Hackers da Coreia do Norte são notoriamente eficazes em roubar criptomoedas, com uma estimativa atribuindo 60% de todas as perdas do ano passado a grupos ligados à Coreia do Norte. Esses hackers empregam diversos vetores de ataque diferentes, o que torna ainda mais difícil detectá-los em ação.Na semana passada, hackers norte-coreanos levaram apenas 20 minutos para drenar US$ 6,3 bilhões da Binance, no que é considerado o maior ataque cibernético da história. Os atacantes comprometeram o computador de trabalho de um engenheiro da Binance por meio de uma falsa entrevista de emprego, usaram uma ferramenta interna de IA para obter controle dos computadores de outros engenheiros e, em seguida, usaram credenciais roubadas para sequestrar um serviço interno de assinatura de carteiras, informou a exchange.https://t.co/sU9dUqLQDH— Binance (@binance) November 3, 2026No passado, hackers norte-coreanos já eram conhecidos por serem contratados por empresas de criptomoedas sob identidades falsas, atacarem por meio de infraestrutura de terceiros e contaminarem bibliotecas de código amplamente utilizadas. Mais recentemente, eles começaram a usar IA para tornar tudo isso mais convincente.Aqui estão alguns exemplos dos métodos que hackers norte-coreanos são conhecidos por usar em ataques a criptomoedas.Funcionários falsosO diretor de segurança da Binance, Jimmy Su, disse ao Decrypt em agosto de 2025 que a exchange descarta currículos suspeitos de serem norte-coreanos todos os dias e que “quase todos os grandes ataques cibernéticos à Coreia do Norte”, na época, envolviam um funcionário falso ajudando a facilitar o ataque.Su disse que havia sinais reveladores nos currículos que indicavam que o candidato era da Coreia do Norte, mas a exchange não estava disposta a revelar os detalhes sobre os sinais de alerta. Às vezes, porém, agentes maliciosos chegam à fase de entrevista, onde os atacantes usam deepfakes para alterar o rosto e a voz.“A única detecção realmente eficaz é que eles quase sempre têm uma conexão de internet lenta”, disse ele ao Decrypt. “O que acontece é que a tradução e o modificador de voz funcionam durante a chamada… é por isso que sempre há atrasos.”Aqueles que são contratados tendem a ser suspeitosamente bons no trabalho. Su disse que os trabalhadores norte-coreanos geralmente estão entre os melhores funcionários de uma empresa, provavelmente porque várias pessoas podem estar compartilhando uma função em diferentes fusos horários.A ameaça não diminuiu. A Binance afirmou que sua equipe de segurança detectou e impediu 57 casos suspeitos de ameaças cibernéticas ligadas à Coreia do Norte em 2026, usando técnicas que variam de entrevistas de emprego fraudulentas a aplicativos falsos de videoconferência.Entrevistas de emprego falsasOs atacantes também invertem o golpe e se passam por recrutadores para atingir pessoas que já trabalham em empresas de criptomoedas de alto perfil. Frequentemente, o atacante alega que há um problema de vídeo ou áudio durante a entrevista e envia à vítima um link para atualizar o Zoom, que infecta seu dispositivo com malware.“O grupo da Coreia do Norte também tentará agendar ligações com os funcionários que têm contato direto com o público externo”, disse Su ao Decrypt. “Seja como um projeto DeFi ou uma empresa de investimentos. Pior ainda, eles os recrutam para um cargo de alto nível, pagando o dobro ou o triplo, apenas para conseguir uma entrevista.”Foi assim que o ataque à Binance começou, segundo a exchange. Em setembro, um engenheiro de software da Binance foi abordado por meio de uma plataforma legítima de busca de empregos por alguém que se passava por diretor de projeto e agendou duas entrevistas. No primeiro caso, um suposto representante de RH conquistou a confiança do usuário durante uma videochamada ao vivo, compartilhando uma conta de mídia social repleta de fotos e vídeos pessoais — uma abordagem que a Binance classificou como “mais avançada e enganosa do que as vistas anteriormente”.Leia também: Hack da Binance começou com falsa entrevista de emprego e uso de IA, diz empresaNo segundo caso, realizado em um aplicativo de bate-papo, o engenheiro foi instruído a baixar uma “tarefa” em seu computador de trabalho. O repositório de código continha um malware até então desconhecido que foi executado durante a instalação, substituindo uma ferramenta legítima de desenvolvedor por uma versão maliciosa e conectando-se a um servidor controlado pelo invasor, burlando as ferramentas de segurança da Binance.Um grupo ligado à Coreia do Norte infectou pelo menos 30.000 dispositivos em mais de 100 países entre dezembro de 2025 e julho de 2026, aproximadamente, usando métodos semelhantes. O grupo roubou fundos ou credenciais de mais de 7.000 carteiras de criptomoedas e movimentou cerca de US$ 10,71 milhões para a Coreia do Norte.O grupo, conhecido como WaterPlum ou Contagious Interview, se passava por empresas de IA, criptomoedas ou NFTs e propunha aos candidatos uma entrevista técnica ou tarefa de programação que exigia o download de arquivos infectados por malware. Alguns usaram software de IA para troca de rostos durante as entrevistas, antes de interromper o vídeo e pedir ao