กลุ่ม SquidSquad ที่เชื่อมโยงกับเกาหลีเหนือถูกสงสัยในการโจรกรรม BNB Chain มูลค่า 2.84 ล้านดอลลาร์

ผู้ถือครองสกุลเงินดิจิทัลในสถาบันรายหนึ่งรายงานว่าถูกโจรกรรมประมาณ 2.84 ล้านดอลลาร์จากการโจมตีที่สงสัยว่าเกี่ยวข้องกับกลุ่มแฮ็กเกอร์ SquidSquad ที่เชื่อมโยงกับเกาหลีเหนือ

สรุป

• ผู้ถือครองสกุลเงินดิจิทัลในสถาบันรายหนึ่งรายงานว่าถูกโจรกรรมประมาณ 2.84 ล้านดอลลาร์ในการโจมตีเมื่อวันที่ 8 ตุลาคมที่ BNB Chain
• ในวันที่ 20 ตุลาคม ผู้โจมตีได้ฝาก 1,111.2 ETH ลงใน Tornado Cash ก่อนที่จะถอนเงินไปยังที่อยู่ Ethereum สามแห่งและจากนั้นโอนเงินไปยัง Tron ผ่าน USDT0
• ZachXBT ระบุว่ามีสองกระเป๋า Tron ที่ได้รับเงินและมีความเชื่อมโยงกับที่อยู่ที่เคยถูกระบุว่าเป็นของเกาหลีเหนือ
• ตัวตนของสถาบันที่ได้รับผลกระทบและวิธีการที่ใช้ในการเข้าถึงทรัพย์สินยังคงไม่เปิดเผย

นักสืบ Blockchain ZachXBT เปิดเผยการโจรกรรมที่สงสัยเมื่อวันที่ 21 ตุลาคม โดยระบุว่าเหตุการณ์เกิดขึ้นเมื่อวันที่ 8 ตุลาคมที่ BNB Smart Chain และรายละเอียดการทำธุรกรรมที่ถูกกล่าวหาว่าย้ายผลกำไรผ่านกระเป๋าหลายใบก่อนที่จะถึงผู้ค้าสกุลเงินดิจิทัลแบบนอกตลาดในจีน

ตามที่นักสืบกล่าว กิจกรรมล่าสุดเกิดขึ้นเมื่อวันที่ 20 ตุลาคม เมื่อผู้โจมตีฝาก 1,111.2 ETH ลงใน Tornado Cash และจากนั้นถอนเงินไปยังที่อยู่ Ethereum สามแห่ง

การสอบสวนพบความเชื่อมโยงทางการเงินระหว่างกระเป๋าที่ใช้ในการโอนและที่อยู่ที่เคยถูกระบุว่าเป็นของผู้ปฏิบัติงานจากเกาหลีเหนือ อย่างไรก็ตาม ผลการสอบสวนยังคงเป็นการระบุบนเชน และตัวตนของสถาบันที่ได้รับผลกระทบยังไม่ได้เปิดเผยต่อสาธารณะ

การเคลื่อนย้ายเงินที่ถูกโจรกรรมของ SquidSquad ผ่าน Tornado Cash

หลังจากการโจรกรรมที่สงสัยเมื่อวันที่ 8 ตุลาคม ผู้โจมตีดูเหมือนจะยังคงควบคุมผลกำไรจนถึงการเคลื่อนไหวล่าสุด ซึ่งเกี่ยวข้องกับการแปลงหรือโอนทรัพย์สินเป็น Ethereum ก่อนที่จะส่งผ่านโปรโตคอลความเป็นส่วนตัว

การวิเคราะห์ธุรกรรมของ ZachXBT ระบุที่อยู่สามแห่งที่ได้รับเงินที่ถอนออกจาก Tornado Cash จากกระเป๋าเหล่านั้น ทรัพย์สินถูกโอนจาก Ethereum ไปยัง Tron โดยใช้ USDT0 ซึ่งเป็นเวอร์ชันของเหรียญ stablecoin ที่ผูกกับดอลลาร์ของ Tether ที่ออกแบบมาสำหรับการโอนข้ามเครือข่ายบล็อกเชนที่รองรับ

การโอนเงินในที่สุดนำเงินมารวมกันในที่อยู่ Tron สองแห่ง ซึ่งนักสืบระบุว่าเป็น TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU และ TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux

