Gruppo SquidSquad legato alla Corea del Nord sospettato di furto di 2,84 milioni di dollari su BNB Chain

Un detentore istituzionale di criptovalute ha riportato di aver perso circa 2,84 milioni di dollari in un attacco sospettato del gruppo di hacker SquidSquad, legato alla Corea del Nord.

Riepilogo

• Un detentore istituzionale di criptovalute ha riportato di aver perso circa 2,84 milioni di dollari in un attacco avvenuto l'8 ottobre su BNB Chain.
• Il 20 ottobre, l'attaccante ha depositato 1.111,2 ETH in Tornado Cash prima di ritirare i fondi su tre indirizzi Ethereum e successivamente trasferirli su Tron tramite USDT0.
• ZachXBT ha identificato due portafogli Tron che hanno ricevuto i fondi e avevano esposizione a indirizzi precedentemente attribuiti alla Corea del Nord.
• L'identità dell'istituzione colpita e il metodo utilizzato per compromettere i suoi beni rimangono non divulgati.

L'investigatore blockchain ZachXBT ha rivelato il furto sospettato il 21 ottobre, identificando l'8 ottobre come la data dell'incidente su BNB Smart Chain e dettagliando una serie di transazioni che avrebbero spostato i proventi attraverso diversi portafogli prima di raggiungere i rivenditori di criptovalute OTC cinesi.

Secondo l'investigatore, l'ultima attività si è verificata il 20 ottobre, quando l'attaccante ha depositato 1.111,2 ETH in Tornado Cash e successivamente ha ritirato i fondi su tre diversi indirizzi Ethereum.

L'indagine ha identificato collegamenti finanziari tra i portafogli utilizzati nei trasferimenti e indirizzi precedentemente attribuiti a operatori nordcoreani. Tuttavia, i risultati rimangono un'attribuzione on-chain e l'identità dell'istituzione colpita non è stata divulgata pubblicamente.

I fondi rubati di SquidSquad si muovono attraverso Tornado Cash

Dopo il sospettato furto dell'8 ottobre, l'attaccante sembra aver mantenuto il controllo dei proventi fino all'ultimo movimento, che ha coinvolto la conversione o il trasferimento degli asset in Ethereum prima di inviarli attraverso il protocollo di privacy.

L'analisi delle transazioni di ZachXBT ha identificato tre indirizzi che hanno ricevuto fondi ritirati da Tornado Cash. Da quei portafogli, gli asset sono stati trasferiti da Ethereum a Tron utilizzando USDT0, una versione della stablecoin ancorata al dollaro di Tether progettata per trasferimenti attraverso reti blockchain supportate.

I trasferimenti hanno infine riunito i fondi in due indirizzi Tron, identificati dall'investigatore come TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU e TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.

Entrambi i portafogli avevano, secondo quanto riportato, esposizione a transazioni con indirizzi precedentemente associati alle operazioni di criptovalute nordcoreane. ZachXBT non ha identificato gli specifici incidenti precedenti collegati a quegli indirizzi nei risultati forniti.

Nel giro di pochi minuti dalla consolidazione, i fondi sono passati attraverso portafogli intermedi prima di raggiungere indirizzi attribuiti a rivenditori OTC cinesi.

L'investigatore sospettava che i trasferimenti rapidi fossero destinati ad evitare un potenziale congelamento da parte di Tether, che può limitare gli USDT detenuti in indirizzi su blockchain supportate.

Sebbene l'indagine abbia tracciato i movimenti riportati verso destinazioni OTC, i risultati pubblici non hanno stabilito se gli operatori avessero completato una conversione in valuta fiat o se una parte dei beni rubati fosse stata successivamente congelata.

Le reti di riciclaggio nordcoreane sono rimaste sotto scrutinio

L'ultimo caso segue un'indagine del 5 ottobre in cui ZachXBT ha dichiarato di aver infiltrato una rete di riciclaggio di criptovalute sospettata di essere collegata al gruppo Lazarus della Corea del Nord.

