---
title: "Cripto e Ransomware: As Tendências Mais Comuns"
description: "WannaCry, Colonial Pipeline, LockBit, Change Healthcare — quem é realmente o responsável e por que culpar os meios de pagamento pelo crime é a batalha errada."
language: pt
published: 2026-05-02
author: Netts
topic: "Insights"
canonical: https://netts.io/blog/crypto-and-ransomware-most-common-tendencies?lang=pt
languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl]
translation_outdated: false
---
# Cripto e Ransomware: As Tendências Mais Comuns

WannaCry, Colonial Pipeline, LockBit, Change Healthcare — quem é realmente o responsável e por que culpar os meios de pagamento pelo crime é a batalha errada.

A nota de resgate está na sua tela e você está vivenciando isso como uma catástrofe, o que é plenamente compreensível, pois de fato é. Mas, ao mesmo tempo, em algum outro lugar alguém está lidando com isso como uma simples chamada de suporte ao cliente. Eles escreveram um modelo padrão. Você tem até mesmo uma equipe de prontidão aguardando sua solicitação. Isso inclui tabelas de preços, um processo de negociação e o que acontece caso você perca o prazo de pagamento. Alguns deles possuem classificação cinco estrelas, onde afiliados avaliam plataformas de ransomware do mesmo modo que freelancers avaliam softwares de gestão de projetos.

Esse abismo — entre como o evento é percebido sob a sua perspectiva e como ele é visto pelo lado deles — é onde reside grande parte do que torna o ransomware algo tão instigante. Os detalhes técnicos, os nomes dos exploits, as quantias financeiras: tudo isso é apenas a estrutura óssea. O movimento real é impulsionado pela psicologia do que acontece em ambos os lados dessa transação.

O ransomware não é uma produção artesanal. Aqueles que lideram operações sérias se consideram empreendedores que solucionaram um gargalo de distribuição. O produto já existe — um software que criptografa arquivos e gera poder de barganha — e eles só precisam de um meio para convertê-lo em renda com plausível negação de autoria sem serem pegos.

Isso foi resolvido de forma elegante pela ascensão do modelo conhecido como ransomware-as-a-service, que no início dos anos 2020 se consolidou como a arquitetura predominante do setor; o time principal desenvolve e mantém tanto o malware quanto a infraestrutura (incluindo o processamento de pagamentos em criptomoedas) enquanto fica com uma porcentagem de cada resgate pago com sucesso (normalmente vinte por cento). Os afiliados cuidam das invasões. A equipe central sequer toca a rede da vítima. O gerenciamento de chaves de descriptografia nunca é um problema para os afiliados. Isso é a divisão de trabalho — aplicada à extorsão.

As comunicações internas do grupo cibercriminoso Conti, vazadas em fevereiro de 2022 logo após o início da invasão russa e antes de o grupo declarar apoio formal à Rússia, trouxeram uma visão extraordinariamente transparente de como essas organizações operam. As conversas revelavam disputas de RH. Negociações salariais. Pedidos de suporte técnico para novas contratações. Debates sobre condições de trabalho e retenção de talentos. Uma equipe de liderança sobrecarregada, concentrada em métricas de produtividade, recrutamento/gestão de afiliados e planos de continuidade de negócios. Os operadores do Conti gerenciavam uma empresa de software — cujo produto pulverizava hospitais e municípios, mas cujo cotidiano corporativo era tão similar a qualquer outra empresa de tecnologia que os e-mails da administração poderiam facilmente ter saído do Slack de uma startup qualquer. É um detalhe pouco avaliado, mas que deveria preocupar muito mais as pessoas.

## O que a Vítima Decide

Em maio de 2021, Joseph Blount autorizou o pagamento de $4,4 milhões em Bitcoins ao grupo de ransomware DarkSide. Mais tarde, ele prestaria depoimento ao Senado sobre essa resolução. Ele afirmou ter aprovado a transação porque não possuía uma noção exata da profundidade da invasão nem de quanto tempo levaria para recuperar a infraestrutura de forma autônoma, acrescentando que essa fora uma das decisões mais difíceis de sua carreira.

