o crime criptográfico está atingindo o pico ou se adaptando?

Hackers ligados à Coreia do Norte roubaram mais de 2 mil milhões de dólares em criptomoedas em 2025, superando todos os anos anteriores registados, enquanto as autoridades globais recuperaram 439 milhões de dólares e prenderam centenas de lavadores de dinheiro em 40 países numa única operação de quatro meses.

A colisão de assaltos recordes patrocinados pelo Estado e a aplicação multilateral coordenada levanta uma questão mais aguda do que se o crime criptográfico está fora de controlo: os atacantes estão a atingir um limite máximo ou estão a aprender a contornar cada novo ponto de controlo implantado pelos governos?

A resposta molda as políticas de tesouraria, preenche os orçamentos de segurança e a viabilidade da infraestrutura que preserva a privacidade. Se a fiscalização prejudicar os fluxos ilícitos, a indústria poderá contar com melhorias no KYC, nas sanções e na análise da cadeia para gerenciar os riscos.

Suponhamos que os atacantes se adaptem pulando cadeias, fragmentando saques e explorando jurisdições com fraca adoção da regra de viagem. Nesse caso, a pilha defensiva precisa de mudanças arquitetônicas, e não apenas de um melhor teatro de conformidade.

A nova pilha de assaltos: IA mais explorações de ponte

O fevereiro de 2025 Bybit a violação definiu a escala para o ano. O FBI atribuiu o roubo de US$ 1,5 bilhão ao Lazarus Group da Coreia do Norte, também conhecido como cluster TraderTraitor, uma campanha plurianual de spear-phishing e malware visando desenvolvedores de blockchain e equipes de operações.

Os invasores entregaram aplicativos comerciais trojanizados por meio de comprometimentos da cadeia de suprimentos, obtendo acesso à infraestrutura de assinatura de carteiras quentes.

Laboratórios TRM documentou a lavagem subsequente: trocas imediatas em ativos nativos, saltos de ponte para Bitcoin e Tron e, em seguida, mistura em camadas através de protocolos obscuros.

Cadeálise’ a atualização semestral confirmou perdas de serviço de mais de US$ 2,17 bilhões até 30 de junho, com o roubo de Bybit sendo responsável pela maioria.

Elíptico O relatório de Outubro elevou o total para mais de 2 mil milhões de dólares atribuídos apenas aos intervenientes ligados à RPDC, observando “o aumento da complexidade do branqueamento em resposta a um melhor rastreio”.

A Agência Nacional de Polícia do Japão e o Centro de Crimes Cibernéticos do Departamento de Defesa dos EUA vincularam conjuntamente a perda de US$ 308 milhões do DMM Bitcoin à mesma infraestrutura TraderTraitor no final de 2024.

O Ministério das Relações Exteriores do Japão publicou um compêndio de 2025 consolidando os métodos de roubo cibernético, rotas de lavagem e incidentes específicos da RPDC ao longo de 18 meses, estabelecendo padrões de atribuição que dependem de famílias de malware, sobreposições de infraestrutura e heurísticas na cadeia confirmadas por múltiplas agências de inteligência.

A superfície de ataque mudou de carteiras quentes de troca para pontes e operações de validação, onde falhas de ponto único desbloqueiam fluxos massivos.

O relatório de crimes entre cadeias de 2025 da Elliptic mediu a frequência com que os ativos roubados agora atravessam mais de três, cinco ou até dez cadeias para frustrar o rastreamento.

Andrew Fierman, chefe de inteligência de segurança nacional da Chainalysis, descreveu a evolução em uma nota:

“Os branqueadores da RPDC estão constantemente a mudar os mecanismos de branqueamento e as táticas de evasão para evitar perturbações.”

Ele acrescentou que os misturadores permanecem no kit de ferramentas, uma vez que o Tornado Cash viu novos fluxos ligados à RPDC depois de o Tesouro ter retirado a sua designação de sanções em Março de 2025, na sequência de reveses judiciais. No entanto, a mistura do local continua a mudar.

Depois que Blender e Sinbad foram sancionados, os fluxos foram transferidos para exchanges descentralizadas entre cadeias, USDT corredores e corretores de balcão no Sudeste Asiático.