Come riportato in precedenza da crypto.news, l'investigatore ha dichiarato di aver speso 349.700 dollari fingendosi un cliente per tracciare transazioni associate al furto di 1,5 miliardi di dollari di Bybit nel 2025.

Le sue scoperte hanno identificato un'operazione cinese presunta che aveva elaborato più di 1 miliardo di dollari attraverso molteplici exploit di criptovalute, sebbene la dimensione dichiarata della rete non fosse stata confermata in modo indipendente dai registri di enforcement statunitensi disponibili pubblicamente.

Durante quell'indagine, ZachXBT ha dichiarato di aver identificato oltre 12 milioni di dollari in fondi collegati a Bybit che si muovevano attraverso diverse blockchain. Tether ha successivamente congelato 442.000 USDT associati ai portafogli scoperti durante l'operazione, secondo il suo resoconto.

L'investigatore non ha stabilito un collegamento documentato pubblicamente tra gli operatori identificati in quell'indagine e i rivenditori OTC coinvolti nell'ultima traccia della transazione di SquidSquad.

I trasferimenti di Tornado Cash seguono altri attacchi sospettati di essere legati alla DPRK

Indagini separate sui furti di criptovalute hanno documentato movimenti simili attraverso Tornado Cash, comprese le transazioni che coinvolgono asset rubati dal Drift Protocol all'inizio di quest'anno.

Il 20 ottobre, i portafogli associati all'exploit del Drift Protocol hanno trasferito circa 25.700 ETH, valutati 61,56 milioni di dollari, nel protocollo di privacy dopo un periodo di attività limitata.

Il Drift ha subito perdite stimate in 285 milioni di dollari ad aprile, con un successivo studio forense condotto dalla società di cybersicurezza Mandiant che ha attribuito l'attacco a UNC6862, un gruppo di minaccia nordcoreano.

I trasferimenti del Drift sono stati segnalati lo stesso giorno dei movimenti identificati nel caso di SquidSquad, sebbene gli investigatori non abbiano stabilito che le due transazioni coinvolgessero gli stessi operatori o fossero coordinate.

Un'indagine separata sull'attacco a Radiant Capital del 2024 ha documentato l'uso di Tornado Cash dopo che gli aggressori hanno rubato circa 50 milioni di dollari dal protocollo di prestito.

Secondo le successive divulgazioni di Radiant Capital, gli aggressori hanno compromesso i permessi di firma e sostituito un contratto di implementazione del pool di prestiti. Gli investigatori di cybersicurezza hanno successivamente collegato l'incidente a operatori nordcoreani.

Entro ottobre 2025, la società di sicurezza blockchain CertiK aveva identificato 2.834 ETH depositati in Tornado Cash da portafogli associati all'attacco, con circa 10,8 milioni di dollari ritenuti essere passati attraverso il mixer.

Radiant ha annunciato a giugno 2026 che avrebbe chiuso le operazioni dopo non essere riuscita a recuperare dal furto e a garantire finanziamenti sufficienti per continuare lo sviluppo.

SquidSquad sospettato di utilizzare impersonificazione e malware

Una valutazione della minaccia di criptovalute della DPRK del 2026 ha scoperto che SquidSquad era associato a campagne che prendevano di mira fondatori di criptovalute, dirigenti e investitori facoltosi.

Secondo il rapporto, il gruppo comunemente impersona capitalisti di rischio, investitori e contatti commerciali prima di tentare di distribuire documenti o software dannosi attraverso piattaforme di messaggistica come Telegram e LinkedIn.

I ricercatori hanno collegato il gruppo a famiglie di malware tra cui RustBucket, SwiftBucket e NimDoor, mentre hanno identificato Tornado Cash tra i servizi utilizzati per muovere fondi rubati.

Metodi simili sono apparsi in altre campagne di hacking nordcoreane, con il Lazarus Group che prende di mira dirigenti di criptovalute attraverso inviti a riunioni falsi e software dannoso per macOS, secondo un'indagine di aprile condotta dalla società di cybersicurezza CertiK.