O Escritório de Controle de Ativos Estrangeiros (OFAC) do Departamento do Tesouro dos EUA anunciou sanções contra 10 indivíduos e uma organização. Segundo o Tesouro dos EUA, esses indivíduos e a organização ajudaram a criar e manter redes internacionais de trabalhadores de TI operando sob o controle do governo norte-coreano. Participantes desses esquemas usavam documentos falsificados e identidades de outras pessoas para conseguir empregos em empresas nos EUA e em outros países, e então transferiam o dinheiro ganho ao governo norte-coreano. As sanções também atingiram indivíduos acusados de organizar a conversão de fundos, transferências de criptomoedas e a coordenação dessas equipes.
As novas sanções
A lista de indivíduos e organizações sancionados pela OFAC inclui trabalhadores de TI, líderes de equipe, intermediários financeiros e entidades relacionadas que operavam na Coreia do Norte e na Rússia.
O anúncio publicado traz detalhes sobre várias transações em criptomoedas:
- O cidadão russo Vitold Viktorovich Obertas é acusado de realizar operações de câmbio de criptomoedas no valor de quase $2M para representantes norte-coreanos desde janeiro de 2025, além de outras operações cambiais no valor de pelo menos $1.25M.
- Kim Ki Hyok é acusado de transferir criptomoedas no valor de quase $500,000 para uma equipe de trabalhadores de TI que atua na Rússia desde 2024.
- Kim Hyo Dong é acusado de fornecer apoio organizacional a outra equipe e ajudar a transferir ativos financeiros no valor de mais de $100,000.
- O cidadão russo Ilya Aleksandrovich Boykov é acusado de ajudar uma organização ligada a essa atividade a realizar operações de câmbio e transferências de criptomoedas no valor de cerca de $3.5M desde 2024.
- A organização First Financial and Technical Development Center (FFTDC) é acusada de hospedar trabalhadores de TI norte-coreanos na Rússia. Segundo os dados publicados, desde 2025 seus funcionários geraram coletivamente mais de $750,000 em receita para o governo norte-coreano.
Análise das conexões entre os endereços sancionados
A lista de sanções SDN atualizada, mantida pela OFAC, passou a incluir oito endereços de ativos digitais ligados aos indivíduos e organizações sancionados. Esses endereços pertencem a duas redes de blockchain - Ethereum e TRON.
Uma análise da movimentação de fundos mostra que há conexões perceptíveis entre esses endereços. Alguns transferiram fundos diretamente uns para os outros, e vários outros enviaram dinheiro para a mesma carteira, usada para financiar uma conta em uma exchange de criptomoedas.
Kim Ki Hyok
Segundo a OFAC, desde 2024 Kim Ki Hyok transferiu criptomoedas no valor de quase $500,000 para uma equipe de trabalhadores de TI que atuava na Rússia. A lista de sanções o vincula ao seguinte endereço na Ethereum:
Este é o endereço mais simples de toda a lista, com a atividade mais limitada: existiu por apenas dois dias e realizou apenas uma transação - enviou 50,000 DAI para uma exchange de criptomoedas.
Os fundos primeiro passaram pelo endereço intermediário 0x4865773f498186d838fe47227804a158cbed51de. Em 31 de agosto, quatro endereços diferentes enviaram a ele um total de cerca de 100,000 DAI. Em 9 de setembro, às 06:46, essa carteira intermediária enviou 50,000 DAI para o endereço listado na lista de sanções junto ao nome de Kim Ki Hyok. Cerca de seis minutos depois, chegaram mais 0.001 ETH - o valor necessário para pagar a taxa da transação. No dia seguinte, às 09:39, o endereço vinculado a Kim transferiu todos os 50,000 DAI para um endereço de depósito na exchange Bybit: 0x197c6c66d9fc674d496ee232f418bd6f6013a13b.
Ilya Aleksandrovich Boykov
Segundo a OFAC, desde 2024 o cidadão russo Ilya Boykov ajudou uma organização ligada a essa atividade a realizar operações de câmbio e transferências de criptomoedas no valor de cerca de $3.5M. A lista de sanções o vincula aos seguintes endereços na Ethereum:
Uma análise do endereço 0x12Ea8 mostra que esteve ativo de 10 de novembro de 2022 a 25 de agosto de 2025. Durante esse período, recebeu um total de 49.5767 ETH, 4.7 milhões de USDC, 4.63 milhões de USDT e 10.22 milhões de DAI.