กระเป๋าทั้งสองมีการเปิดเผยธุรกรรมที่เชื่อมโยงกับที่อยู่ที่เคยเกี่ยวข้องกับการดำเนินงานของสกุลเงินดิจิทัลจากเกาหลีเหนือ ZachXBT ไม่ได้ระบุเหตุการณ์ก่อนหน้านี้ที่เชื่อมโยงกับที่อยู่เหล่านั้นในผลการสอบสวนที่จัดทำขึ้น

ภายในไม่กี่นาทีหลังจากการรวมตัว เงินได้ผ่านกระเป๋าเงินกลางก่อนที่จะถึงที่อยู่ที่เชื่อมโยงกับผู้ค้าสกุลเงินดิจิทัลแบบนอกตลาดในจีน

นักสืสงสัยว่าการโอนเงินอย่างรวดเร็วมีวัตถุประสงค์เพื่อหลีกเลี่ยงการถูกระงับโดย Tether ซึ่งสามารถจำกัด USDT ที่ถืออยู่ในที่อยู่บนบล็อกเชนที่รองรับ

แม้ว่าการสอบสวนจะติดตามการเคลื่อนไหวที่รายงานไปยังจุดหมายปลายทางแบบนอกตลาด แต่ผลการสอบสวนสาธารณะไม่ได้ระบุว่าผู้ดำเนินการได้ทำการแปลงเป็นสกุลเงิน fiat หรือไม่ หรือว่ามีส่วนใดของทรัพย์สินที่ถูกโจรกรรมที่ถูกระงับในภายหลัง

เครือข่ายการฟอกเงินของเกาหลีเหนือยังคงอยู่ภายใต้การตรวจสอบ

กรณีล่าสุดนี้เกิดขึ้นหลังจากการสอบสวนเมื่อวันที่ 5 ตุลาคม ซึ่ง ZachXBT กล่าวว่าเขาได้แทรกซึมเข้าไปในเครือข่ายการฟอกเงินที่สงสัยว่าเชื่อมโยงกับกลุ่ม Lazarus ของเกาหลีเหนือ

ตามที่ crypto.news รายงานก่อนหน้านี้ นักสืบกล่าวว่าเขาใช้เงิน 349,700 ดอลลาร์ในฐานะลูกค้าเพื่อติดตามธุรกรรมที่เกี่ยวข้องกับการโจรกรรม Bybit มูลค่า 1.5 พันล้านดอลลาร์ในปี 2025

ผลการสอบสวนของเขาระบุการดำเนินงานที่ถูกกล่าวหาว่าเป็นของจีนซึ่งได้ประมวลผลมากกว่า 1 พันล้านดอลลาร์จากการโจรกรรมสกุลเงินดิจิทัลหลายรายการ แม้ว่าขนาดที่อ้างถึงของเครือข่ายจะไม่ได้รับการยืนยันจากบันทึกการบังคับใช้ของสหรัฐฯ ที่มีอยู่ในสาธารณะ

ในการสอบสวนครั้งนั้น ZachXBT กล่าวว่าเขาได้ระบุเงินที่เชื่อมโยงกับ Bybit มูลค่ามากกว่า 12 ล้านดอลลาร์ที่เคลื่อนย้ายข้ามบล็อกเชนต่างๆ Tether จึงได้ทำการระงับ 442,000 USDT ที่เกี่ยวข้องกับกระเป๋าเงินที่ค้นพบระหว่างการดำเนินการตามบัญชีของเขา

นักสืบยังไม่ได้สร้างการเชื่อมต่อที่มีการบันทึกสาธารณะระหว่างผู้ดำเนินการที่ระบุในนั้นกับผู้ค้า OTC ที่เกี่ยวข้องในเส้นทางการทำธุรกรรมล่าสุดของ SquidSquad

การโอน Tornado Cash ตามการโจมตีที่สงสัยว่าจะเชื่อมโยงกับ DPRK

การสอบสวนการโจรกรรมสกุลเงินดิจิทัลที่แยกต่างหากได้บันทึกการเคลื่อนไหวที่คล้ายกันผ่าน Tornado Cash รวมถึงการทำธุรกรรมที่เกี่ยวข้องกับสินทรัพย์ที่ถูกขโมยจาก Drift Protocol ในช่วงต้นปีนี้

