Instytucjonalny posiadacz kryptowalut miał rzekomo stracić około 2,84 miliona dolarów w wyniku domniemanego ataku przeprowadzonego przez powiązaną z Koreą Północną grupę hakerską SquidSquad.
Podsumowanie
- Instytucjonalny posiadacz kryptowalut miał rzekomo stracić około 2,84 miliona dolarów w wyniku ataku z 8 października na BNB Chain.
- 20 października napastnik miał rzekomo zdeponować 1111,2 ETH w Tornado Cash, a następnie wypłacić środki na trzy oddzielne adresy Ethereum i później przenieść je do Tron za pośrednictwem USDT0.
- ZachXBT zidentyfikował dwa portfele Tron, które otrzymały środki i miały styczność z wcześniej przypisanymi adresami północnokoreańskimi.
- Tożsamość poszkodowanej instytucji oraz metoda wykorzystania jej aktywów pozostają nieujawnione.
Badacz blockchain ZachXBT ujawnił domniemaną kradzież 21 października, wskazując 8 października jako datę incydentu w BNB Smart Chain i szczegółowo opisując serię transakcji, które rzekomo przeniosły zyski przez kilka portfeli, zanim trafiły do chińskich dealerów kryptowalut działających na rynku OTC.
Według badacza najnowsza aktywność miała miejsce 20 października, kiedy napastnik zdeponował 1111,2 ETH w Tornado Cash, a następnie wypłacił środki na trzy oddzielne adresy Ethereum.
Śledztwo zidentyfikowało powiązania finansowe między portfelami użytymi w transferach a adresami wcześniej przypisanymi północnokoreańskim operatorom. Jednak ustalenia pozostają przypisaniem on-chain, a tożsamość poszkodowanej instytucji nie została publicznie ujawniona.
Skradzione środki SquidSquad przechodzą przez Tornado Cash
Po domniemanej kradzieży z 8 października napastnik najwyraźniej zachował kontrolę nad zyskami aż do najnowszego ruchu, który polegał na konwersji lub przeniesieniu aktywów do Ethereum przed wysłaniem ich przez protokół prywatności.
Analiza transakcji ZachXBT zidentyfikowała trzy adresy, które otrzymały środki wypłacone z Tornado Cash. Z tych portfeli aktywa zostały przeniesione z Ethereum do Tron za pomocą USDT0, wersji stablecoina Tether powiązanego z dolarem, zaprojektowanej do transferów między obsługiwanymi sieciami blockchain.
Transfery ostatecznie zgromadziły środki na dwóch adresach Tron, zidentyfikowanych przez badacza jako TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU i TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.
Oba portfele miały rzekomo styczność transakcyjną z adresami wcześniej powiązanymi z północnokoreańskimi operacjami kryptowalutowymi. ZachXBT nie wskazał w dostarczonych ustaleniach konkretnych wcześniejszych incydentów powiązanych z tymi adresami.
W ciągu kilku minut od konsolidacji środki przeszły przez portfele pośredniczące, zanim dotarły do adresów przypisanych chińskim dealerom OTC.
Badacz podejrzewał, że szybkie transfery miały na celu uniknięcie potencjalnego zamrożenia przez Tether, który może ograniczyć USDT przechowywane na adresach w obsługiwanych blockchainach.
Chociaż śledztwo prześledziło zgłoszone ruchy do miejsc docelowych OTC, publiczne ustalenia nie określiły, czy operatorzy zakończyli konwersję na walutę fiducjarną, ani czy jakakolwiek część skradzionych aktywów została następnie zamrożona.
Północnokoreańskie sieci prania pieniędzy pozostają pod obserwacją
Najnowszy przypadek następuje po śledztwie z 5 października, w którym ZachXBT powiedział, że przeniknął do podejrzanej sieci prania kryptowalut powiązanej z północnokoreańską grupą Lazarus.