Os fundos desse endereço foram então retirados em quatro direções claramente identificáveis:
- 50.54% dos fundos - cerca de $9.88M - foram transferidos diretamente para o endereço de depósito da exchange Bybit 0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510, vinculado a Boykov e Obertas. A maior transferência individual foi de 511,000 USDC, feita em 12 de junho de 2024. Além disso, outros 13.67 ETH chegaram ao mesmo endereço de depósito.
- 20.47% dos fundos - cerca de $4M - foram enviados para outro endereço de depósito da Bybit: 0x197c6c66d9fc674d496ee232f418bd6f6013a13b. Ao todo, foram feitas 31 transações.
- 28.88% dos fundos - cerca de $5.65M - foram para dois endereços de depósito na exchange HTX: 0xee60121c763143a4fb17735ab86b5f0fc5cb1800 e 0x7f78ddf455f9f8eef56c4c9f76b5d53c75dc54ee. A primeira transferência ocorreu em 22 de junho de 2023. Depois disso, os fundos continuaram chegando a esses endereços sem interrupção por mais de dois anos.
- Os 0.05% restantes dos fundos - $9,870 - foram enviados para um endereço de depósito da Binance: 0x4941c9481e9bb27b74be4e2b6c6fa349f8be99d5.
Endereço compartilhado de Boykov e Obertas
0x761edd5e4546229a0bd35ae99b4d3d01cf4a3510 - este endereço está identificado como uma carteira de depósito da exchange Bybit. A OFAC o listou oficialmente nas entradas de sanções tanto de Obertas quanto de Boykov.
Observando a composição dos fundos recebidos, 128 transações do endereço de Boykov 0x12Ea80238C7d805D003ce793594e92d84A6f4E8d representaram 77% de todos os fundos recebidos por essa carteira. Essas transferências foram feitas entre 22 de junho de 2023 e 25 de julho de 2025. O rastreamento adicional dos fundos ao longo da cadeia de transações também revelou vínculos com endereços identificados como pertencentes à Coreia do Norte.
A lista de sanções da OFAC também inclui dois endereços na TRON junto ao nome de Boykov:
O endereço TQKoDq5aCrWAciiNtete5pDYVN38i4qFN1 é a primeira carteira de Boykov na TRON. Seu volume de transações é relativamente pequeno, mas a movimentação dos fundos pode ser rastreada com bastante clareza. De 2 de dezembro de 2022 a 21 de dezembro de 2025, recebeu um total de 873,675 USDT. A maior transferência de saída foi de 257,732 USDT: o dinheiro foi enviado diretamente para o endereço de depósito de Obertas na Bybit - TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg. O restante dos fundos foi distribuído em várias direções.
O endereço TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3 é uma carteira posterior de Boykov na TRON, onde os fundos foram concentrados em grau muito maior. É também o ponto de contato mais direto entre Boykov e Obertas. De 21 de março de 2024 a 6 de dezembro de 2025, recebeu um total de 1.62 milhões de USDT. Em três meses, 1.4 milhões de USDT - 86.2% de todos os fundos recebidos - foram enviados a partir dessa carteira. O dinheiro saiu em sete transações, e em cada uma delas o destinatário foi o endereço de depósito de Obertas na Bybit: TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg. A maior parte dos fundos chegou à carteira de clientes que transferiram valores de médio porte.
As transferências diretas entre esses dois endereços na TRON e a carteira TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg permitem rastrear o vínculo entre os endereços que a OFAC listou junto ao nome de Boykov e os endereços vinculados a Obertas.
Além do endereço compartilhado na Ethereum, que a lista de sanções inclui junto a Boykov e Obertas, a OFAC listou mais três endereços na TRON vinculados a Obertas:
O endereço TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT está identificado como uma carteira de depósito da exchange HTX. Ao longo de 11 meses - de 10 de setembro de 2024 a 28 de agosto de 2025 - recebeu um total de 9.16 milhões de USDT.
O endereço TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm participou de inúmeras transações de entrada e saída. A análise mostra que, de 7 de novembro de 2022 a 25 de fevereiro de 2026, recebeu cerca de 11.09 milhões de USDT, após os quais os fundos foram transferidos para outros endereços. Desse montante, cerca de 2.58 milhões de USDT foram para o próprio endereço de depósito de Obertas na Bybit - TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg. Outros 1.08 milhões de USDT, aproximadamente, foram enviados para seu endereço de depósito na HTX - TCV4qdpTxoMyqkn7sSPeRrXmhH5JFxMvmT. Essas duas transferências vinculam o endereço TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm a outras duas carteiras de Obertas na lista de sanções.
