por trás do ataque à Sony Pictures em 2014, do roubo ao Banco Central de Bangladesh em 2016, do vírus WannaCry que paralisou hospitais em 150 países em 2017, e de dezenas de roubos de cripto que somam mais de 7 bilhões de dólares. Eu gastei meses nessa investigação, fuçando centenas de documentos: processos, relatórios do FBI, análises de empresas de blockchain como Chainalysis e Elliptic, depoimentos de desertores, relatórios da ONU e fóruns secretos. E quanto mais eu lia, mais eu percebia: o que o Lazarus faz não tem igual. Nenhum país na história construiu sua economia em cima de ciberataques. A Coreia do Norte construiu. Essa é a história de terrorismo de estado disfarçado de cibercrime. De um país que transformou seus melhores matemáticos em ladrões. De gente que é selecionada na escola, treinada como soldado, enviada para o exterior e que rouba bilhões sem poder ficar com um centavo. E vou começar pelo fim: o maior roubo da história das criptomoedas. Porque é ele que mostra o que essa máquina virou e por que ninguém consegue pará-la.
O Maior Roubo de Cripto: O Ataque à BYBIT
21 de fevereiro de 2025, sexta-feira. Dubai. Escritório da BYBIT, uma das maiores exchanges de cripto do mundo. Dia normal de trabalho. Uma operação rotineira: mover fundos de uma carteira fria para uma quente. Algo que os funcionários faziam sempre. Três assinaturas, várias confirmações. Tudo dentro do protocolo. Na tela, a interface padrão do Safe Wallet, uma plataforma de multi-assinatura usada por milhares de empresas. A quantia, o endereço de destino, o botão de confirmar. O CEO, Ben Zhou, olhou a tela. Tudo parecia perfeito. Clicou em "Confirmar". Mais dois funcionários fizeram o mesmo. Quarenta minutos depois, 401.347 Ethereum, quase 1.5 bilhão de dólares, tinham sumido. Não para o endereço certo, não para a carteira certa, não para o país certo. O ponto crucial: ninguém errou. O sistema não falhou. Nenhuma senha foi roubada. Ninguém clicou num link de phishing. Eles fizeram exatamente o que tinham que fazer. E era nisso que quem estava do outro lado da tela contava. O que aconteceu? Dias antes, hackers comprometeram o computador de um dos desenvolvedores do Safe Wallet – não da BYBIT, mas da própria plataforma. Eles não quebraram a segurança de frente, não adivinharam senhas, não buscaram falhas no código. Entraram pela pessoa. Engenharia social: uma ligação, um e-mail, um convite para uma conferência, uma falsa entrevista. O método exato ainda é secreto, mas, segundo a Safe Ecosystem Foundation, a invasão aconteceu pela estação de trabalho do dev. Com acesso à máquina, roubaram tokens de sessão – chaves temporárias que permitem entrar no serviço da nuvem sem redigitar a senha. Assim, contornaram a autenticação de dois fatores. Calcularam o tempo, operaram nas mesmas horas do dev para não levantar suspeitas dos sistemas de monitoramento. E então, em 19 de fevereiro, dois dias antes do ataque, eles trocaram um único arquivo: um pedaço de código JavaScript responsável pela exibição das transações. Esse arquivo entrou no servidor pelo domínio oficial do Safe Wallet. Funcionou para todos os usuários, exceto um. Exceto a BYBIT. Meio bilhão de dólares e ninguém notou na hora da transferência? Parece roteiro ruim, mas é assim que funciona. Quando você tá acostumado a clicar em "Confirmar" todo dia e tudo sempre dá certo, você não checa cada pixel da tela. Não é negligência, é confiança no sistema que milhares de empresas usam. E o Lazarus não quebrou o sistema, ele quebrou essa confiança. O código alterado mostrava uma coisa para os funcionários da BYBIT e enviava outra. As assinaturas deles em carteiras de hardware viraram o que especialistas chamam de "assinatura cega". Eles confirmavam uma transação que não viam. Dez horas depois do ataque, 350 mil usuários da BYBIT pediram saques. Pânico. A exchange balançou. O preço do Ethereum caiu. O mercado congelou, e o dinheiro roubado já estava em movimento. Um processo afiado por anos. Nas primeiras 48 horas, mais de 160 milhões de dólares passaram por dezenas de carteiras intermediárias, viraram
