Підозрювана група SquidSquad, пов'язана з Північною Кореєю, підозрюється у крадіжці $2.84 млн з BNB Chain

Інституційний власник криптовалюти, як повідомляється, втратив приблизно $2.84 мільйона внаслідок підозрюваної атаки групи хакерів SquidSquad, пов'язаної з Північною Кореєю.

Резюме

• Інституційний власник криптовалюти, як повідомляється, втратив приблизно $2.84 мільйона внаслідок атаки на BNB Chain 8 жовтня.
• 20 жовтня зловмисник, як повідомляється, вніс 1,111.2 ETH у Tornado Cash, перш ніж вивести кошти на три адреси Ethereum, а потім перевести їх на Tron через USDT0.
• ZachXBT виявив два гаманці Tron, які отримали кошти і мали зв'язки з раніше атрибутованими адресами Північної Кореї.
• Особа постраждалої установи та метод, використаний для компрометації її активів, залишаються невідомими.

Блокчейн-розслідувач ZachXBT розкрив підозрювану крадіжку 21 жовтня, вказавши 8 жовтня як дату інциденту на BNB Smart Chain та детально описавши серію транзакцій, які нібито перемістили доходи через кілька гаманців, перш ніж вони досягли китайських контрагентів криптовалюти.

Згідно з даними розслідувача, остання активність відбулася 20 жовтня, коли зловмисник вніс 1,111.2 ETH у Tornado Cash і потім вивів кошти на три окремі адреси Ethereum.

Розслідування виявило фінансові зв'язки між гаманцями, використаними в переказах, та адресами, раніше атрибутованими операторам Північної Кореї. Однак результати залишаються атрибуцією на ланцюгу, і особа постраждалої установи не була публічно розкрита.

Кошти, вкрадені SquidSquad, проходять через Tornado Cash

Після підозрюваної крадіжки 8 жовтня зловмисник, здається, зберіг контроль над доходами до останнього переміщення, яке включало конвертацію або передачу активів в Ethereum, перш ніж відправити їх через протокол конфіденційності.

Аналіз транзакцій ZachXBT виявив три адреси, які отримали кошти, виведені з Tornado Cash. З цих гаманців активи були переведені з Ethereum на Tron за допомогою USDT0, версії стейблкоїна Tether, прив'язаного до долара, призначеного для переказів через підтримувані блокчейн-мережі.

Переводи врешті-решт об'єднали кошти в двох адресах Tron, які розслідувач ідентифікував як TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU та TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.

Обидва гаманці, як повідомляється, мали транзакційний зв'язок з адресами, раніше пов'язаними з криптовалютними операціями Північної Кореї. ZachXBT не вказав конкретні попередні інциденти, пов'язані з цими адресами в наданих результатах.

Протягом кількох хвилин після консолідації кошти пройшли через проміжні гаманці, перш ніж досягти адрес, пов'язаних з китайськими контрагентами.

Розслідувач підозрює, що швидкі перекази були призначені для уникнення потенційної заморозки з боку Tether, яка може обмежити USDT, що зберігається на адресах у підтримуваних блокчейнах.

Хоча розслідування відстежило повідомлені переміщення до OTC-адрес, публічні результати не встановили, чи завершили оператори конверсію в фіатну валюту або чи була якась частина вкрадених активів пізніше заморожена.

Північнокорейські мережі відмивання грошей залишаються під наглядом

Остання справа слідує за розслідуванням 5 жовтня, в якому ZachXBT заявив, що він проник у підозрювану мережу відмивання криптовалюти, пов'язану з групою Lazarus Північної Кореї.

Як раніше повідомляло crypto.news, розслідувач заявив, що витратив $349,700, видаючи себе за клієнта, щоб відстежити транзакції, пов'язані з крадіжкою $1.5 мільярда з Bybit у 2025 році.

Його результати виявили підозрювану китайську операцію, яка обробила більше $1 мільярда через кілька криптовалютних експлуатацій, хоча заявлений розмір мережі не був незалежно підтверджений публічно доступними записами правоохоронних органів США.

Під час цього розслідування ZachXBT заявив, що виявив понад 12 мільйонів доларів США, пов'язаних з Bybit, які переміщалися через різні блокчейни. Tether, відповідно до його звіту, заморозив 442 000 USDT, пов'язаних з гаманцями, виявленими під час операції.

Розслідувач не встановив публічно задокументованого зв'язку між операторами, виявленими в цьому розслідуванні, та OTC-дилерами, залученими до останньої транзакції SquidSquad.

Переміщення через Tornado Cash слідують за іншими підозрюваними атаками, пов'язаними з КНДР

Окремі розслідування крадіжок криптовалют зафіксували подібні переміщення через Tornado Cash, включаючи транзакції з активами, вкраденими з Drift Protocol раніше цього року.

20 жовтня гаманці, пов'язані з експлуатацією Drift Protocol, перевели приблизно 25 700 ETH, вартістю 61,56 мільйона доларів США, у приватний протокол після періоду обмеженої активності.

Drift зазнав збитків, оцінених у 285 мільйонів доларів США в квітні, а подальше судово-медичне розслідування компанії з кібербезпеки Mandiant приписало атаку UNC6862, загрозливій групі з Північної Кореї.

Переміщення Drift були зафіксовані в той же день, що й переміщення, виявлені в справі SquidSquad, хоча розслідувачі не встановили, що дві транзакції були пов'язані або координовані.

Окреме розслідування атаки на Radiant Capital у 2024 році зафіксувало використання Tornado Cash після того, як зловмисники вкрали приблизно 50 мільйонів доларів США з кредитного протоколу.

Згідно з подальшими розкриттями Radiant Capital, зловмисники скомпрометували дозволи на підписання та замінили контракт реалізації кредитного пулу. Дослідники з кібербезпеки пізніше зв'язали інцидент з північнокорейськими операторами.

До жовтня 2025 року компанія з безпеки блокчейнів CertiK виявила 2834 ETH, внесені в Tornado Cash з гаманців, пов'язаних з атакою, з приблизно 10,8 мільйона доларів США, які, як вважається, пройшли через мікшер.

Radiant оголосила в червні 2026 року, що закриє свою діяльність після того, як не змогла відновитися після крадіжки та забезпечити достатнє фінансування для продовження розробки.

SquidSquad підозрюється у використанні підробок та шкідливого ПЗ

Оцінка загроз криптовалютам КНДР у 2026 році виявила, що SquidSquad пов'язаний з кампаніями, що націлюються на засновників криптовалют, керівників та заможних інвесторів.

Згідно з доповіддю, група зазвичай підробляє венчурних капіталістів, інвесторів та ділових контактів, перш ніж намагатися розповсюдити шкідливі документи або програмне забезпечення через платформи обміну повідомленнями, такі як Telegram та LinkedIn.

Дослідники зв'язали групу з родинами шкідливого ПЗ, включаючи RustBucket, SwiftBucket та NimDoor, при цьому виявивши Tornado Cash серед сервісів, що використовуються для переміщення вкрадених коштів.

Схожі методи з'явилися в інших кампаніях хакерів з Північної Кореї, при цьому група Lazarus націлювалася на керівників криптовалют через фальшиві запрошення на зустрічі та шкідливе програмне забезпечення для macOS, згідно з розслідуванням, проведеним у квітні компанією з кібербезпеки CertiK.