За повідомленнями, інституційний власник криптовалюти втратив приблизно 2,84 мільйона доларів у результаті ймовірної атаки хакерського угруповання SquidSquad, пов'язаного з Північною Кореєю.
Резюме
- За повідомленнями, інституційний власник криптовалюти втратив приблизно 2,84 мільйона доларів у результаті атаки 8 жовтня на BNB Chain.
- 20 жовтня зловмисник, за повідомленнями, вніс 1 111,2 ETH у Tornado Cash, після чого вивів кошти на три адреси Ethereum і згодом переказав їх у Tron через USDT0.
- ZachXBT ідентифікував два гаманці Tron, які отримали кошти та мали зв'язок із раніше атрибутованими північнокорейськими адресами.
- Особа постраждалої установи та метод компрометації її активів залишаються нерозкритими.
Дослідник блокчейну ZachXBT розкрив ймовірну крадіжку 21 жовтня, визначивши 8 жовтня як дату інциденту в BNB Smart Chain, та деталізував низку транзакцій, які, за твердженнями, перемістили доходи через кілька гаманців, перш ніж вони досягли китайських позабіржових дилерів криптовалюти.
За словами дослідника, остання активність відбулася 20 жовтня, коли зловмисник вніс 1 111,2 ETH у Tornado Cash і згодом вивів кошти на три окремі адреси Ethereum.
Розслідування виявило фінансові зв'язки між гаманцями, використаними в переказах, та адресами, раніше атрибутованими північнокорейським операторам. Однак висновки залишаються он-чейн атрибуцією, а особа постраждалої установи не була публічно розкрита.
Викрадені кошти SquidSquad проходять через Tornado Cash
Після ймовірної крадіжки 8 жовтня зловмисник, схоже, зберігав контроль над доходами до останнього переміщення, яке включало конвертацію або переказ активів в Ethereum перед відправленням їх через протокол конфіденційності.
Аналіз транзакцій ZachXBT ідентифікував три адреси, які отримали кошти, виведені з Tornado Cash. З цих гаманців активи були переказані з Ethereum у Tron за допомогою USDT0 — версії доларово-прив'язаного стейблкоїна Tether, розробленої для переказів між підтримуваними блокчейн-мережами.
Перекази зрештою зібрали кошти разом на двох адресах Tron, ідентифікованих дослідником як TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU та TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.
Обидва гаманці, за повідомленнями, мали транзакційний зв'язок з адресами, раніше пов'язаними з північнокорейськими криптовалютними операціями. ZachXBT не вказав конкретні попередні інциденти, пов'язані з цими адресами, у наданих висновках.
Протягом кількох хвилин після консолідації кошти пройшли через проміжні гаманці, перш ніж досягти адрес, атрибутованих китайським OTC-дилерам.
Дослідник підозрює, що швидкі перекази мали на меті уникнути потенційного заморожування з боку Tether, який може обмежити USDT, що зберігається на адресах у підтримуваних блокчейнах.
Хоча розслідування простежило заявлені переміщення до OTC-призначень, публічні висновки не встановили, чи оператори завершили конвертацію у фіатну валюту або чи будь-яка частина викрадених активів згодом була заморожена.
Північнокорейські мережі відмивання залишаються під наглядом
Останній випадок стався після розслідування 5 жовтня, в якому ZachXBT заявив, що він проник у підозрювану мережу відмивання криптовалюти, пов'язану з північнокорейською групою Lazarus.
Як раніше повідомляло crypto.news, дослідник заявив, що витратив 349 700 доларів, видаючи себе за клієнта, щоб простежити транзакції, пов'язані з крадіжкою 1,5 мільярда доларів у Bybit у 2025 році.
Його висновки ідентифікували ймовірну китайську операцію, яка обробила понад 1 мільярд доларів через численні криптовалютні експлойти, хоча заявлений розмір мережі не був незалежно підтверджений загальнодоступними записами правоохоронних органів США.
Під час того розслідування ZachXBT заявив, що ідентифікував понад 12 мільйонів доларів коштів, пов'язаних з Bybit, які переміщувалися різними блокчейнами. Згодом Tether заморозив 442 000 USDT, пов'язаних з гаманцями, виявленими під час операції, згідно з його розповіддю.
Дослідник не встановив публічно задокументованого зв'язку між операторами, ідентифікованими в тому розслідуванні, та OTC-дилерами, залученими до останнього ланцюжка транзакцій SquidSquad.
Перекази через Tornado Cash слідують за іншими підозрюваними атаками, пов'язаними з КНДР
Окремі розслідування крадіжок криптовалюти задокументували подібні переміщення через Tornado Cash, включаючи транзакції з активами, викраденими з Drift Protocol раніше цього року.
20 жовтня гаманці, пов'язані з експлойтом Drift Protocol, переказали приблизно 25 700 ETH вартістю 61,56 мільйона доларів у протокол конфіденційності після періоду обмеженої активності.
Drift зазнав збитків, оцінених у 285 мільйонів доларів, у квітні, а подальше судово-технічне розслідування компанії з кібербезпеки Mandiant приписало атаку UNC6862 — північнокорейській загрозливій групі.
Про перекази Drift було повідомлено того ж дня, що й про переміщення, виявлені у справі SquidSquad, хоча слідчі не встановили, що ці дві транзакції стосувалися тих самих операторів або були скоординовані.
Окреме розслідування атаки на Radiant Capital 2024 року задокументувало використання Tornado Cash після того, як зловмисники викрали приблизно 50 мільйонів доларів із кредитного протоколу.
Згідно з подальшими розкриттями Radiant Capital, зловмисники скомпрометували дозволи на підписання та замінили контракт реалізації кредитного пулу. Розслідувачі з кібербезпеки згодом пов'язали інцидент із північнокорейськими операторами.
Станом на жовтень 2025 року блокчейн-компанія з безпеки CertiK виявила 2 834 ETH, депонованих у Tornado Cash з гаманців, пов'язаних з атакою, причому, за оцінками, через мікшер пройшло приблизно 10,8 мільйона доларів.
Radiant оголосила в червні 2026 року, що припинить діяльність після невдачі відновитися після крадіжки та забезпечити достатнє фінансування для продовження розробки.
SquidSquad, як підозрюють, використовує видавання себе за інших та шкідливе програмне забезпечення
Оцінка криптозагроз КНДР 2026 року виявила, що SquidSquad пов'язана з кампаніями, націленими на засновників криптовалютних проєктів, керівників і заможних інвесторів.
Дослідники пов'язали групу з сімействами шкідливого програмного забезпечення, включаючи RustBucket, SwiftBucket і NimDoor, а також визначили Tornado Cash серед сервісів, які використовувалися для переміщення викрадених коштів.
Подібні методи з'являлися в інших північнокорейських хакерських кампаніях: Lazarus Group націлювалася на керівників криптовалютних компаній через фальшиві запрошення на зустрічі та шкідливе програмне забезпечення для macOS, згідно з квітневим розслідуванням компанії з кібербезпеки CertiK.