Jak crypto.news wcześniej informowało, badacz powiedział, że wydał 349 700 dolarów, podszywając się pod klienta, aby prześledzić transakcje związane z kradzieżą 1,5 miliarda dolarów z Bybit w 2025 roku.
Jego ustalenia zidentyfikowały domniemaną chińską operację, która przetworzyła ponad 1 miliard dolarów w ramach wielu exploitów kryptowalutowych, chociaż deklarowany rozmiar sieci nie został niezależnie potwierdzony przez publicznie dostępne amerykańskie rejestry egzekwowania prawa.
Podczas tego śledztwa ZachXBT powiedział, że zidentyfikował ponad 12 milionów dolarów środków powiązanych z Bybit przemieszczających się między różnymi blockchainami. Według jego relacji Tether następnie zamroził 442 000 USDT powiązanych z portfelami ujawnionymi podczas operacji.
Badacz nie ustalił publicznie udokumentowanego związku między operatorami zidentyfikowanymi w tym śledztwie a dealerami OTC zaangażowanymi w najnowszy trop transakcji SquidSquad.
Transfery przez Tornado Cash następują po innych podejrzanych atakach powiązanych z KRLD
Oddzielne śledztwa dotyczące kradzieży kryptowalut udokumentowały podobne przepływy przez Tornado Cash, w tym transakcje obejmujące aktywa skradzione z Drift Protocol na początku tego roku.
20 października portfele powiązane z exploitem Drift Protocol przeniosły około 25 700 ETH, o wartości 61,56 mln dolarów, do protokołu prywatności po okresie ograniczonej aktywności.
Drift poniósł straty szacowane na 285 mln dolarów w kwietniu, a późniejsze śledztwo kryminalistyczne przeprowadzone przez firmę cyberbezpieczeństwa Mandiant przypisało atak grupie UNC6862, północnokoreańskiej grupie zagrożeń.
Transfery z Drift zgłoszono tego samego dnia co ruchy zidentyfikowane w sprawie SquidSquad, choć śledczy nie ustalili, że obie transakcje obejmowały tych samych operatorów lub były skoordynowane.
Oddzielne śledztwo dotyczące ataku na Radiant Capital w 2024 r. udokumentowało użycie Tornado Cash po tym, jak napastnicy ukradli około 50 mln dolarów z protokołu pożyczkowego.
Zgodnie z późniejszymi ujawnieniami Radiant Capital, napastnicy przejęli uprawnienia do podpisywania i zastąpili kontrakt implementacyjny puli pożyczkowej. Śledczy ds. cyberbezpieczeństwa później powiązali incydent z północnokoreańskimi operatorami.
Do października 2025 r. firma zajmująca się bezpieczeństwem blockchain CertiK zidentyfikowała 2 834 ETH zdeponowane w Tornado Cash z portfeli powiązanych z atakiem, przy czym uważa się, że około 10,8 mln dolarów przeszło przez mikser.
Radiant ogłosił w czerwcu 2026 r., że zakończy działalność po tym, jak nie zdołał odzyskać sił po kradzieży i zabezpieczyć wystarczającego finansowania na kontynuowanie rozwoju.
Podejrzenie, że SquidSquad używa podszywania się i złośliwego oprogramowania
Ocena zagrożeń kryptowalutowych ze strony KRLD z 2026 r. wykazała, że SquidSquad był powiązany z kampaniami wymierzonymi w założycieli kryptowalut, kadrę kierowniczą i zamożnych inwestorów.
Badacze powiązali grupę z rodzinami złośliwego oprogramowania, w tym RustBucket, SwiftBucket i NimDoor, jednocześnie identyfikując Tornado Cash wśród usług używanych do przenoszenia skradzionych funduszy.
Podobne metody pojawiły się w innych północnokoreańskich kampaniach hakerskich, przy czym grupa Lazarus wymierzona w kadrę kierowniczą kryptowalut poprzez fałszywe zaproszenia na spotkania i złośliwe oprogramowanie macOS, zgodnie z kwietniowym śledztwem firmy cyberbezpieczeństwa CertiK.