Algo que ele não declarou nem redigiu, mas que se lê nas entrelinhas de suas declarações, é a real sensação interna durante essa tomada de decisão. A Colonial Pipeline não estava pagando por uma chave de descriptografia. Estava pagando para interromper uma sensação — o peso de ser responsabilizada, em tempo real, pelo desabastecimento de combustível que já se alastrava pela costa leste, pelo pânico dos consumidores, pelas filas nos postos de gasolina e pela cobertura midiática que havia transformado um incidente operacional local em uma crise política nacional. O cálculo de $4,4 milhões não foi estritamente racional. Foi o preço para poder afirmar, ao menos para si mesmo, que tentou.

![Cripto e Ransomware: As Tendências Mais Comuns](https://netts.io/blog/images/body/c97527d2a1bcab0f83632cd1a3052ad28e154f42-1019.webp)

Os operadores de ransomware sabem como vender essa proposta. A capacidade de recuperação é o produto nominal. O que se comercializa de fato é o alívio de uma pressão insuportável: a percepção de que a continuidade de uma catástrofe depende de uma escolha feita naquele exato momento, sob incerteza extrema, com dados incompletos e sob os olhares atentos de acionistas, órgãos reguladores e repórteres. Mesmo para empresas que teoricamente poderiam restaurar seus sistemas via backups, o custo desse alívio mostra-se consideravelmente alto. Reconstruir leva semanas. A cobrança é imediata.

O FBI conseguiu reaver cerca de $2,3 milhões do montante pago pela Colonial ao confiscar a chave privada vinculada à carteira onde o DarkSide havia alocado os fundos — uma recuperação que enfatizou, com fatos concretos, que o pseudonimato do Bitcoin não equivale a anonimato absoluto. O caso também evidenciou um aspecto mais sutil: após autorizar o pagamento, Blount sentiu um alívio momentâneo, uma reação pouco lógica diante do cenário, mas profundamente humana. Ainda que infundado, o alívio foi real.

As vítimas que optam por não pagar encaram uma variação singular dessa mesma dinâmica psicológica. Elas tomam uma decisão fundamentada para, nas semanas seguintes, constatar que (1) os custos são bem superiores ao estimado; (2) os planos de redundância e backup não eram tão sólidos quanto supunham; (3) os prazos apresentados pela consultoria de resposta a incidentes eram otimistas demais; e, finalmente, surge um fato desconfortável que redefine permanentemente o modo como clientes, funcionários e órgãos fiscalizadores avaliam a marca. O padrão se mantém. O impacto final supera o que fora planejado. A maioria sustenta em retrospecto que faria exatamente a mesma coisa — a clássica justificativa de quem tenta convencer a si próprio.

O modelo de dupla extorsão consolidado como padrão no início dos anos 2020 — exfiltrar antes de criptografar e associar o bloqueio de dados à ameaça de exposição pública — não foi uma inovação técnica. Foi um avanço de ordem psicológica. Trata-se de um vetor de ataque que backups convencionais não resolvem. O risco de vazamento de prontuários médicos, remunerações de funcionários, contratos com terceiros ou e-mails de executivos é imune a controles puramente técnicos. O impacto é redirecionado: não afeta apenas a operação, mas mina a reputação, o sigilo e a confiança associada a eles. Os atacantes conheciam o valor do seu produto melhor do que as próprias vítimas.

## Geografia da Impunidade

O LockBit era conduzido por operadores que estavam longe de ser figuras anônimas para as forças policiais. No último mês de uma operação internacional coordenada e expressiva — chefiada pela National Crime Agency do Reino Unido — para desmantelar os servidores do LockBit em fevereiro de 2024, o líder foi identificado: Dmitry Khoroshev, um russo de trinta e um anos. Sua foto foi publicada. Seus bens foram listados. O Departamento de Justiça dos EUA formalizou uma acusação. O OFAC impôs sanções financeiras. Era, basicamente, um cartaz de procurado internacional completo.

