Projeto Ketman: Como 100 Agentes da Coreia do Norte se Infiltraram na Web3
Cem agentes da Coreia do Norte. Cinquenta e três projetos de cripto. Seis meses de um trabalho de inteligência paciente — e a conclusão desconfortável de que o ataque mais perigoso da RPDC à Web3 não é o próximo exploit, mas o engenheiro que já mesclou código na sua branch main no último trimestre.
Essa é a principal descoberta do Projeto Ketman, uma iniciativa apoiada pela Ethereum Foundation que opera sob o programa de segurança ETH Rangers. Sua divulgação em abril de 2026 não descreve um hack. Descreve uma força de trabalho — um pipeline de mão de obra de longo prazo que tem canalizado silenciosamente a receita da RPDC a partir de folhas de pagamento de cripto, enquanto planta o tipo de acesso interno que torna eventos como o assalto de $ 1,5 bilhão à Bybit possíveis, em primeiro lugar.
Para uma indústria condicionada a pensar no risco da RPDC como algo que acontece na multisig, esta é uma mudança de categoria. A ameaça não é mais apenas "eles vão invadir". É "eles já estão dentro e escreveram o script de build".
De Roubos Rápidos a Salários
Durante anos, a face pública do crime de cripto da Coreia do Norte foi o exploit: Ronin, Atomic Wallet, WazirX e uma longa série de drenagens de bridges atribuídas ao Lazarus Group. Os números são impressionantes — a Chainalysis contabilizou cerca de 6,75 bilhões, apesar de 74 % menos ataques conhecidos. Pagamentos maiores, menos tentativas.
O incidente da Bybit em fevereiro de 2025 — $ 1,5 bilhão em ETH, drenados por meio de uma UI de Safe Wallet comprometida que alimentava JavaScript malicioso a partir de uma máquina de desenvolvedor — foi a demonstração mais clara de para onde isso está indo. Não foi um bug de contrato inteligente. Foi um comprometimento da cadeia de suprimentos. Alguém, em algum lugar upstream, tinha um acesso que não deveria ter.
A contribuição do Projeto Ketman é mapear o lado do trabalho dessa economia. Ao longo de uma investigação de seis meses, identificou aproximadamente 100 trabalhadores de TI da RPDC distintos operando dentro de organizações Web3 e notificou cerca de 53 projetos afetados. Muitos desses agentes estavam infiltrados por meses, em alguns casos anos, ocupando cargos que variavam de engenheiros terceirizados a líderes de comunidade com acesso elevado a repositórios.
Se você assumir um salário anual conservador de 15 milhões por ano — um item de linha modesto ao lado de um único assalto do Lazarus, mas um fluxo de receita estruturalmente diferente. É recorrente. É pré-financiado pelas empresas vítimas. E paga pelo acesso que torna os assaltos possíveis.
O Que Torna o Ketman Diferente
Exposições anteriores da RPDC na Web3 — Munchables ($ 62 milhões em 2024), incidentes com prestadores de serviço adjacentes à Sushi, o comprometimento da Axie Infinity / Ronin — foram em grande parte reativas. Um protocolo era atingido. Os investigadores seguiam o fio. Um padrão surgia.
O Ketman inverte o fluxo de trabalho. Em vez de mapear um único incidente de volta a um agente, o projeto mapeou os próprios agentes e depois avançou para os projetos que eles haviam tocado. A metodologia, embora não totalmente pública, baseia-se em uma série de técnicas que a comunidade forense on-chain vem refinando desde o relatório CrowdStrike DPRK de 2024:
- Agrupamento de carteiras vinculadas. Salários pagos em stablecoins eventualmente se consolidam. Uma vez que você encontra uma carteira em um cluster de ganhos da RPDC, você encontra o restante.
- Análise de fuso horário de commits. Um desenvolvedor que afirma morar em Lisboa e que apenas faz commits durante o horário comercial de Pyongyang, estatisticamente falando, não está em Lisboa.
- Correspondência de padrões OPSEC. Avatares reutilizados em contas do GitHub, configurações padrão de idioma russo no IDE de um engenheiro "japonês", vazamentos acidentais de e-mail durante compartilhamentos de tela — pequenos deslizes que se agregam em uma identificação de alta confiança.
- Forense de documentos de identidade. O Ketman sinalizou identidades japonesas forjadas como um vetor particularmente comum para contratações de engenharia remota em empresas de cripto.
O resultado é algo que o aviso para trabalhadores de TI do FBI de 2024 e as ações de sanções da OFAC de março de 2026 não poderiam produzir por conta própria: uma lista de pessoas, atualmente empregadas, atualmente enviando código, que não deveriam estar lá.
A Cadeia de Suprimentos é Agora a Superfície de Ataque
Aqui está a parte que deve tirar o sono dos CTOs. Um agente na folha de pagamento por nove meses não precisa hackear nada. Ele precisa esperar e, então, fazer o merge.
Os vetores são pouco espetaculares e bem conhecidos por qualquer pessoa que tenha lido um post-mortem nos últimos três anos:
- Um pacote npm republicado silenciosamente com um script pós-instalação malicioso.
- Uma GitHub Action com permissões mais amplas do que qualquer um revisou.
- Uma imagem base do Docker atualizada para uma versão com uma camada extra.
- Uma dependência de UI "inofensiva" que observa um formato de transação específico e a reescreve.
O ataque à Bybit foi a prova de conceito em escala: um ambiente de desenvolvedor comprometido, uma carga útil injetada em uma UI de carteira, signatários aprovando o que parecia ser uma transação legítima. Se esse comprometimento específico se originou com um infiltrado da RPDC ou com um prestador de serviço pescado externamente é debatido, mas a arquitetura do ataque — paciente, upstream e acionada apenas no momento de valor máximo — é o manual que as descobertas do Ketman implicam em escala industrial.