Financiando o Programa de Mísseis: Dinheiro do Ciberespaço
Segundo estimativas do grupo de especialistas da ONU desmantelado em 2024, até 40% do financiamento dos programas nuclear e de mísseis da Coreia do Norte vem de roubos cibernéticos. 40% – não do comércio de carvão, não da venda de armas, não da ajuda de aliados, mas de criptomoedas roubadas. Isso não é hipótese jornalística. É conclusão de uma comissão internacional sob o mandato do Conselho de Segurança. Os 1.5 bilhão roubados da BYBIT não são crime por lucro. São uma linha no orçamento estatal que oficialmente não existe. Só em 2025, segundo a plataforma Chainalysis, hackers ligados à Coreia do Norte roubaram mais de 2 bilhões de dólares, um aumento de 51% em relação ao ano anterior. Somando de 2019 até o fim de 2025 – 6.75 bilhões. Isso é 76% de todos os roubos de cripto no mundo. Três quartos: um país, um operador. A Elliptic, empresa que investigou o caso, resumiu: "O Lazarus Group não é uma organização patrocinada pelo Estado no sentido tradicional. Lazarus é a Coreia do Norte, e a Coreia do Norte é Lazarus. Não há fronteira entre os hackers e o regime, não há lacuna. É um organismo único". E aqui começa a parte mais sombria. Para entender como um grupo de um dos países mais pobres e isolados do mundo aprendeu a roubar bilhões, precisamos voltar 20 anos, a um lugar que quase ninguém conhece. Onde crianças são selecionadas na escola. Não por esporte, não por música, mas pela capacidade de resolver problemas de matemática mais rápido que os outros. E onde essas crianças viram soldados que nunca pegarão em armas, mas causarão mais dano que qualquer exército.
O Nascimento do Exército Cibernético: De Kim Il-sung ao Bureau 121
Em 1996, Kim Jong-il, então líder da Coreia do Norte, visitou militares na linha de frente. Segundo relatos em relatórios de inteligência sul-coreanos, ele disse uma frase que definiu os próximos 30 anos do país: "Todas as guerras do futuro serão guerras de computador". 1996. A internet mal existia. A maioria das pessoas no planeta nem sabia o que era e-mail, e o líder de um dos países mais pobres do mundo já entendia que um teclado era mais perigoso que um tanque. Mais tarde, nos anos 2000, ele foi ainda mais duro. Segundo pesquisadores da C4ADS, que citam materiais de inteligência sul-coreanos, Kim Jong-il disse que ciberataques eram como bombas atômicas. "A guerra é vencida por quem, em tempos de paz, obtém mais acesso à informação técnico-militar do inimigo". Ele não estava brincando, estava construindo um exército. Em 1998, foi criado o Bureau 121 – uma unidade de guerra cibernética dentro da Direção Geral de Inteligência (GRU). Não é um departamento de TI qualquer. É uma estrutura militar completa, subordinada ao Terceiro Bureau de Vigilância Técnica – o principal órgão de operações cibernéticas da Coreia do Norte. As primeiras estimativas colocavam o Bureau 121 com cerca de 1.800 especialistas. Em 2014, a agência sul-coreana NIS elevou esse número para 5.900. Agora, segundo o Wall Street Journal, fala-se em 8.000 hackers contratados, organizados em unidades militares. Mas de onde vêm hackers num país sem internet? A resposta é simples e assustadora. Eles são criados desde crianças. Por toda a Coreia do Norte, funciona um sistema de seleção criado nos anos 90. Em escolas de ensino médio para alunos talentosos, há