A maior transferência recebida veio do endereço TEvYL8PU8EiC84kAoN67ZhHyUgPfvgVoD8. Ela totalizou 1,242,541 USDT. O histórico de transações dessa carteira é relativamente complexo.
O endereço TFksjBcHPYqgAax2USheQuaT1ydRKyZRdg está identificado como uma carteira de depósito da exchange Bybit. De 7 de março de 2023 a 31 de outubro de 2026, recebeu um total de cerca de 31.02 milhões de USDT.
A segunda maior fonte de fundos para esse endereço foi a própria carteira de Obertas TQCBdU4K92oxLAkzwexZpqVZJhmPbtLYMm, da qual foram transferidos 2.58 milhões de USDT. A sexta maior fonte foi o endereço de Boykov TXmrnVgsqCMJncYHTXchuJ5z111BXSj4g3, que enviou 1.4 milhões de USDT.
Em conjunto, os dados de transações na Ethereum e na TRON permitem identificar vários tipos de vínculos entre os endereços que podem ser confirmados ou rastreados:
- O endereço Ethereum 0x761ed está listado na lista de sanções ao lado de Boykov e Obertas. Anteriormente, cerca de $9.88M chegaram a ele a partir da carteira 0x12Ea8 de Boykov.
- Fundos foram transferidos dos endereços Ethereum vinculados a Boykov e Kim para a carteira 0x197c6. Ao mesmo tempo, esse endereço em si não está entre as oito carteiras publicadas pela OFAC como parte dessa medida de sanções.
- USDT foi transferido de ambos os endereços TRON de Boykov para o endereço de depósito da Bybit TFksj, vinculado a Obertas.
- USDT foi transferido do endereço TQCBd de Obertas para seu próprio endereço de depósito da Bybit TFksj e para o endereço de depósito da HTX TCV4q.
Como operam as redes de trabalhadores de TI norte-coreanos
Esses esquemas geralmente começam com o que parece ser um processo totalmente comum de contratação de um funcionário remoto. Uma empresa publica uma vaga, recebe currículos, realiza entrevistas, depois envia um computador ao novo contratado e paga um salário mensal. O problema é que a pessoa do outro lado da tela pode não ser, de forma alguma, o candidato indicado no currículo.
Alguns trabalhadores de TI norte-coreanos usam documentos de identidade roubados, emprestados ou falsificados para conseguir empregos remotos. Eles também criam endereços de e-mail e contas em redes sociais correspondentes e preparam biografias profissionais e históricos de trabalho. Para ocultar sua localização real, alguns usam VPNs, redes de proxy ou a ajuda de intermediários baseados nos países onde as empresas contratantes operam. Os computadores que as empresas enviam aos funcionários podem primeiro ser entregues a residentes locais ou às chamadas «fazendas de laptops», e só depois serem usados por operadores remotos no exterior. Como resultado, os endereços, dados pessoais e localizações de dispositivos que a empresa vê podem não ter nenhuma relação com o local onde a pessoa realmente trabalha.
Esses esquemas geralmente exigem coordenação entre vários participantes. Alguns fornecem ou alugam identidades de outras pessoas, outros recebem e armazenam computadores, ajudam a abrir contas de pagamento ou gerenciam equipes e transferem o dinheiro ganho. Os intermediários podem saber exatamente quem estão ajudando, ou podem acreditar que estão prestando serviços comuns de recebimento de pagamentos, estabelecimento de contatos comerciais ou organização de trabalho remoto.
A renda nesses esquemas geralmente vem na forma de um salário por trabalho remoto ou pagamento por projetos concluídos. O dinheiro pode ser transferido por meio de contas bancárias de terceiros, plataformas de pagamento e endereços de carteiras cripto. Alguns dos indivíduos na lista de sanções da OFAC foram acusados separadamente de ajudar a trocar criptomoedas, transferir fundos ou gerenciar equipes.
Uma abordagem mais prática para as empresas é, portanto, a verificação abrangente da identidade de um funcionário, o controle sobre a entrega de dispositivos, a gestão de contratados e a limitação das permissões de sistema. É necessário verificar não apenas quem exatamente está realizando o trabalho, mas também a quais dados e sistemas essa pessoa pode ter acesso.