Khoroshev segue livre. Ele vive na Rússia, país que não extradita seus cidadãos por crimes cibernéticos caso os sistemas atingidos pertençam a outras jurisdições. É sob essa premissa que opera toda a engrenagem do ecossistema de ransomware.

Historicamente, a regra básica das autoridades russas em relação ao ransomware sempre foi clara: alvos na Rússia ou sob sua área de influência são intocáveis; incidentes em qualquer outro ponto do planeta não são considerados prioridade. A verificação do layout de teclado em cirílico fazia parte do código de versões preliminares usadas pelo Conti: caso o teclado do alvo estivesse configurado em russo, o malware abortava o processo. Não se tratava de lealdade patriótica, mas de pura conformidade operacional. O grupo protegia a própria atuação garantindo que ela ocorresse dentro de limites geopolíticos tolerados pelo governo local.

![Cripto e Ransomware: As Tendências Mais Comuns](https://netts.io/blog/images/body/a3800141307cceb5b47b3dd6385908675a241a47-1075.webp)

A consequência disso é óbvia: os legisladores que elaboram respostas institucionais ao ransomware em Washington, Bruxelas e Londres atuam contra um setor cujos reais mandantes permanecem praticamente inalcançáveis. Tudo isso forma um cenário compreensível: as detenções que de fato ocorrem — alguns afiliados isolados na Polônia, membros do REvil detidos na Rússia durante um raro momento de cooperação internacional no início de 2022, ou operadores ocidentais que calcularam mal sua exposição jurídica local — são desvios marginais na periferia do ecossistema. Onde o núcleo esteve (e sempre estará).

Essa assimetria jurisdicional pauta todas as diretrizes da formulação de políticas públicas. Se as ferramentas disponíveis não permitem atingir os verdadeiros autores, redefine-se o que é considerado uma resposta viável. Washington tem respondido intensificando a regulação sobre o mercado de criptomoedas. Existem alternativas como exigências rígidas de segurança para infraestruturas críticas, porém estas tramitam lentamente, geram atritos corporativos e obrigam a encarar uma constatação amarga: a coparticipação estatal — agências públicas que mantiveram redes com brechas conhecidas por anos, marcos de conformidade brandos para setores essenciais e vulnerabilidades que decorrem de escolhas das próprias entidades que agora se propõem a resolvê-las.

É muito mais conveniente culpar o canal de liquidação financeira.

## O Papel dos Reguladores

Aquele tipo de audiência legislativa que fatalmente se desenrola após um ataque grave de ransomware contra setores essenciais. O presidente da organização afetada presta depoimento. É questionado de forma incisiva sobre por que optou pelo resgate. Ele explica que agiu conforme as recomendações que recebeu. É cobrado sobre a ausência de backups mais eficientes. Aponta que os dados estavam parcialmente corrompidos ou que restaurá-los naquele intervalo seria inviável. Em seguida, os questionamentos recaem sobre o uso das criptomoedas. Ele formula uma resposta vaga, da maneira recomendada pela assessoria jurídica para conter riscos regulatórios.

Seria ingenuidade crer que os congressistas que conduzem a sabatina são desinformados. Eles contam com relatórios detalhados. A finalidade ali não é investigar fatos, mas sim construir uma narrativa: estabelecer uma causa pontual e simples de assimilar para seus eleitores — sustentando que as medidas propostas equivalem a um combate direto ao problema do ransomware.

No âmbito da tramitação legislativa, criptoativos são um problema palpável. Trata-se de uma indústria sediada sob seu raio de ação, dotada de entidades setoriais para contrapor, sujeita a obrigações normativas ampliadas e capaz de gerar dados de fiscalização adequados a um balanço de mandato. Esse retorno visível não pode ser obtido atuando contra hackers via confrontos interestatais ou operações de inteligência, muito menos por vias diplomáticas e pedidos de extradição internacional.

