Grupo SquidSquad ligado à Coreia do Norte suspeito de roubo de $2,84 milhões na BNB Chain

Um detentor institucional de criptomoedas perdeu aproximadamente $2,84 milhões em um ataque suspeito do grupo de hackers SquidSquad, ligado à Coreia do Norte.

Resumo

• Um detentor institucional de criptomoedas perdeu aproximadamente $2,84 milhões em um ataque à BNB Chain no dia 8 de outubro.
• Em 20 de outubro, o atacante depositou 1.111,2 ETH no Tornado Cash antes de retirar os fundos para três endereços Ethereum e, posteriormente, transferi-los para Tron através do USDT0.
• ZachXBT identificou duas carteiras Tron que receberam os fundos e tinham exposição a endereços anteriormente atribuídos à Coreia do Norte.
• A identidade da instituição afetada e o método utilizado para comprometer seus ativos permanecem não divulgados.

O investigador de blockchain ZachXBT divulgou o roubo suspeito em 21 de outubro, identificando 8 de outubro como a data do incidente na BNB Smart Chain e detalhando uma série de transações que supostamente moveram os proventos através de várias carteiras antes de chegarem a negociantes de criptomoedas de balcão na China.

De acordo com o investigador, a atividade mais recente ocorreu em 20 de outubro, quando o atacante depositou 1.111,2 ETH no Tornado Cash e, em seguida, retirou os fundos para três endereços Ethereum separados.

A investigação identificou conexões financeiras entre as carteiras utilizadas nas transferências e endereços anteriormente atribuídos a operadores norte-coreanos. No entanto, as descobertas permanecem uma atribuição on-chain, e a identidade da instituição afetada não foi divulgada publicamente.

Fundos roubados do SquidSquad se movem através do Tornado Cash

Após o roubo suspeito de 8 de outubro, o atacante parece ter mantido o controle dos proventos até o movimento mais recente, que envolveu a conversão ou transferência dos ativos em Ethereum antes de enviá-los através do protocolo de privacidade.

A análise de transações de ZachXBT identificou três endereços que receberam fundos retirados do Tornado Cash. A partir dessas carteiras, os ativos foram transferidos de Ethereum para Tron usando USDT0, uma versão da stablecoin atrelada ao dólar da Tether, projetada para transferências entre redes de blockchain suportadas.

As transferências eventualmente reuniram os fundos em dois endereços Tron, identificados pelo investigador como TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU e TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.

Ambas as carteiras tinham exposição a transações de endereços anteriormente associados a operações de criptomoedas da Coreia do Norte. ZachXBT não identificou os incidentes anteriores específicos conectados a esses endereços nas descobertas fornecidas.

Em questão de minutos após a consolidação, os fundos passaram por carteiras intermediárias antes de chegarem a endereços atribuídos a negociantes OTC chineses.

O investigador suspeitou que as transferências rápidas visavam evitar um possível congelamento pela Tether, que pode restringir o USDT mantido em endereços em blockchains suportadas.

Embora a investigação tenha rastreado os movimentos relatados até destinos OTC, as descobertas públicas não estabeleceram se os operadores haviam completado uma conversão em moeda fiduciária ou se alguma parte dos ativos roubados havia sido subsequentemente congelada.

Redes de lavagem norte-coreanas permanecem sob escrutínio

O último caso segue uma investigação de 5 de outubro, na qual ZachXBT disse ter infiltrado uma rede suspeita de lavagem de criptomoedas conectada ao Lazarus Group da Coreia do Norte.

Como relatado anteriormente pelo crypto.news, o investigador disse que gastou $349.700 se passando por um cliente para rastrear transações associadas ao roubo de $1,5 bilhão da Bybit em 2025.

Suas descobertas identificaram uma operação chinesa alegada que processou mais de $1 bilhão em múltiplas explorações de criptomoedas, embora o tamanho reivindicado da rede não tenha sido confirmado de forma independente por registros de aplicação da lei disponíveis publicamente.

Durante essa investigação, ZachXBT afirmou ter identificado mais de 12 milhões de dólares em fundos vinculados à Bybit movimentando-se através de diferentes blockchains. A Tether, subsequentemente, congelou 442.000 USDT associados a carteiras descobertas durante a operação, de acordo com seu relato.

O investigador não estabeleceu uma conexão documentada publicamente entre os operadores identificados nessa investigação e os negociantes de OTC envolvidos na mais recente trilha de transações do SquidSquad.

Transferências do Tornado Cash seguem outros ataques suspeitos ligados à RPDC

Investigações separadas sobre roubo de criptomoedas documentaram movimentos semelhantes através do Tornado Cash, incluindo transações envolvendo ativos roubados do Drift Protocol no início deste ano.

Em 20 de outubro, carteiras associadas à exploração do Drift Protocol transferiram aproximadamente 25.700 ETH, avaliados em 61,56 milhões de dólares, para o protocolo de privacidade após um período de atividade limitada.

O Drift sofreu perdas estimadas em 285 milhões de dólares em abril, com uma investigação forense subsequente pela empresa de cibersegurança Mandiant atribuindo o ataque ao UNC6862, um grupo de ameaças da Coreia do Norte.

As transferências do Drift foram relatadas no mesmo dia que os movimentos identificados no caso do SquidSquad, embora os investigadores não tenham estabelecido que as duas transações envolvessem os mesmos operadores ou fossem coordenadas.

Uma investigação separada sobre o ataque ao Radiant Capital em 2024 documentou o uso do Tornado Cash após os atacantes roubarem aproximadamente 50 milhões de dólares do protocolo de empréstimos.

De acordo com as divulgações subsequentes do Radiant Capital, os atacantes comprometeram permissões de assinatura e substituíram um contrato de implementação de pool de empréstimos. Investigadores de cibersegurança mais tarde conectaram o incidente a operadores da Coreia do Norte.

Até outubro de 2025, a empresa de segurança blockchain CertiK havia identificado 2.834 ETH depositados no Tornado Cash a partir de carteiras associadas ao ataque, com aproximadamente 10,8 milhões de dólares acreditados como tendo passado pelo mixer.

O Radiant anunciou em junho de 2026 que encerraria suas operações após não conseguir se recuperar do roubo e garantir financiamento suficiente para continuar o desenvolvimento.

SquidSquad suspeito de usar falsificação e malware

Uma avaliação de ameaças de criptomoedas da RPDC de 2026 descobriu que o SquidSquad estava associado a campanhas direcionadas a fundadores de criptomoedas, executivos e investidores ricos.

De acordo com o relatório, o grupo comumente se faz passar por capitalistas de risco, investidores e contatos comerciais antes de tentar distribuir documentos ou softwares maliciosos através de plataformas de mensagens como Telegram e LinkedIn.

Pesquisadores ligaram o grupo a famílias de malware incluindo RustBucket, SwiftBucket e NimDoor, enquanto identificaram o Tornado Cash entre os serviços usados para movimentar fundos roubados.

Métodos semelhantes apareceram em outras campanhas de hacking da Coreia do Norte, com o Lazarus Group visando executivos de criptomoedas através de convites para reuniões falsas e software malicioso para macOS, de acordo com uma investigação de abril pela empresa de cibersegurança CertiK.