Grupa SquidSquad powiązana z Koreą Północną podejrzewana o kradzież 2,84 mln USD z BNB Chain

Instytucjonalny posiadacz kryptowalut rzekomo stracił około 2,84 miliona dolarów w wyniku ataku podejrzewanej grupy hakerskiej SquidSquad powiązanej z Koreą Północną.

Podsumowanie

• Instytucjonalny posiadacz kryptowalut rzekomo stracił około 2,84 miliona dolarów w ataku na BNB Chain 8 października.
• 20 października napastnik rzekomo wpłacił 1 111,2 ETH do Tornado Cash, a następnie wypłacił środki na trzy adresy Ethereum, a następnie przelał je na Tron za pośrednictwem USDT0.
• ZachXBT zidentyfikował dwa portfele Tron, które otrzymały środki i miały powiązania z wcześniej przypisanymi adresami północnokoreańskimi.
• Tożsamość dotkniętej instytucji oraz metoda użyta do skompromitowania jej aktywów pozostają nieujawnione.

Śledczy blockchain ZachXBT ujawnił podejrzewaną kradzież 21 października, identyfikując 8 października jako datę incydentu na BNB Smart Chain i szczegółowo opisując szereg transakcji, które rzekomo przeniosły dochody przez kilka portfeli, zanim dotarły do chińskich dealerów kryptowalut OTC.

Według śledczego, ostatnia aktywność miała miejsce 20 października, kiedy napastnik wpłacił 1 111,2 ETH do Tornado Cash, a następnie wypłacił środki na trzy oddzielne adresy Ethereum.

Śledztwo zidentyfikowało finansowe powiązania między portfelami użytymi w transferach a adresami wcześniej przypisanymi do północnokoreańskich operatorów. Jednak wyniki pozostają przypisaniem na łańcuchu, a tożsamość dotkniętej instytucji nie została publicznie ujawniona.

Przenoszenie skradzionych funduszy przez Tornado Cash

Po podejrzewanej kradzieży 8 października, napastnik wydaje się mieć kontrolę nad dochodami aż do najnowszego ruchu, który polegał na konwersji lub transferze aktywów na Ethereum, zanim zostały wysłane przez protokół prywatności.

Analiza transakcji ZachXBT zidentyfikowała trzy adresy, które otrzymały środki wypłacone z Tornado Cash. Z tych portfeli aktywa zostały przetransferowane z Ethereum na Tron za pomocą USDT0, wersji stablecoina Tether, który jest powiązany z dolarem i zaprojektowany do transferów przez wspierane sieci blockchain.

Transfery ostatecznie połączyły fundusze w dwóch adresach Tron, zidentyfikowanych przez śledczego jako TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU i TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.

Oba portfele miały rzekomo ekspozycję transakcyjną na adresy wcześniej związane z północnokoreańskimi operacjami kryptowalutowymi. ZachXBT nie zidentyfikował konkretnych wcześniejszych incydentów związanych z tymi adresami w dostarczonych wynikach.

W ciągu kilku minut po konsolidacji fundusze przeszły przez pośrednie portfele, zanim dotarły do adresów przypisanych chińskim dealerom OTC.

Śledczy podejrzewał, że szybkie transfery miały na celu uniknięcie potencjalnego zamrożenia przez Tether, który może ograniczyć USDT przechowywane na adresach w wspieranych blockchainach.

Chociaż śledztwo prześledziło zgłoszone ruchy do miejsc docelowych OTC, publiczne wyniki nie ustaliły, czy operatorzy zakończyli konwersję na walutę fiducjarną, czy jakakolwiek część skradzionych aktywów została następnie zamrożona.

Północnokoreańskie sieci prania pieniędzy pozostają pod lupą

Najnowsza sprawa następuje po śledztwie z 5 października, w którym ZachXBT powiedział, że zinfiltrował podejrzewaną sieć prania pieniędzy kryptowalut związanych z grupą Lazarus z Korei Północnej.

Jak wcześniej informowało crypto.news, śledczy powiedział, że wydał 349 700 dolarów, udając klienta, aby prześledzić transakcje związane z kradzieżą 1,5 miliarda dolarów z Bybit w 2025 roku.