Ao longo de anos, os participantes do mercado de ativos digitais argumentaram que coagir as criptomoedas não extinguirá o ransomware — visto que extorsões digitais existiam antes do Bitcoin, os criminosos recorreriam a métodos alternativos de transferência e os envolvidos residem em regiões que ignoram as regras financeiras norte-americanas. O raciocínio é sólido. No entanto, demonstrar coerência lógica não basta na arena política — exatamente onde essa clareza mais seria demandada —, mantendo sua ineficácia prática. As propostas precisam servir aos propósitos dos tomadores de decisão presentes na sala.

![Cripto e Ransomware: As Tendências Mais Comuns](https://netts.io/blog/images/body/3193439234b3c459e19f0cf820d9d510673b0b2e-803.webp)

A conduta do BlackCat no incidente da Change Healthcare em fevereiro de 2024 ilustra um impasse inteiramente diferente, imune a qualquer modelo de conformidade normativa. O BlackCat captou cerca de $22 milhões do grupo controlador da Change Healthcare. Pouco depois, executou um exit scam: o administrador reteve os fundos e desativou a estrutura, deixando o afiliado sem qualquer pagamento pelo ataque realizado. Revoltado com a quebra do acordo, o afiliado começou a coagir com o vazamento do material obtido de qualquer forma. Os mandantes do ransomware lesaram os próprios comparsas operacionais. Diante de desdobramentos dessa natureza, a regulação tradicional simplesmente não encontra pontos de contato.

## O Impacto no Usuário Comum

Usuários comuns que utilizam criptomoedas para finalidades produtivas — transferências em stablecoins, operações em DeFi, remessas internacionais e comércio rotineiro — absorvem um impacto dessa narrativa que raramente é examinado a fundo. São esses agentes que arcam financeiramente com a resposta regulatória criada para ilícitos que não praticaram e dos quais não auferem qualquer vantagem.

Isso estimula uma reação defensiva latente no setor sempre que episódios de ransomware ganham os jornais. O profissional que liquida uma transferência mercantil legítima com USDT se vê nivelado institucionalmente a um grupo cibercriminoso com o qual não possui ligação alguma. Os desenvolvedores de uma rede precisam reiterar perante o público que contratos inteligentes não têm ingerência sobre como são utilizados por terceiros em negociações ilícitas. Em razão de eventos ocorridos fora de seus domínios, por agentes distintos e circuitos financeiros paralelos, o uso legal de criptoativos é submetido a custos mais elevados e vigilância desmedida.

Essa postura defensiva frequentemente tem efeito adverso — parece insegura em vez de convicta, e seus defensores acabam por vezes hiperbolizando argumentos, o que enfraquece a credibilidade da tese. Contudo, a frustração subjacente tem fundamento. Exige-se que arquem com imposições criadas para neutralizar delitos alheios, enquanto os formuladores dessas exigências não precisam justificar tais custos aos pagadores, uma vez que esse público não integra a base de eleitores para a qual prestam contas.

Existe uma dimensão cotidiana nisso, referente a como os utilizadores de criptoativos justificam seu uso no círculo interpessoal. Precisam distinguir aspectos que para si são evidentes, mas complexos para o interlocutor leigo. Buscam esclarecer por que executar um pagamento comercial em blockchain pública nada tem a ver com pagar resgates a redes hospitalares invadidas. As ponderações procedem. É exaustivo sustentá-las repetidamente, mas a distinção só interessa àqueles que realmente se dispõem a compreender o contexto.