Interpol e amigos tornam-se multilaterais

A fiscalização aumentou em 2025. A Operação HAECHI VI da Interpol, que decorreu de Abril a Agosto, recuperou 439 milhões de dólares em 40 países, incluindo 97 milhões de dólares em activos virtuais.

A operação coordenada seguiu-se ao HAECHI V de 2024, que estabeleceu recordes de prisões e apreensões. A Europol prosseguiu ao longo do ano ações paralelas contra o branqueamento de infraestruturas e redes de criptofraude.

A atualização de junho de 2025 do Grupo de Ação Financeira revelou que a implementação da regra de viagem aumentou para 85 jurisdições, com orientações para os supervisores que restringissem a partilha transfronteiriça de informações.

Estes são obstáculos materiais para as redes de saques que dependiam de regimes de conformidade fragmentados.

As sanções e os processos criminais visam agora tanto os facilitadores como os hackers. As ações do Gabinete de Controlo de Ativos Estrangeiros de julho de 2025 atingiram as cadeias de receitas dos trabalhadores de TI da RPDC, enquanto as acusações e confiscos do Departamento de Justiça acusaram os agentes norte-coreanos de roubo e lavagem de criptomoedas.

Os promotores forçaram a confissão de culpa dos operadores da Samourai Wallet e o coordenador do Wasabi foi fechado em 2024.

O resultado são menos centros de lavagem grandes e centralizados e uma ofuscação mais fragmentada e entre cadeias.

Fierman observou a resposta tática:

“O aumento da devida diligência do Know Your Customer por parte das bolsas pode ajudar a perturbar as contas de mula, a sanção dos misturadores, em última análise, levou os intervenientes a plataformas alternativas, que podem ter menos liquidez para facilitar o branqueamento em grande escala, e a capacidade dos emitentes de stablecoin de congelar activos em qualquer ponto da cadeia de abastecimento, tudo isto ajuda a perturbar os esforços de branqueamento da RPDC.”

RPDC como adversário criptográfico

Os padrões de atribuição combinam análise forense em cadeia com inteligência de sinais e análise de malware.

O FBI confirmou publicamente a atribuição de Bybit em fevereiro de 2025, enquanto vários meios de comunicação e o Ministério das Relações Exteriores do Japão consolidaram evidências ligando o TraderTraitor a roubos anteriores.

A seleção de alvos mudou para exchanges, pontes e caminhos de validação, onde as falhas de segurança operacional liberam o valor máximo.

Os dados da Chainalysis mostram que as perdas de 2025 se concentraram em violações de nível de serviço, e não em comprometimentos de carteiras individuais, refletindo uma mudança dos invasores em direção a alvos de infraestrutura de alta alavancagem.

Os padrões de lavagem agora passam regularmente pelos corredores do USDT e rampas de saída do OTC fora das zonas regulatórias estritas. Uma investigação da Reuters de 2024 rastreou fluxos ligados ao Lazarus em uma rede de pagamentos do Sudeste Asiático.

Chainalysis e Elliptic documentam um declínio constante nos saques de câmbio direto, de cerca de 40% das transferências ilícitas em 2021-22 para cerca de 15% em meados de 2025, e um aumento correspondente no roteamento complexo e multi-hop que combina trocas de câmbio descentralizadas, pontes e redes de caixas.

Fierman descreveu a arbitragem jurisdicional:

“A RPDC procurará ajustar os mecanismos, como visto recentemente, utilizando tudo, desde grandes fontes de liquidez para o branqueamento, como o Grupo Huione, ou alavancando comerciantes regionais de balcão que podem não estar a tentar cumprir os requisitos regulamentares, ou têm regulamentação negligente nas suas jurisdições operacionais.”

A fiscalização prejudica os fluxos ou os realoja?

A resposta de curto prazo é ambas. A Chainalysis conclui que as transferências diretas de entidades ilícitas para bolsas caíram para cerca de 15% no segundo trimestre de 2025, o que implica que a triagem, as sanções e a cooperação cambial são eficazes.

No entanto, estas ações empurram o dinheiro para plataformas cruzadas e processadores de pagamentos fora dos regimes mais rigorosos.

Os dados de 2025 do GAFI mostram que as leis sobre regras de viagem estão em vigor na maioria dos principais centros, mas a sua aplicação é desigual, e é precisamente nessa desigualdade que se formam novos corredores de branqueamento.

