Grupo vinculado a Corea del Norte, SquidSquad, sospechoso de robo de $2.84 millones en BNB Chain

Un tenedor institucional de criptomonedas ha perdido aproximadamente $2.84 millones en un ataque sospechoso del grupo de hackers SquidSquad, vinculado a Corea del Norte.

Resumen

• Un tenedor institucional de criptomonedas perdió aproximadamente $2.84 millones en un ataque al BNB Chain el 8 de octubre.
• El 20 de octubre, el atacante depositó 1,111.2 ETH en Tornado Cash antes de retirar los fondos a tres direcciones de Ethereum y posteriormente transferirlos a Tron a través de USDT0.
• ZachXBT identificó dos billeteras de Tron que recibieron los fondos y que tenían exposición a direcciones previamente atribuidas a Corea del Norte.
• La identidad de la institución afectada y el método utilizado para comprometer sus activos no se han revelado.

El investigador de blockchain ZachXBT divulgó el robo sospechoso el 21 de octubre, identificando el 8 de octubre como la fecha del incidente en BNB Smart Chain y detallando una serie de transacciones que supuestamente movieron los ingresos a través de varias billeteras antes de que llegaran a los comerciantes de criptomonedas OTC en China.

Según el investigador, la última actividad tuvo lugar el 20 de octubre, cuando el atacante depositó 1,111.2 ETH en Tornado Cash y posteriormente retiró los fondos a tres direcciones de Ethereum separadas.

La investigación identificó conexiones financieras entre las billeteras utilizadas en las transferencias y direcciones previamente atribuidas a operadores norcoreanos. Sin embargo, los hallazgos siguen siendo una atribución en cadena, y la identidad de la institución afectada no se ha divulgado públicamente.

Los fondos robados de SquidSquad se mueven a través de Tornado Cash

Tras el robo sospechoso del 8 de octubre, el atacante parece haber mantenido el control de los ingresos hasta el último movimiento, que involucró convertir o transferir los activos a Ethereum antes de enviarlos a través del protocolo de privacidad.

El análisis de transacciones de ZachXBT identificó tres direcciones que recibieron fondos retirados de Tornado Cash. Desde esas billeteras, los activos fueron transferidos de Ethereum a Tron usando USDT0, una versión de la stablecoin vinculada al dólar de Tether diseñada para transferencias a través de redes blockchain soportadas.

Las transferencias finalmente reunieron los fondos en dos direcciones de Tron, identificadas por el investigador como TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU y TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.

Ambas billeteras supuestamente tenían exposición a transacciones con direcciones previamente asociadas a operaciones de criptomonedas norcoreanas. ZachXBT no identificó los incidentes anteriores específicos conectados a esas direcciones en los hallazgos proporcionados.

En cuestión de minutos tras la consolidación, los fondos pasaron por billeteras intermediarias antes de llegar a direcciones atribuidas a comerciantes OTC en China.

El investigador sospechó que las rápidas transferencias estaban destinadas a evitar un posible congelamiento por parte de Tether, que puede restringir USDT mantenido en direcciones en blockchains soportadas.

Aunque la investigación rastreó los movimientos reportados hasta destinos OTC, los hallazgos públicos no establecieron si los operadores habían completado una conversión a moneda fiat o si alguna parte de los activos robados había sido posteriormente congelada.

Las redes de lavado norcoreanas han permanecido bajo escrutinio

El último caso sigue a una investigación del 5 de octubre en la que ZachXBT dijo haber infiltrado una red sospechosa de lavado de criptomonedas conectada al Grupo Lazarus de Corea del Norte.

Como informó anteriormente crypto.news, el investigador dijo que gastó $349,700 haciéndose pasar por un cliente para rastrear transacciones asociadas con el robo de $1.5 mil millones de Bybit en 2025.

Sus hallazgos identificaron una operación supuestamente china que había procesado más de $1 mil millones a través de múltiples explotaciones de criptomonedas, aunque el tamaño reclamado de la red no fue confirmado de manera independiente por registros de aplicación de la ley disponibles públicamente.

Durante esa investigación, ZachXBT dijo que identificó más de 12 millones de dólares en fondos vinculados a Bybit moviéndose a través de diferentes blockchains. Posteriormente, Tether congeló 442,000 USDT asociados con billeteras descubiertas durante la operación, según su relato.

El investigador no ha establecido una conexión documentada públicamente entre los operadores identificados en esa investigación y los comerciantes OTC involucrados en la última pista de transacciones de SquidSquad.

Las transferencias de Tornado Cash siguen otros ataques sospechosos vinculados a la RPDC

Investigaciones separadas sobre robos de criptomonedas han documentado movimientos similares a través de Tornado Cash, incluidas transacciones que involucran activos robados del Drift Protocol a principios de este año.

El 20 de octubre, billeteras asociadas con la explotación del Drift Protocol transfirieron aproximadamente 25,700 ETH, valorados en 61.56 millones de dólares, al protocolo de privacidad después de un período de actividad limitada.

Drift sufrió pérdidas estimadas en 285 millones de dólares en abril, con una posterior investigación forense por parte de la firma de ciberseguridad Mandiant atribuyendo el ataque a UNC6862, un grupo de amenazas norcoreano.

Las transferencias de Drift se informaron el mismo día que los movimientos identificados en el caso de SquidSquad, aunque los investigadores no han establecido que las dos transacciones involucraran a los mismos operadores o fueran coordinadas.

Una investigación separada sobre el ataque a Radiant Capital en 2024 documentó el uso de Tornado Cash después de que los atacantes robaran aproximadamente 50 millones de dólares del protocolo de préstamos.

Según las divulgaciones posteriores de Radiant Capital, los atacantes comprometieron los permisos de firma y reemplazaron un contrato de implementación de pool de préstamos. Los investigadores de ciberseguridad más tarde conectaron el incidente con operadores norcoreanos.

Para octubre de 2025, la firma de seguridad blockchain CertiK había identificado 2,834 ETH depositados en Tornado Cash desde billeteras asociadas con el ataque, con aproximadamente 10.8 millones de dólares que se cree que pasaron por el mezclador.

Radiant anunció en junio de 2026 que cerraría operaciones después de no poder recuperarse del robo y asegurar suficiente financiamiento para continuar el desarrollo.

SquidSquad sospechoso de usar suplantación e malware

Una evaluación de amenazas de criptomonedas de la RPDC de 2026 encontró que SquidSquad estaba asociado con campañas dirigidas a fundadores de criptomonedas, ejecutivos e inversores adinerados.

Según el informe, el grupo comúnmente se hace pasar por capitalistas de riesgo, inversores y contactos comerciales antes de intentar distribuir documentos o software maliciosos a través de plataformas de mensajería como Telegram y LinkedIn.

Los investigadores vincularon al grupo con familias de malware que incluyen RustBucket, SwiftBucket y NimDoor, mientras identificaban a Tornado Cash entre los servicios utilizados para mover fondos robados.

Métodos similares han aparecido en otras campañas de hackeo norcoreanas, con el Lazarus Group apuntando a ejecutivos de criptomonedas a través de invitaciones a reuniones falsas y software malicioso para macOS, según una investigación de abril de la firma de ciberseguridad CertiK.