O próprio episódio do WannaCry traz lições claras a esse respeito. O incidente ocasionou prejuízos calculados em centenas de milhões de dólares atingindo entidades como o NHS, Telefónica, FedEx, Deutsche Bahn e diversas outras corporações. Apesar disso, arrecadou de fato apenas algumas dezenas de milhares de dólares em pagamentos, já que os autores perderam a capacidade de processar o volume de chaves solicitadas pelas vítimas. Um jovem de vinte e dois anos chamado Marcus Hutchins neutralizou a praga ao registrar um domínio ausente que era consultado pelas linhas do código, acionando sem querer um kill switch incorporado pelos criadores enquanto trabalhava em seu quarto em Devon. A conjuntura geopolítica revelava o uso de um exploit desenvolvido por agências estatais contra alvos globais, em um conflito alheio ao Bitcoin. O que ficou sedimentado na percepção popular, no entanto, foi apenas: os hackers exigiam Bitcoin.

## Por Que Isso Continua

Em 2023, o volume de valores destinados a ransomware computado pela Chainalysis ultrapassou um bilhão de dólares — o primeiro ano registrado a cruzar essa marca. Em 2024, esses pagamentos apresentaram retração de aproximadamente 35 por cento, resultado tanto da pressão policial sobre grupos proeminentes quanto da maturidade de corporações que passaram a recusar os pagamentos. Nenhum desses fatores, no entanto, sinaliza a superação das vulnerabilidades estruturais.

O LockBit sofreu intervenção, teve parte de seus servidores confiscada, seu operador exposto e sancionado — e retomou ações parciais dias depois. Por mais de seis meses, a partir de meados de 2022, agentes do FBI mantiveram acesso velado à infraestrutura do Hive, distribuindo chaves de decodificação aos alvos enquanto monitoravam a rede até o confisco definitivo de ativos no início deste ano. Quando ocorreu a invasão em larga escala via MOVEit Transfer em 2023, o grupo Cl0p já operava puramente por vazamento de dados — sem qualquer criptografia envolvida, sem arquivos a descriptografar, bastando invadir sistemas alheios, extrair arquivos sigilosos e utilizar o receio da exposição pública para exigir valores. O segmento cibercriminoso altera táticas com velocidade superior ao tempo de resposta regulatório — firmas de contenção reagem com incentivos diretos, enquanto as normas estatais seguem trâmites burocráticos distintos.

Backups isolados da rede, autenticação multifator, rotinas de correção de software, microssegmentação e soluções de detecção em endpoints constituem medidas triviais, práticas e discretas de segurança que trariam impacto real na queda de incidentes. Tais práticas não extinguem os invasores, mas elevam substancialmente o esforço exigido em cada investida, incentivando organizações a resistir sem ceder à extorsão. Elas exigem planejamento contínuo e alocação orçamentária consistente — uma alternativa menos atrativa midiaticamente do que lançar portarias regulatórias para repercussão imediata, sem custo visível de manutenção.

Restringir criptoativos não protegerá instituições de saúde operando softwares desatualizados em redes desprovidas de segmentação. O trilho financeiro é apenas um componente em meio a uma série de fragilidades acumuladas que deram margem ao desfecho. Quanto menor o empenho necessário para abordar os elos acessórios, mais visibilidade eles recebem.

![Cripto e Ransomware: As Tendências Mais Comuns](https://netts.io/blog/images/body/d80a61f759f8c4645d714b8d410b5cf457bd804a-1234.webp)

Para quem opera com stablecoins na rede TRON — por demandas alheias a esses embates —, a Netts.io reúne cotações de Energy em tempo real de provedores como JustLend, Trongas, Catfee, Sohu, APITRX e pools privados para localizar e direcionar o volume transacionado ao menor custo de TRON Energy disponível no momento: chegando a valores competitivos de 25 sun por unidade de Energy — cerca de 75% mais econômico em comparação à taxa de queima tradicional de TRX, garantindo delegação imediata para as transações e dispensando o stake/congelamento de TRX. O serviço pode ser utilizado por meio de um bot funcional no Telegram, sem necessidade de interface web. Se a finalidade de uma operação tem conexão com ransomware não é um ponto passível de verificação pela precificação de energia. Ao menos, o sistema resolve diretamente o custo da transação.