FBI apreendeu 15,1 milhões de moeda estável! Hackers da Coreia do Norte infiltraram 136 empresas americanas, segredos expostos

O Departamento de Justiça dos EUA anunciou na semana passada que apresentou um pedido para confiscar 15,1 milhões de dólares em moeda estável Tether USDT, que foram apreendidos de hackers norte-coreanos associados à organização APT38. Ao mesmo tempo, quatro cidadãos americanos e um nacional ucraniano confessaram, reconhecendo que ajudaram pessoal de TI da Coreia do Norte a infiltrar-se em 136 empresas nos Estados Unidos, o que gerou mais de 2,2 milhões de dólares em receitas para o regime norte-coreano.

FBI apreendeu 15.1 milhões de dólares USDT moeda estável

(Fonte: Departamento de Justiça dos EUA)

O Departamento de Justiça dos EUA anunciou no dia 14 de novembro que entrou com duas ações civis de confisco, tentando apreender Tether moeda estável USDT no valor de 15,1 milhões de dólares, que foi roubada por hackers da Coreia do Norte em 2023. As criptomoedas apreendidas são provenientes da APT38, um grupo de hackers militares da Coreia do Norte que, em 2023, realizou atividades de roubo contra quatro plataformas de criptomoedas estrangeiras. O FBI apreendeu esses fundos em março de 2025 e atualmente está buscando a aprovação do tribunal para confiscar esses ativos, a fim de devolvê-los às vítimas.

As moedas estáveis apreendidas desta vez vêm de quatro eventos, embora o anúncio não tenha especificado quais são esses quatro, as pistas indicam que podem incluir: em novembro de 2023, a exchange Poloniex foi atacada por hackers, resultando em perdas de mais de 100 milhões de dólares; em julho de 2023, a empresa de criptomoedas CoinsPaid foi atacada por hackers, resultando em perdas de 37 milhões de dólares; no mesmo mês, o processador de pagamentos Alphapo teve perdas de cerca de 60 milhões de dólares; e um caso não especificado de “roubo de cerca de 138 milhões de dólares de uma exchange de criptomoedas no Panamá em novembro de 2023”. O Departamento de Justiça dos EUA ainda não confirmou publicamente quais eventos estão cobertos pelo processo de apreensão.

O caso de moedas estáveis como ferramenta de lavagem de dinheiro destaca mais uma vez a urgência da regulamentação de ativos digitais. Moedas estáveis como USDT, devido à sua característica de estar atrelada ao dólar na proporção de 1:1, são extremamente convenientes em transferências internacionais, mas também se tornaram a ferramenta preferida de organizações criminosas para lavagem de dinheiro. A entidade declarou: “O trabalho de rastrear, apreender e confiscar as criptomoedas virtuais roubadas continua, pois os membros da APT38 continuam a lavar dinheiro através de várias pontes de criptomoeda, misturadores, exchanges e traders de balcão.”

A operação de apreensão desta vez mostra que, embora as transações de moeda estável na blockchain tenham anonimato, a capacidade de rastreamento das autoridades de aplicação da lei está aumentando. Através de ferramentas de análise on-chain e colaboração com as exchanges, o FBI conseguiu rastrear o fluxo de moeda estável roubada e, finalmente, congelar esses ativos. Isso é uma boa notícia para os usuários legítimos de moeda estável, mas também serve como um lembrete de que a pressão regulatória sobre a moeda estável em relação à lavagem de dinheiro continuará a aumentar.

Cidadãos americanos se tornam traidores para ajudar a infiltração da Coreia do Norte

Na sexta-feira, o Departamento de Justiça dos EUA também anunciou que obteve a confissão de quatro cidadãos americanos e um nacional ucraniano, que admitiram ter ajudado trabalhadores de TI da Coreia do Norte a obter empregos em empresas dos EUA fraudando através da provisão de identidades roubadas e laptops de empresas de hospedagem. Os quatro cidadãos americanos – Audrick Fagner-Sai, de 24 anos, Jason Salazar, de 30 anos, Alexander Paul Travis, de 34 anos e Eric Entkreiser Prince, de 38 anos – confessaram ter cometido conspiração para fraude em telecomunicações.

Eles fornecem suas informações de identidade aos trabalhadores norte-coreanos e colocam os laptops fornecidos pela empresa em suas casas, fazendo com que esses trabalhadores pareçam estar trabalhando nos Estados Unidos. Esse modo de operação é extremamente discreto, os profissionais de TI da Coreia do Norte realmente trabalham remotamente em Pyongyang ou em outros locais, mas, através da identidade e conexão de cidadãos americanos, aparecem como funcionários locais no sistema da empresa. Essa tática não apenas contorna as restrições legais sobre a contratação de estrangeiros, mas também torna ineficazes as verificações de antecedentes da empresa.

O cidadão ucraniano Oleksandr Didenko confessou no dia 10 de novembro, reconhecendo a culpa por conspiração de fraude de telecomunicações e roubo de identidade grave, acusação pela qual obteve informações de identidade de cidadãos americanos e as vendeu a profissionais de TI da Coreia do Norte. Didenko ajudou norte-coreanos a conseguir emprego em 40 empresas americanas e concordou, como parte de um acordo de confissão, em abdicar de mais de 1,4 milhão de dólares em bens. Este caso mostra que o programa de infiltração de TI da Coreia do Norte já formou uma cadeia de indústria, com pessoas responsáveis por roubo de identidade, hospedagem remota de dispositivos e recebimento de salários.

