与朝鲜有关的SquidSquad涉嫌盗取284万美元的BNB链资金

一名机构加密货币持有者据报道在与朝鲜有关的黑客组织SquidSquad的攻击中损失了约284万美元。

摘要

• 一名机构加密货币持有者据报道在10月8日对BNB链的攻击中损失了约284万美元。
• 10月20日，攻击者 reportedly 将1,111.2 ETH存入Tornado Cash，然后将资金提取到三个以太坊地址，并随后通过USDT转移到Tron。
• ZachXBT识别出两个接收资金的Tron钱包，并与之前归因于朝鲜的地址有关联。
• 受影响机构的身份和用于妥协其资产的方法尚未披露。

区块链调查员ZachXBT在10月21日披露了这一涉嫌盗窃事件，确认10月8日是BNB智能链事件的日期，并详细说明了一系列交易，这些交易 allegedly 将收益通过多个钱包转移，最终到达中国的场外加密货币交易商。

根据调查员的说法，最新活动发生在10月20日，当时攻击者将1,111.2 ETH存入Tornado Cash，并随后将资金提取到三个不同的以太坊地址。

调查发现，转账中使用的钱包与之前归因于朝鲜运营商的地址之间存在财务联系。然而，这些发现仍然是链上归因，受影响机构的身份尚未公开披露。

SquidSquad被盗资金通过Tornado Cash转移

在10月8日的涉嫌盗窃之后，攻击者似乎一直控制着收益，直到最新的转移，这涉及将资产转换或转移为以太坊，然后通过隐私协议发送。

ZachXBT的交易分析识别出三个接收从Tornado Cash提取资金的地址。从这些钱包中，资产通过USDT转移从以太坊转至Tron，USDT是Tether的美元挂钩稳定币的一个版本，旨在支持跨区块链网络的转账。

这些转账最终将资金汇聚到两个Tron地址，调查员将其识别为TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU和TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux。

据报道，这两个钱包与之前与朝鲜加密货币操作相关的地址有交易曝光。ZachXBT没有在提供的发现中识别出与这些地址相关的具体早期事件。

在资金整合后的几分钟内，资金通过中介钱包转移，最终到达与中国场外交易商相关的地址。

调查员怀疑，快速转账的目的是为了避免Tether可能的冻结，Tether可以限制在支持的区块链上的地址中持有的USDT。

尽管调查追踪到报告的转移到场外交易目的地，但公开发现并未确定运营商是否完成了法币转换，或被盗资产的任何部分是否随后被冻结。

朝鲜洗钱网络仍在受到审查

最新案件跟随10月5日的调查，ZachXBT表示他已渗透到一个与朝鲜的Lazarus Group有关的涉嫌加密货币洗钱网络。

正如crypto.news之前报道的，调查员表示他花费了349,700美元伪装成客户，以追踪与2025年15亿美元Bybit盗窃相关的交易。

他的发现识别出一个涉嫌的中国操作，该操作在多个加密货币攻击中处理了超过10亿美元，尽管该网络的声称规模并未被公开可用的美国执法记录独立确认。

在这次调查中，ZachXBT表示他识别出超过1200万美元的与Bybit相关的资金在不同区块链之间流动。根据他的说法，Tether随后冻结了与此次行动中发现的钱包相关的442,000 USDT。

调查人员尚未建立该调查中识别的运营商与最新SquidSquad交易链中涉及的场外交易商之间的公开文档连接。

Tornado Cash转账跟随其他疑似与朝鲜有关的攻击

其他加密货币盗窃调查记录了通过Tornado Cash的类似资金流动，包括涉及今年早些时候从Drift Protocol盗取的资产的交易。

10月20日，与Drift Protocol漏洞相关的钱包在一段时间的有限活动后，向隐私协议转移了约25,700 ETH，价值6156万美元。

Drift在4月遭受了估计为2.85亿美元的损失，随后网络安全公司Mandiant的法医调查将此次攻击归因于朝鲜的威胁组织UNC6862。

Drift的转账在与SquidSquad案件中识别的资金流动同一天被报告，尽管调查人员尚未确定这两笔交易是否涉及相同的运营商或是否协调进行。

对2024年Radiant Capital攻击的另一项调查记录了攻击者在从借贷协议盗取约5000万美元后使用Tornado Cash。

根据Radiant Capital后来的披露，攻击者破坏了签名权限并替换了借贷池实施合约。网络安全调查人员随后将该事件与朝鲜运营商联系起来。

到2025年10月，区块链安全公司CertiK已识别出2834 ETH从与攻击相关的钱包存入Tornado Cash，约1080万美元被认为经过了该混合器。

Radiant在2026年6月宣布，由于未能从盗窃中恢复并获得足够的资金以继续开发，将停止运营。

SquidSquad疑似使用冒充和恶意软件

2026年朝鲜加密货币威胁评估发现，SquidSquad与针对加密货币创始人、执行官和富有投资者的活动有关。

根据报告，该组织通常冒充风险投资家、投资者和商业联系人，然后试图通过Telegram和LinkedIn等消息平台分发恶意文档或软件。

研究人员将该组织与包括RustBucket、SwiftBucket和NimDoor在内的恶意软件家族联系在一起，同时识别出Tornado Cash是用于转移被盗资金的服务之一。

类似的方法出现在其他朝鲜黑客活动中，Lazarus Group通过虚假的会议邀请和恶意的macOS软件针对加密货币高管，根据网络安全公司CertiK在4月的调查。