Подозреваемая в краже $2,84 млн на BNB Chain группа SquidSquad, связанная с Северной Кореей

Институциональный держатель криптовалюты, как сообщается, потерял около $2,84 миллиона в результате предполагаемой атаки хакерской группы SquidSquad, связанной с Северной Кореей.

Резюме

• Институциональный держатель криптовалюты, как сообщается, потерял около $2,84 миллиона в результате атаки на BNB Chain 8 октября.
• 20 октября злоумышленник, как сообщается, внес 1,111.2 ETH в Tornado Cash, прежде чем вывести средства на три адреса Ethereum и затем перевести их в Tron через USDT0.
• ZachXBT выявил два кошелька Tron, которые получили средства и имели связь с ранее атрибутированными адресами Северной Кореи.
• Личность пострадавшего учреждения и метод, использованный для компрометации его активов, остаются неизвестными.

Блокчейн-исследователь ZachXBT раскрыл предполагаемую кражу 21 октября, указав 8 октября как дату инцидента на BNB Smart Chain и подробно описав серию транзакций, которые, как утверждается, переместили доходы через несколько кошельков, прежде чем они достигли китайских внебиржевых криптовалютных дилеров.

Согласно исследователю, последняя активность произошла 20 октября, когда злоумышленник внес 1,111.2 ETH в Tornado Cash и затем вывел средства на три отдельных адреса Ethereum.

Расследование выявило финансовые связи между кошельками, использованными в переводах, и адресами, ранее атрибутированными операторам Северной Кореи. Однако результаты остаются атрибуцией на цепочке, и личность пострадавшего учреждения не была публично раскрыта.

Перемещение украденных средств SquidSquad через Tornado Cash

После предполагаемой кражи 8 октября злоумышленник, похоже, сохранил контроль над доходами до последнего перемещения, которое включало конвертацию или перевод активов в Ethereum перед отправкой их через протокол конфиденциальности.

Анализ транзакций ZachXBT выявил три адреса, которые получили средства, выведенные из Tornado Cash. Из этих кошельков активы были переведены из Ethereum в Tron с использованием USDT0, версии стабильной монеты Tether, привязанной к доллару, предназначенной для переводов через поддерживаемые блокчейн-сети.

Переводы в конечном итоге объединили средства на двух адресах Tron, которые исследователь идентифицировал как TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU и TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.

Оба кошелька, как сообщается, имели транзакционную связь с адресами, ранее связанными с криптовалютными операциями Северной Кореи. ZachXBT не указал конкретные предыдущие инциденты, связанные с этими адресами, в предоставленных результатах.

В течение нескольких минут после консолидации средства прошли через промежуточные кошельки, прежде чем достичь адресов, атрибутированных китайским внебиржевым дилерам.

Исследователь предположил, что быстрые переводы были предназначены для избежания потенциальной заморозки со стороны Tether, которая может ограничить USDT, хранящиеся на адресах в поддерживаемых блокчейнах.

Хотя расследование проследило за сообщенными перемещениями до внебиржевых направлений, публичные результаты не установили, завершили ли операторы конвертацию в фиатную валюту или была ли какая-либо часть украденных активов впоследствии заморожена.

Северокорейские сети отмывания денег остаются под наблюдением

Последний случай следует за расследованием 5 октября, в котором ZachXBT заявил, что он проник в подозреваемую сеть отмывания криптовалюты, связанную с группой Lazarus Северной Кореи.

Как ранее сообщало crypto.news, исследователь заявил, что потратил $349,700, притворяясь клиентом, чтобы отследить транзакции, связанные с кражей $1,5 миллиарда на Bybit в 2025 году.

Его результаты выявили предполагаемую китайскую операцию, которая обработала более $1 миллиарда через несколько криптовалютных эксплойтов, хотя заявленный размер сети не был независимо подтвержден доступными публичными записями правоохранительных органов США.

В ходе этого расследования ZachXBT сообщил, что он выявил более 12 миллионов долларов, связанных с Bybit, перемещающихся по различным блокчейнам. Tether впоследствии заморозил 442 000 USDT, связанных с кошельками, обнаруженными в ходе операции, согласно его отчету.

Следователь не установил публично задокументированную связь между операторами, выявленными в этом расследовании, и OTC-дилерами, участвующими в последнем следе транзакций SquidSquad.

Переводы Tornado Cash следуют за другими подозреваемыми атаками, связанными с КНДР

Отдельные расследования краж криптовалюты задокументировали аналогичные движения через Tornado Cash, включая транзакции с активами, украденными у Drift Protocol ранее в этом году.

20 октября кошельки, связанные с эксплойтом Drift Protocol, перевели примерно 25 700 ETH, стоимостью 61,56 миллиона долларов, в приватный протокол после периода ограниченной активности.

Drift понес убытки, оцененные в 285 миллионов долларов в апреле, при этом последующее судебно-медицинское расследование кибербезопасности, проведенное компанией Mandiant, приписало атаку группе UNC6862, угрожающей КНДР.

Переводы Drift были зарегистрированы в тот же день, что и движения, выявленные в деле SquidSquad, хотя следователи не установили, что две транзакции были связаны одними и теми же операторами или координированы.

Отдельное расследование атаки на Radiant Capital в 2024 году задокументировало использование Tornado Cash после того, как злоумышленники украли примерно 50 миллионов долларов из кредитного протокола.

Согласно последующим раскрытиям Radiant Capital, злоумышленники скомпрометировали разрешения на подпись и заменили контракт реализации кредитного пула. Позже следователи кибербезопасности связали инцидент с операторами из Северной Кореи.

К октябрю 2025 года компания по безопасности блокчейнов CertiK выявила 2834 ETH, внесенные в Tornado Cash из кошельков, связанных с атакой, при этом примерно 10,8 миллиона долларов, как полагают, прошло через миксер.

Radiant объявила в июне 2026 года, что прекратит свою деятельность после того, как не смогла восстановиться после кражи и обеспечить достаточное финансирование для продолжения разработки.

SquidSquad подозревается в использовании подделки и вредоносного ПО

Оценка угроз криптовалюты КНДР 2026 года показала, что SquidSquad была связана с кампаниями, нацеленными на основателей криптовалют, руководителей и состоятельных инвесторов.

Согласно отчету, группа обычно выдает себя за венчурных капиталистов, инвесторов и деловых контактов, прежде чем попытаться распространить вредоносные документы или программное обеспечение через мессенджеры, такие как Telegram и LinkedIn.

Исследователи связали группу с семействами вредоносного ПО, включая RustBucket, SwiftBucket и NimDoor, при этом идентифицировав Tornado Cash среди услуг, используемых для перемещения украденных средств.

Аналогичные методы появились в других хакерских кампаниях Северной Кореи, при этом группа Lazarus нацеливалась на руководителей криптовалют через поддельные приглашения на встречи и вредоносное программное обеспечение для macOS, согласно апрельскому расследованию компании по кибербезопасности CertiK.