candidato que fizesse o mesmo, alegando uma má conexão.Envenenamento de bibliotecasSu, da Binance, também disse ao Decrypt que hackers norte-coreanos envenenam bibliotecas de código público, classificando-as como o segundo método de ataque mais comum — atrás apenas de falsos funcionários.Os pacotes do Node Package Manager (NPM) são coleções de código aberto reutilizável que os desenvolvedores usam com frequência. Os invasores podem clonar esses pacotes e inserir uma pequena linha de código malicioso, mantendo sua função original. Isso significa que uma vítima pode usar essa biblioteca de código envenenada sem perceber, com o código malicioso se infiltrando cada vez mais à medida que novas funcionalidades são adicionadas.Em setembro de 2025, a empresa de segurança de software ReversingLabs encontrou dois pacotes NPM que usavam contratos inteligentes do Ethereum para baixar malware, algo que a empresa afirmou nunca ter visto antes. Os pacotes estavam ligados a uma rede mais ampla de repositórios do GitHub, em sua maioria marcados como bots de negociação de criptomoedas, com milhares de commits e estrelas que a ReversingLabs acredita serem, em sua maioria, falsificados.A tática fazia parte de uma “campanha sofisticada” de agentes maliciosos que tentavam invadir usuários por meio de bibliotecas de código público relacionadas a blockchain, um vetor de ataque que a Binance já havia atribuído a hackers norte-coreanos.Para combater a ameaça, Su afirmou que a Binance exige que seus funcionários examinem minuciosamente as bibliotecas do NPM.Ferramentas de desenvolvimento adulteradas também contribuíram para o ataque à Binance. Em junho, um membro da equipe de DevOps da carteira da Binance baixou uma instalação adulterada do Homebrew, um instalador de software popular, enquanto tentava instalar uma ferramenta de programação de IA que havia encontrado em um mecanismo de busca, informou a exchange. A equipe de segurança detectou o problema, substituiu o dispositivo e alterou as credenciais do usuário, mas o incidente expôs o engenheiro e seus colegas da equipe de infraestrutura da carteira aos invasores.Ataques à infraestruturaAntes da Binance, o recorde indesejado de maior ataque hacker a criptomoedas pertencia à Bybit, que perdeu US$ 1,4 bilhão em fevereiro de 2025. Empresas de cibersegurança revelaram que hackers norte-coreanos realizaram o ataque inserindo código malicioso na infraestrutura da Safe — um provedor de carteiras de criptomoedas usado pela exchange.As empresas de segurança afirmaram que o código JavaScript malicioso foi injetado diretamente na infraestrutura online da Safe. No entanto, não ficou claro como os atacantes conseguiram fazer isso.A infraestrutura da Bybit “não foi comprometida”, disse a exchange ao Decrypt, e o ataque ocorreu puramente porque uma vulnerabilidade de terceiros foi explorada.O ataque à Binance teve como alvo os próprios sistemas da exchange. Em 29 de outubro, o atacante usou credenciais roubadas para implantar um contêiner e obter acesso não autorizado a um serviço interno de assinatura de carteiras, o que lhe permitiu iniciar transações fora do processo normal de saque da Binance. No Ethereum, ele usou o serviço de assinatura para explorar a vulnerabilidade EIP-7702, um mecanismo que permite que uma conta delegue direitos de execução a um contrato inteligente, dando a um contrato controlado pelo atacante controle parcial sobre uma carteira quente da Binance.Essas autorizações on-chain continuaram funcionando mesmo depois que a Binance suspendeu os saques. Como a carteira quente usava computação multipartidária, não havia uma única chave privada que a Binance pudesse usar para revogá-las rapidamente, afirmou a exchange.Golpes com IACada um dos vetores de ataque mencionados acima pode ser potencializado com ferramentas de inteligência artificial.No início deste ano, o Google alertou sobre uma campanha de malware com IA direcionada a empresas de criptomoedas, originária da Coreia do Norte. Da mesma forma, Su, da Binance, também mencionou que ferramentas de IA podem ser usadas para aumentar a eficácia dos ataques.As preocupações com ataques cibernéticos com IA aumentaram nos últimos meses, com o cofundador do Ethereum, Vitalik Buterin, afirmando em outubro que é “plausível” que a IA possa quebrar a criptografia nos próximos dois anos. Isso ocorreu em meio a uma explosão de matemática impulsionada por IA, com a OpenAI alegando ter resolvido um problema matemático de 90 anos em questão de dias. Especialistas instaram o setor a se preparar para ataques com IA contra criptografia.Não há relatos confirmados de hackers norte-coreanos usando IA para quebrar criptografia. Mas, considerando a rapidez com que a IA foi adotada em outros setores, talvez a indústria precise se preparar para isso em seguida.* Traduzido e editado com autorização do Decrypt.Procurando uma alternativa para aumentar seus ganhos? A Renda Fixa Digital do MB é a solução: até 18% de ganho ao ano, risco controlado e a segurança que seu dinheiro merece. Conheça agora!O post 5 táticas usadas por hackers da Coreia do Norte pra roubar criptomoedas — e como a Binance foi hackeada apareceu primeiro em Portal do Bitcoin.