Existem atritos reais do lado adversário. As operações e as ações nacionais da Interpol congelam fatias maiores de saldos ilícitos e os intervenientes privados divulgam os congelamentos e apreensões, sublinhando uma tendência mais ampla de redução de riscos que aumenta os custos de branqueamento da RPDC.

Os emitentes de stablecoins podem congelar ativos em qualquer ponto da cadeia de abastecimento, um poder que concentra o risco em emitentes centralizados, mas que aumenta as probabilidades de recuperação quando exercido rapidamente. A questão é se esse atrito se acumula mais rápido do que os invasores conseguem contorná-lo.

O que os construtores e tesoureiros devem fazer a seguir

Trate as intrusões ao estilo da RPDC como um cenário de risco empresarial e não como um cisne negro.

Os avisos da US TraderTraitor fornecem mitigações práticas, incluindo o fortalecimento dos pipelines de contratação e o acesso do fornecedor, exigindo verificação de assinatura de código para ferramentas, restringindo orçamentos de carteiras quentes e automatizando limites de velocidade de retirada.

Além disso, também é recomendado ensaiar manuais de incidentes que incluam triagem imediata de endereços, políticas de interrupção de ponte e caminhos de escalonamento de aplicação da lei.

O tratamento de casos indica que os congelamentos precoces, o rastreio rápido possibilitado pelo KYC e a cooperação cambial aumentam significativamente as probabilidades de recuperação.

Para rotas de capital, aplicar pontes pré-aprovadas e listas de permissões de câmbio descentralizadas com justificativa comercial e estender a triagem pronta para regras de viagem aos movimentos do tesouro para evitar refluxo contaminado.

Os fornecedores de análise de cadeia publicam novas tipologias de alerta para lavagem entre cadeias: integre-as ao monitoramento para que os alertas sejam sintonizados para saltos de ponte e pivôs de ativos nativos, não apenas para tags de mixer herdadas.

Philipp Zentner, fundador da Li.Fi, argumentou que os interruptores de interrupção em cadeia enfrentam uma compensação entre centralização e capacidade de resposta. Em nota, ele explicou:

“É muito improvável que uma solução pura on-chain sem um ator centralizado seja alcançável. Qualquer coisa que não seja curada pode ser mal utilizada, e qualquer coisa que seja muito aberta também pode ser usada pelos próprios hackers. Quando agregadores e pontes DEX são contatados sobre um hacker, muitas vezes já é tarde demais.”

Ele acrescentou que uma solução centralizada tem muito mais probabilidade de ter sucesso a partir de hoje. Essa franqueza reflete a realidade de que os protocolos descentralizados carecem da camada de coordenação necessária para impedir a propagação do roubo em tempo real, sem introduzir o risco de centralização conduzida por humanos.

Pico ou adaptação

O quadro geral é que a fiscalização aumentou o custo e a complexidade da lavagem, mas não impediu os roubos.

Os intervenientes ligados à RPDC roubaram mais em 2025 do que em qualquer ano anterior, mas são agora forçados a passar por dez cadeias, a converter através de pares obscuros e a confiar em corretores OTC regionais em vez de levantarem dinheiro diretamente nas principais bolsas.

Isto é um progresso para os defensores, pois as heurísticas de deteção, a análise de agrupamentos e a cooperação transfronteiriça estão a funcionar, mas também é a prova de que os atacantes se adaptam mais rapidamente do que os reguladores se harmonizam.

O teste de 2026 será se a próxima rodada de fiscalização com implementação de regras de viagem mais rígidas, congelamentos mais agressivos de stablecoins e ações multilaterais contínuas comprimirá a janela de lavagem o suficiente para que atores estatais sofisticados enfrentem atritos proibitivos.

Ou, alternativamente, se eles se aprofundam em jurisdições com supervisão fraca e continuam a financiar operações através do roubo de criptomoedas.

A resposta determinará se a indústria pode confiar na conformidade como defesa central ou se precisa de mudanças arquitetônicas que fortaleçam as pontes, limitem a exposição a carteiras quentes e criem uma melhor coordenação de resposta a incidentes nos próprios protocolos.