O Departamento de Justiça dos EUA afirmou que esses planos afetaram mais de 136 empresas americanas, gerando mais de 2,2 milhões de dólares em receita para o regime da Coreia do Norte e revelando a identidade de mais de 18 cidadãos americanos. Embora 2,2 milhões de dólares não sejam uma quantia grande em relação ao tamanho da economia, os riscos estratégicos trazidos por essa infiltração superam em muito as perdas econômicas. Os profissionais de TI da Coreia do Norte podem ter acesso a tecnologias sensíveis, dados de clientes e até informações relacionadas à defesa.

Métodos principais do plano de infiltração de TI da Coreia do Norte

Roubo de identidade: roubar ou comprar informações de identidade de cidadãos americanos

Hospedagem Remota: Cidadãos americanos hospedam laptops fornecidos pela empresa em casa.

Localização Falsa: Fazendo parecer que trabalhadores da Coreia do Norte estão localizados nos EUA através de um endereço IP americano.

Transferência de Salário: Transferir salários de volta para a Coreia do Norte através de uma rede financeira complexa.

Revelação da cadeia de crimes de criptomoedas da Coreia do Norte

A Coreia do Norte está cada vez mais dependente de roubos de criptomoeda e de programas de trabalhadores remotos de TI para gerar receita, o que viola as sanções internacionais. O FBI, o Departamento do Tesouro e o Departamento de Estado dos EUA alertaram em um relatório consultivo publicado em 2022 que os trabalhadores de TI da Coreia do Norte podem gerar uma renda de até 300 mil dólares por ano, tendo canalizado centenas de milhões de dólares para programas operados pelo Ministério da Defesa da Coreia do Norte. Essa fonte de receita é crucial para o regime norte-coreano, que enfrenta severas sanções internacionais.

De acordo com a análise da Elliptic, apenas em 2025, hackers da Coreia do Norte roubaram mais de 2 bilhões de dólares em criptomoedas, tornando o regime uma das operações de roubo de criptomoedas mais prolíficas do mundo. Esse número supera em muito os tradicionais grupos de crime cibernético, mostrando que a Coreia do Norte já considera o roubo de criptomoedas como um recurso estratégico de nível nacional. Grupos de hackers como o APT38 recebem apoio militar, possuindo alta capacidade técnica e investimento financeiro contínuo.

As moedas estáveis desempenham um papel crucial nessas atividades criminosas. Em comparação com a volatilidade dos preços do Bitcoin e do Ethereum, a característica das moedas estáveis de estar atreladas ao USD as torna mais adequadas como ferramentas para transferir e armazenar fundos roubados. Os hackers costumam converter as criptomoedas roubadas em moedas estáveis e, em seguida, realizam lavagem de dinheiro através de misturadores e pontes entre cadeias. Essa abordagem permite manter a estabilidade do valor e aproveitar o anonimato da blockchain para evitar rastreamento.

No entanto, os emissores de moeda estável estão a fortalecer a colaboração com as autoridades de aplicação da lei. A Tether já assistiu várias vezes na congelamento de USDT relacionados a atividades criminosas, e desta vez o FBI conseguiu apreender 15,1 milhões de dólares USDT, o que também demonstra que o mecanismo de colaboração entre as autoridades de aplicação da lei e os emissores de moeda estável está a amadurecer. Para os usuários legítimos, isso é uma faca de dois gumes: por um lado, aumenta a segurança e a conformidade da moeda estável, por outro lado, também significa que as transações de moeda estável não são completamente não rastreáveis.

A cadeia de crimes de criptomoedas da Coreia do Norte já está altamente desenvolvida, incluindo vários aspectos como ataques hacker, lavagem de dinheiro, roubo de identidade e infiltração remota em TI. Organizações como a APT38 são responsáveis por atacar bolsas de criptomoedas e protocolos DeFi, roubando fundos e convertendo moeda estável em dinheiro ou outros ativos difíceis de rastrear através de redes de lavagem de dinheiro especializadas. Trabalhadores de TI remotos fornecem uma fonte contínua de receita e podem fornecer informações internas para ações de hackers.

Regulação de moedas estáveis e medidas de prevenção empresarial

Este caso serve de alerta para a indústria das moedas estáveis e para as empresas empregadoras. Para os emissores de moedas estáveis, a pressão para conformidade com as regras de combate à lavagem de dinheiro e sanções continuará a aumentar. O Escritório de Controle de Ativos Estrangeiros do Tesouro dos EUA (OFAC) já colocou vários endereços de criptomoeda relacionados à Coreia do Norte na lista negra, e os emissores de moedas estáveis precisam monitorar esses endereços em tempo real e congelar os fundos relacionados.

Para as empresas, prevenir a infiltração de pessoal de TI da Coreia do Norte tornou-se um novo desafio de segurança. As investigações de antecedentes tradicionais podem não conseguir identificar trabalhadores remotos que utilizam identidades roubadas. As empresas precisam reforçar os processos de autenticação, incluindo entrevistas por vídeo, autenticação multifator e monitoramento comportamental contínuo. Para cargos que lidam com informações sensíveis, pode ser necessário exigir que os funcionários trabalhem no escritório ou passem por revisões de segurança mais rigorosas.

A ação do Departamento de Justiça dos Estados Unidos demonstra que as autoridades de aplicação da lei estão combatendo a atividade criminosa relacionada a criptomoedas da Coreia do Norte em vários níveis. Além de rastrear e apreender moedas estáveis roubadas, também estão desmantelando a infraestrutura que apoia essas atividades, incluindo redes de roubo de identidade e serviços de hospedagem remota. As penas que os cinco réus enfrentam enviarão um forte aviso a outros potenciais colaboradores.