Quando você emprega um agente por um ano, você não está pagando a ele $ 150 mil. Você está pagando por um clique, daqui a seis meses, em uma transação que vale dez mil vezes isso.
Por que a Fundação Ethereum Financiou a Ofensiva
O sinal institucional mais marcante na divulgação do Ketman não é o número de funcionários. É o financiador.
A Fundação Ethereum historicamente direcionou verbas de subsídios para pesquisa de protocolo, diversidade de clientes, bens públicos e ferramentas para desenvolvedores. Financiar o que é, efetivamente, uma operação de inteligência ofensiva — pesquisadores financiados identificando indivíduos nomeados ligados a um estado sancionado e, em seguida, alertando empresas privadas — é uma ampliação notável da definição de "bem público".
O ETH Rangers, o programa mais amplo no qual o Ketman está inserido, relata o tipo de métricas que você esperaria de uma empresa de segurança em vez de uma fundação: 17 pesquisadores financiados, US$ 5,8 milhões em fundos explorados recuperados ou congelados, mais de 785 vulnerabilidades rastreadas, 36 respostas a incidentes. Isso é um centro de operações de segurança disfarçado de programa de subsídios.
A implicação é que a fundação agora trata a segurança da informação (infosec) defensiva como algo análogo à diversidade de clientes — um problema de coordenação que nenhum protocolo individual pode resolver e que o ecossistema mais amplo precisa financiar, independentemente de aparecer ou não em um roadmap. Dado que os atores da Coreia do Norte (RPDC) roubaram cumulativamente mais de US$ 6,75 bilhões e continuam a aumentar esse valor, é difícil argumentar contra essa perspectiva.
O Que os Protocolos Devem Operacionalizar Agora
Se você gerencia, financia ou contribui para um projeto Web3, a divulgação do Ketman converte uma ameaça vaga em um checklist operacional imediato. Nenhuma dessas medidas é exótica. O escândalo é que elas ainda não são universais.
Conheça Seu Funcionário (KYE), não apenas Conheça Seu Cliente (KYC). A verificação de sanções na camada da carteira é o básico. A verificação de sanções na camada da folha de pagamento — passando cada endereço de pagamento de contratados por listas agrupadas pela OFAC — não é, mas deveria ser. O ciclo de lavagem de 45 dias após o roubo que a RPDC usa consistentemente significa que mesmo as correspondências de carteira feitas após o fato têm valor.
Verifique a identidade com fricção, especialmente para contratações remotas. Entrevistas em vídeo ao vivo usando múltiplos canais de comunicação. Escrutínio de documentos que assume que IDs japoneses, coreanos e do Leste Europeu são os alvos mais prováveis de falsificação. Sondagem ativa de artefatos de deepfake gerados por IA durante as chamadas. O "teste Kim Jong Un" — fazer perguntas diretas sobre o regime da RPDC que um agente real terá dificuldade visível para responder diante da câmera — tem uma taxa de sucesso maior do que deveria.
Trate seu pipeline de CI / CD como sua tesouraria. Assinatura de código para lançamentos. Builds reproduzíveis. Revisão obrigatória por duas pessoas para qualquer alteração no GitHub Actions, scripts de implantação ou manifestos de dependência. Fixe as versões (pin versions). Audite dependências transitivas. O ataque à Bybit aconteceu porque alguém, em algum lugar, tinha acesso de gravação a uma UI na qual os signatários confiavam.
Isole as operações de chaves administrativas (Air-gap). Se um único laptop de desenvolvedor comprometido pode produzir uma perda de US$ 1,5 bilhão, o modelo de ameaça está errado. Fluxos de assinatura isolados por hardware, detecção de assinatura cega (blind-signing) e simulação de transação antes da assinatura não são paranoia — são o custo de fazer negócios em escala.
Assuma que o mau ator já está lá dentro. A descoberta do Ketman é que, para pelo menos 53 projetos, isso era verdade. Defesa em profundidade significa projetar como se cada commit pudesse ser hostil e cada contratado pudesse ser uma fachada, tornando essa suposição sobrevivente em vez de catastrófica.
A Guerra Silenciosa é a Guerra Real
A aplicação de sanções persegue os eventos barulhentos. As designações da OFAC em março de 2026 de seis indivíduos e duas entidades ligadas à fraude de trabalhadores de TI da RPDC — esquemas que geraram quase US 5,8 milhões em fundos que o ETH Rangers ajudou a recuperar. Ambos são necessários.
Mas a contribuição do Projeto Ketman é insistir que os eventos mais barulhentos — os casos Bybit, Ronin, Munchables — são consequência de um evento mais silencioso. A infiltração é a campanha. O exploit é apenas quando ela é monetizada.
Para a Web3, isso significa que o perímetro de segurança mudou. Ele não está mais no limite do contrato ou na UI da carteira. Está na candidatura de emprego, no commit do GitHub, no npm publish. E o custo de fingir o contrário agora é denominado em bilhões por ano.
Os protocolos que sobreviverão à próxima década serão aqueles que internalizarem uma verdade dura: em uma indústria onde o código é dinheiro e o trabalho remoto é o padrão, seu funil de contratação é a sua superfície de ataque.
BlockEden.xyz opera infraestrutura de RPC e indexação de nível de produção para Sui, Aptos, Ethereum, Solana e uma dúzia de outras redes — o tipo de infraestrutura onde a integridade da cadeia de suprimentos, lançamentos assinados e operações de chaves isoladas não são opcionais. Explore nosso marketplace de APIs para construir em uma infraestrutura projetada para o modelo de ameaça que a indústria realmente enfrenta.