เมื่อวันที่ 20 ตุลาคม กระเป๋าเงินที่เกี่ยวข้องกับการโจมตี Drift Protocol ได้โอนประมาณ 25,700 ETH มูลค่า 61.56 ล้านดอลลาร์เข้าสู่โปรโตคอลความเป็นส่วนตัวหลังจากช่วงเวลาที่มีกิจกรรมจำกัด

Drift ประสบความสูญเสียที่ประเมินไว้ที่ 285 ล้านดอลลาร์ในเดือนเมษายน โดยการสอบสวนทางนิติวิทยาศาสตร์ที่ตามมาจากบริษัทความปลอดภัยไซเบอร์ Mandiant ได้ระบุว่าการโจมตีนี้เป็นฝีมือของ UNC6862 กลุ่มภัยคุกคามจากเกาหลีเหนือ

การโอน Drift ถูกบันทึกในวันเดียวกันกับการเคลื่อนไหวที่ระบุในกรณี SquidSquad แม้ว่านักสืบยังไม่ได้สร้างว่าการทำธุรกรรมทั้งสองเกี่ยวข้องกับผู้ดำเนินการเดียวกันหรือได้รับการประสานงาน

การสอบสวนแยกต่างหากเกี่ยวกับการโจมตี Radiant Capital ในปี 2024 ได้บันทึกการใช้ Tornado Cash หลังจากที่ผู้โจมตีขโมยเงินประมาณ 50 ล้านดอลลาร์จากโปรโตคอลการให้กู้ยืม

ตามการเปิดเผยของ Radiant Capital หลังจากนั้น ผู้โจมตีได้ทำให้สิทธิ์การลงนามถูกบุกรุกและแทนที่สัญญาการดำเนินการของกลุ่มการให้กู้ยืม นักสืบด้านความปลอดภัยไซเบอร์ได้เชื่อมโยงเหตุการณ์นี้กับผู้ดำเนินการจากเกาหลีเหนือ

ภายในเดือนตุลาคม 2025 บริษัทความปลอดภัยบล็อกเชน CertiK ได้ระบุ 2,834 ETH ที่ฝากเข้าไปใน Tornado Cash จากกระเป๋าเงินที่เกี่ยวข้องกับการโจมตี โดยเชื่อว่าประมาณ 10.8 ล้านดอลลาร์ได้ผ่านการผสม

Radiant ประกาศในเดือนมิถุนายน 2026 ว่าจะยุติการดำเนินงานหลังจากไม่สามารถฟื้นตัวจากการโจรกรรมและจัดหาทุนเพียงพอเพื่อดำเนินการพัฒนา

SquidSquad ถูกสงสัยว่าใช้การปลอมแปลงและมัลแวร์

การประเมินภัยคุกคามสกุลเงินดิจิทัล DPRK ในปี 2026 พบว่า SquidSquad เชื่อมโยงกับแคมเปญที่มุ่งเป้าไปที่ผู้ก่อตั้งสกุลเงินดิจิทัล ผู้บริหาร และนักลงทุนที่ร่ำรวย

ตามรายงาน กลุ่มนี้มักจะปลอมแปลงเป็นนักลงทุนร่วมทุน นักลงทุน และผู้ติดต่อทางธุรกิจก่อนที่จะพยายามแจกเอกสารหรือซอฟต์แวร์ที่เป็นอันตรายผ่านแพลตฟอร์มการส่งข้อความ เช่น Telegram และ LinkedIn

นักวิจัยเชื่อมโยงกลุ่มนี้กับครอบครัวของมัลแวร์รวมถึง RustBucket, SwiftBucket และ NimDoor ขณะที่ระบุว่า Tornado Cash เป็นหนึ่งในบริการที่ใช้ในการเคลื่อนย้ายเงินที่ถูกขโมย

วิธีการที่คล้ายกันได้ปรากฏในแคมเปญการแฮ็กจากเกาหลีเหนืออื่น ๆ โดยกลุ่ม Lazarus มุ่งเป้าไปที่ผู้บริหารสกุลเงินดิจิทัลผ่านคำเชิญประชุมปลอมและซอฟต์แวร์ macOS ที่เป็นอันตราย ตามการสอบสวนในเดือนเมษายนโดยบริษัทความปลอดภัยไซเบอร์ CertiK.