computadores. Segundo desertores, até pouco tempo atrás eram máquinas do nível Pentium 4. Professores identificam crianças com habilidades matemáticas excepcionais. Os melhores vão para universidades especializadas. A principal delas é o Colégio Mirim, também conhecido como Universidade de Automação de Pyongyang. A cada ano, forma cerca de 100 hackers. Chang Se-yul, um desertor que estudou no Mirim e fugiu para a Coreia do Sul, contou como era o processo: seis aulas de 90 minutos por dia. Linguagens de programação de C a assembly, sistemas operacionais Linux e Windows. Uma quantidade enorme de tempo era gasta analisando a arquitetura do Windows: como funciona, onde estão as vulnerabilidades, como entrar nele. Cinco anos de preparação, sem fins de semana como conhecemos, sem internet livre, apenas estudo e prática. Próximo ao Mirim, funcionam a Universidade Kim Il-sung, a Universidade Tecnológica Kim Chek e a Universidade Moranbong. Para lá vão os mais capazes. Kim Hyung-gwan, ex-professor de informática que ensinou por 19 anos em universidades de Hamhung e preparou futuros guerreiros cibernéticos, após fugir para a Coreia do Sul, contou que seus melhores alunos iam para estágios na China, especialmente na cidade de Shenyang, onde operava uma empresa de fachada chamada Chosen Expo Joint Venture. Um disfarce pelo qual os agentes
Ataque à Sony Pictures: Vingança por uma Comédia
A manhã de 24 de novembro de 2014 ficou marcada para sempre na memória dos funcionários da Sony Pictures Entertainment. Chegaram ao trabalho e descobriram que seus computadores estavam mortos. Nas telas, a imagem de um crânio vermelho e uma mensagem do grupo que se autodenominava Guardians of Peace ("Guardiões da Paz"). O texto era simples: "Nós pegamos tudo. Se não cumprirem nossas exigências, vamos publicar". Não era exagero. Os hackers ficaram dentro da rede da Sony por pelo menos 2 meses, segundo alguns relatos, até um ano. Nesse tempo, copiaram mais de 100 TB de dados: e-mails internos da diretoria, documentos financeiros, dados pessoais de funcionários (CPFs, registros médicos, salários), filmes ainda não lançados, roteiros de futuros projetos. E então ativaram um programa malicioso que destruiu cerca de 70% da infraestrutura de servidores da empresa. Discos rígidos foram reescritos, registros de boot apagados, computadores viraram "tijolos". O motivo: uma comédia. O filme "A Entrevista", com Seth Rogen e James Franco. Uma sátira onde dois jornalistas são recrutados pela CIA para matar Kim Jong-un. Um filme que provavelmente ninguém lembraria em seis meses se não fosse pelo Lazarus. Os "Guardiões da Paz" exigiram que a Sony cancelasse a estreia e depois começaram a ameaçar ataques terroristas em cinemas que exibissem o filme. As maiores redes americanas se recusaram a exibir. A Sony primeiro cancelou a estreia, depois, sob pressão pública, lançou o filme em circuito limitado e online. Em 19 de dezembro de 2014, o FBI declarou oficialmente: "A Coreia do Norte está por trás do ataque". O presidente Obama fez um pronunciamento, chamando o hack de "não um ato de guerra, mas um ataque sério à segurança nacional". Os Estados Unidos impuseram sanções adicionais. E eu, ao estudar esse caso, pensei: um estado atacou uma empresa privada por causa de uma comédia. Não por dados, não por segredos militares, mas por uma piada. E causou um dano que a Sony estimou em 15 milhões de dólares só no primeiro trimestre, sem contar perdas de reputação e processos de funcionários cujos dados vazaram. Mas o mais revelador é que o Lazarus usou esse hack como treino: testou métodos, verificou infraestrutura, estudou a reação. Porque o próximo alvo era de outro calibre. Não uma empresa de entretenimento, mas um Banco Central.