Jego ustalenia zidentyfikowały rzekomą chińską operację, która przetworzyła ponad 1 miliard dolarów w ramach wielu eksploatacji kryptowalut, chociaż twierdzony rozmiar sieci nie został niezależnie potwierdzony przez publicznie dostępne amerykańskie dokumenty egzekucyjne.

Podczas tego śledztwa ZachXBT stwierdził, że zidentyfikował ponad 12 milionów dolarów w funduszach powiązanych z Bybit, które przemieszczały się przez różne blockchainy. Tether następnie zablokował 442 000 USDT związanych z portfelami ujawnionymi podczas operacji, według jego relacji.

Śledczy nie ustalili publicznie udokumentowanego połączenia między operatorami zidentyfikowanymi w tym śledztwie a dealerami OTC zaangażowanymi w najnowszy ślad transakcji SquidSquad.

Przelewy Tornado Cash po innych podejrzanych atakach związanych z DPRK

Osobne śledztwa dotyczące kradzieży kryptowalut udokumentowały podobne ruchy przez Tornado Cash, w tym transakcje związane z aktywami skradzionymi z Drift Protocol na początku tego roku.

20 października portfele związane z exploitem Drift Protocol przelały około 25 700 ETH, o wartości 61,56 miliona dolarów, do protokołu prywatności po okresie ograniczonej aktywności.

Drift poniósł straty szacowane na 285 milionów dolarów w kwietniu, a późniejsze śledztwo kryminalistyczne przeprowadzone przez firmę cyberbezpieczeństwa Mandiant przypisało atak grupie zagrożeń UNC6862 z Korei Północnej.

Przelewy Drift zostały zgłoszone w tym samym dniu, co ruchy zidentyfikowane w sprawie SquidSquad, chociaż śledczy nie ustalili, że obie transakcje były związane z tymi samymi operatorami lub były skoordynowane.

Osobne śledztwo dotyczące ataku na Radiant Capital w 2024 roku udokumentowało wykorzystanie Tornado Cash po tym, jak napastnicy skradli około 50 milionów dolarów z protokołu pożyczkowego.

Według późniejszych ujawnień Radiant Capital, napastnicy skompromitowali uprawnienia do podpisywania i zastąpili kontrakt implementacji puli pożyczkowej. Śledczy cyberbezpieczeństwa później połączyli incydent z operatorami z Korei Północnej.

Do października 2025 roku firma zajmująca się bezpieczeństwem blockchain CertiK zidentyfikowała 2834 ETH wpłacone do Tornado Cash z portfeli związanych z atakiem, przy czym około 10,8 miliona dolarów miało przejść przez mikser.

Radiant ogłosił w czerwcu 2026 roku, że zakończy działalność po niepowodzeniu w odzyskaniu skradzionych funduszy i zabezpieczeniu wystarczającego finansowania na kontynuację rozwoju.

SquidSquad podejrzewany o użycie podszywania się i złośliwego oprogramowania

Ocena zagrożeń kryptowalutowych DPRK z 2026 roku wykazała, że SquidSquad był powiązany z kampaniami skierowanymi przeciwko założycielom kryptowalut, dyrektorom i zamożnym inwestorom.

Według raportu grupa często podszywa się pod inwestorów venture capital, inwestorów i kontakty biznesowe, zanim spróbuje rozprowadzić złośliwe dokumenty lub oprogramowanie za pośrednictwem platform komunikacyjnych, takich jak Telegram i LinkedIn.

Badacze powiązali grupę z rodzinami złośliwego oprogramowania, w tym RustBucket, SwiftBucket i NimDoor, identyfikując Tornado Cash jako jedną z usług używanych do przenoszenia skradzionych funduszy.

Podobne metody pojawiły się w innych kampaniach hakerskich Korei Północnej, przy czym grupa Lazarus celowała w dyrektorów kryptowalut za pomocą fałszywych zaproszeń na spotkania i złośliwego oprogramowania macOS, według kwietniowego śledztwa przeprowadzonego przez firmę cyberbezpieczeństwa CertiK.