北朝鮮関連のSquidSquadが284万ドルのBNBチェーン盗難に関与している疑い

機関投資家が、北朝鮮関連のハッキンググループSquidSquadによる攻撃で約284万ドルを失ったと報じられています。

概要

• 機関投資家が、10月8日のBNBチェーンへの攻撃で約284万ドルを失ったと報じられています。
• 10月20日、攻撃者は1,111.2 ETHをTornado Cashに預け、その後、資金を3つのEthereumアドレスに引き出し、USDT0を通じてTronに転送したとされています。
• ZachXBTは、資金を受け取った2つのTronウォレットを特定し、以前に北朝鮮のアドレスに関連付けられていたことがあると報告しています。
• 影響を受けた機関の身元や資産を侵害するために使用された方法は公表されていません。

ブロックチェーン調査者のZachXBTは、10月21日に疑わしい盗難を公表し、BNBスマートチェーンでの事件の日付を10月8日と特定し、資金がいくつかのウォレットを通じて移動した一連の取引を詳細に説明しました。

調査者によると、最新の活動は10月20日に発生し、攻撃者は1,111.2 ETHをTornado Cashに預け、その後、資金を3つの異なるEthereumアドレスに引き出しました。

調査では、転送に使用されたウォレットと以前に北朝鮮のオペレーターに関連付けられたアドレスとの間に金融的なつながりがあることが確認されました。しかし、これらの発見はオンチェーンの帰属にとどまり、影響を受けた機関の身元は公にされていません。

SquidSquadの盗まれた資金がTornado Cashを通じて移動

疑わしい10月8日の盗難の後、攻撃者は最新の動きまで資金の管理を維持していたようで、これは資産をEthereumに変換または転送し、その後プライバシープロトコルを通じて送信することを含んでいました。

ZachXBTの取引分析では、Tornado Cashから引き出された資金を受け取った3つのアドレスが特定されました。これらのウォレットから、資産はUSDT0を使用してEthereumからTronに転送されました。USDT0は、サポートされているブロックチェーンネットワーク間での転送用に設計されたTetherのドルペッグのステーブルコインのバージョンです。

転送は最終的に、調査者によってTEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBUおよびTVxzjnx3GPDTciiuaqXPaUbU5f5yi3Vouxとして特定された2つのTronアドレスに資金を集めました。

両方のウォレットは、以前に北朝鮮の暗号通貨操作に関連付けられたアドレスに対して取引の露出があったと報じられています。ZachXBTは、提供された調査結果において、これらのアドレスに関連する特定の以前の事件を特定しませんでした。

統合から数分以内に、資金は中間ウォレットを通過し、中国のOTCディーラーに帰属するアドレスに到達しました。

調査者は、迅速な転送がTetherによる潜在的な凍結を回避するために意図されたものであると疑っています。Tetherは、サポートされているブロックチェーン上のアドレスに保持されているUSDTを制限することができます。

調査は報告された動きをOTCの目的地に追跡しましたが、公開された結果は、オペレーターが法定通貨への変換を完了したか、盗まれた資産の一部がその後凍結されたかどうかを確立していません。

北朝鮮のマネーロンダリングネットワークは監視下にある

最新のケースは、ZachXBTが北朝鮮のLazarusグループに関連する疑わしい暗号通貨マネーロンダリングネットワークに侵入したと述べた10月5日の調査に続くものです。

crypto.newsが以前報じたように、調査者は2025年の15億ドルのBybit盗難に関連する取引を追跡するために、顧客を装って349,700ドルを費やしたと述べています。

彼の調査結果は、複数の暗号通貨の悪用を通じて10億ドル以上を処理したとされる中国の操作を特定しましたが、ネットワークの規模は公に利用可能な米国の執行記録によって独立して確認されていません。

その調査中、ZachXBTは、異なるブロックチェーンを通じて移動する1200万ドル以上のBybit関連資金を特定したと述べています。彼のアカウントによると、Tetherはその操作中に発見されたウォレットに関連する442,000 USDTを凍結しました。

調査者は、その調査で特定されたオペレーターと最新のSquidSquad取引に関与するOTCディーラーとの間に公に文書化された関連性を確立していません。

トルネードキャッシュの送金は他の疑わしいDPRK関連攻撃に続く

別の暗号通貨盗難調査では、今年初めにDrift Protocolから盗まれた資産を含むトルネードキャッシュを通じた類似の動きが記録されています。

10月20日、Drift Protocolの悪用に関連するウォレットは、限られた活動期間の後に約25,700 ETH（約6156万ドル相当）をプライバシープロトコルに移転しました。

Driftは4月に推定2億8500万ドルの損失を被り、サイバーセキュリティ企業Mandiantによるその後の法医学的調査では、攻撃が北朝鮮の脅威グループUNC6862に起因することが示されました。

Driftの送金は、SquidSquad事件で特定された動きと同じ日に報告されましたが、調査者は二つの取引が同じオペレーターによるものであるか、調整されていたかを確立していません。

2024年のRadiant Capital攻撃に関する別の調査では、攻撃者が貸付プロトコルから約5000万ドルを盗んだ後、トルネードキャッシュの使用が記録されました。

Radiant Capitalのその後の開示によると、攻撃者は署名権限を侵害し、貸付プールの実装契約を置き換えました。サイバーセキュリティ調査者は後にこの事件を北朝鮮のオペレーターに関連付けました。

2025年10月までに、ブロックチェーンセキュリティ企業CertiKは、攻撃に関連するウォレットからトルネードキャッシュに預けられた2834 ETHを特定し、約1080万ドルがミキサーを通過したと考えられています。

Radiantは2026年6月に、盗難から回復できず、開発を続けるための十分な資金を確保できなかったため、事業を縮小することを発表しました。

SquidSquadは偽装とマルウェアを使用している疑い

2026年のDPRK暗号通貨脅威評価では、SquidSquadが暗号通貨の創設者、幹部、裕福な投資家をターゲットにしたキャンペーンに関連していることがわかりました。

報告によると、このグループは通常、ベンチャーキャピタリスト、投資家、ビジネスコンタクトを偽装し、TelegramやLinkedInなどのメッセージングプラットフォームを通じて悪意のある文書やソフトウェアを配布しようとします。

研究者は、このグループをRustBucket、SwiftBucket、NimDoorなどのマルウェアファミリーに関連付け、盗まれた資金を移動するために使用されるサービスの中にトルネードキャッシュを特定しました。

同様の手法は他の北朝鮮のハッキングキャンペーンにも現れており、Lazarus Groupは偽の会議招待状や悪意のあるmacOSソフトウェアを通じて暗号通貨の幹部をターゲットにしています。これはサイバーセキュリティ企業CertiKによる4月の調査で明らかになりました。