Un détenteur institutionnel de cryptomonnaies aurait perdu environ 2,84 millions de dollars lors d'une attaque présumée du groupe de hackers SquidSquad, lié à la Corée du Nord.
Résumé
- Un détenteur institutionnel de cryptomonnaies aurait perdu environ 2,84 millions de dollars lors d'une attaque du 8 octobre sur BNB Chain.
- Le 20 octobre, l'attaquant aurait déposé 1 111,2 ETH dans Tornado Cash avant de retirer les fonds vers trois adresses Ethereum et de les transférer ensuite vers Tron via USDT0.
- ZachXBT a identifié deux portefeuilles Tron qui ont reçu les fonds et qui avaient été exposés à des adresses précédemment attribuées à la Corée du Nord.
- L'identité de l'institution affectée et la méthode utilisée pour compromettre ses actifs restent non divulguées.
L'enquêteur blockchain ZachXBT a divulgué le vol présumé le 21 octobre, identifiant le 8 octobre comme la date de l'incident sur BNB Smart Chain et détaillant une série de transactions qui auraient déplacé le produit via plusieurs portefeuilles avant qu'ils n'atteignent des revendeurs de cryptomonnaies de gré à gré chinois.
Selon l'enquêteur, la dernière activité a eu lieu le 20 octobre, lorsque l'attaquant a déposé 1 111,2 ETH dans Tornado Cash et a ensuite retiré les fonds vers trois adresses Ethereum distinctes.
L'enquête a identifié des liens financiers entre les portefeuilles utilisés dans les transferts et des adresses précédemment attribuées à des opérateurs nord-coréens. Cependant, les conclusions restent une attribution on-chain, et l'identité de l'institution affectée n'a pas été rendue publique.
Les fonds volés par SquidSquad transitent par Tornado Cash
À la suite du vol présumé du 8 octobre, l'attaquant semble avoir conservé le contrôle du produit jusqu'au dernier mouvement, qui a impliqué la conversion ou le transfert des actifs en Ethereum avant de les envoyer via le protocole de confidentialité.
L'analyse des transactions de ZachXBT a identifié trois adresses qui ont reçu des fonds retirés de Tornado Cash. À partir de ces portefeuilles, les actifs ont été transférés d'Ethereum vers Tron en utilisant USDT0, une version du stablecoin indexé sur le dollar de Tether conçue pour les transferts entre les réseaux blockchain pris en charge.
Les transferts ont finalement réuni les fonds dans deux adresses Tron, identifiées par l'enquêteur comme TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU et TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.
Les deux portefeuilles auraient eu une exposition transactionnelle à des adresses précédemment associées à des opérations de cryptomonnaies nord-coréennes. ZachXBT n'a pas identifié les incidents antérieurs spécifiques liés à ces adresses dans les conclusions fournies.
Quelques minutes après la consolidation, les fonds sont passés par des portefeuilles intermédiaires avant d'atteindre des adresses attribuées à des revendeurs OTC chinois.
L'enquêteur soupçonnait que les transferts rapides visaient à éviter un gel potentiel par Tether, qui peut restreindre les USDT détenus dans des adresses sur les blockchains prises en charge.
Bien que l'enquête ait retracé les mouvements signalés jusqu'à des destinations OTC, les conclusions publiques n'ont pas établi si les opérateurs avaient achevé une conversion en monnaie fiduciaire ou si une partie des actifs volés avait ensuite été gelée.
Les réseaux de blanchiment nord-coréens restent sous surveillance
La dernière affaire fait suite à une enquête du 5 octobre dans laquelle ZachXBT a déclaré avoir infiltré un réseau de blanchiment de cryptomonnaies présumé lié au groupe Lazarus de la Corée du Nord.
Comme crypto.news l'a précédemment rapporté, l'enquêteur a déclaré avoir dépensé 349 700 dollars en se faisant passer pour un client afin de retracer les transactions associées au vol de 1,5 milliard de dollars de Bybit en 2025.
Ses conclusions ont identifié une opération chinoise présumée qui avait traité plus d'un milliard de dollars à travers plusieurs exploits de cryptomonnaies, bien que la taille revendiquée du réseau n'ait pas été confirmée de manière indépendante par les dossiers d'application de la loi américaine disponibles publiquement.
Au cours de cette enquête, ZachXBT a déclaré avoir identifié plus de 12 millions de dollars de fonds liés à Bybit circulant sur différentes blockchains. Tether a ensuite gelé 442 000 USDT associés à des portefeuilles découverts lors de l'opération, selon son récit.
L'enquêteur n'a pas établi de lien documenté publiquement entre les opérateurs identifiés dans cette enquête et les revendeurs OTC impliqués dans la dernière piste de transactions de SquidSquad.
Les transferts via Tornado Cash font suite à d'autres attaques présumées liées à la RPDC
Des enquêtes distinctes sur des vols de cryptomonnaies ont documenté des mouvements similaires via Tornado Cash, y compris des transactions impliquant des actifs volés au protocole Drift plus tôt cette année.
Le 20 octobre, des portefeuilles associés à l'exploit du protocole Drift ont transféré environ 25 700 ETH, d'une valeur de 61,56 millions de dollars, vers le protocole de confidentialité après une période d'activité limitée.
Drift a subi des pertes estimées à 285 millions de dollars en avril, une enquête médico-légale ultérieure menée par la société de cybersécurité Mandiant attribuant l'attaque à UNC6862, un groupe de menace nord-coréen.
Les transferts de Drift ont été signalés le même jour que les mouvements identifiés dans l'affaire SquidSquad, bien que les enquêteurs n'aient pas établi que les deux transactions impliquaient les mêmes opérateurs ou étaient coordonnées.
Une enquête distincte sur l'attaque contre Radiant Capital en 2024 a documenté l'utilisation de Tornado Cash après que les attaquants ont volé environ 50 millions de dollars au protocole de prêt.
Selon les divulgations ultérieures de Radiant Capital, les attaquants ont compromis les autorisations de signature et remplacé un contrat d'implémentation de pool de prêt. Les enquêteurs en cybersécurité ont ensuite relié l'incident à des opérateurs nord-coréens.
En octobre 2025, la société de sécurité blockchain CertiK avait identifié 2 834 ETH déposés dans Tornado Cash depuis des portefeuilles associés à l'attaque, avec environ 10,8 millions de dollars qui auraient transité par le mixeur.
Radiant a annoncé en juin 2026 qu'elle cesserait ses activités après n'avoir pas réussi à se remettre du vol et à sécuriser un financement suffisant pour poursuivre le développement.
SquidSquad soupçonné d'utiliser l'usurpation d'identité et des logiciels malveillants
Une évaluation des menaces liées aux cryptomonnaies de la RPDC de 2026 a révélé que SquidSquad était associé à des campagnes ciblant les fondateurs, dirigeants et investisseurs fortunés de cryptomonnaies.
Les chercheurs ont relié le groupe à des familles de logiciels malveillants, notamment RustBucket, SwiftBucket et NimDoor, tout en identifiant Tornado Cash parmi les services utilisés pour déplacer les fonds volés.
Des méthodes similaires sont apparues dans d'autres campagnes de piratage nord-coréennes, avec le groupe Lazarus ciblant des dirigeants de cryptomonnaies au moyen de fausses invitations à des réunions et de logiciels macOS malveillants, selon une enquête d'avril de la société de cybersécurité CertiK.
