Misstänkt Stöld av Kryptovaluta
En institutionell kryptovaluta-innehavare har rapporterat att de har förlorat cirka 2,84 miljoner dollar i en misstänkt attack av den Nordkorea-kopplade hackargruppen SquidSquad. Blockchain-utredaren ZachXBT avslöjade den misstänkta stölden den 21 oktober och identifierade den 8 oktober som datumet för incidenten på BNB Smart Chain.
Utredningens Detaljer
Utredningen detaljerade en serie transaktioner som påstås ha flyttat vinsterna genom flera plånböcker innan de nådde kinesiska OTC-kryptovaluta-handlare. Enligt utredaren ägde den senaste aktiviteten rum den 20 oktober, då angriparen satte in 1 111,2 ETH i Tornado Cash och därefter tog ut medlen till tre separata Ethereum-adresser.
”Utredningen identifierade finansiella kopplingar mellan plånböckerna som användes i överföringarna och adresser som tidigare tillskrivits nordkoreanska operatörer.”
Emellertid förblir fynden en on-chain-attribution, och identiteten på den drabbade institutionen har inte offentliggjorts. Efter den misstänkta stölden den 8 oktober verkar angriparen ha behållit kontrollen över vinsterna fram till den senaste rörelsen, som involverade att konvertera eller överföra tillgångarna till Ethereum innan de skickades genom integritetsprotokollet.
Överföringar och Kopplingar
ZachXBT:s transaktionsanalys identifierade tre adresser som mottog medel som togs ut från Tornado Cash. Från dessa plånböcker överfördes tillgångarna från Ethereum till Tron med hjälp av USDT0, en version av Tethers dollar-kopplade stablecoin. Överföringarna samlade så småningom medlen i två Tron-adresser, identifierade av utredaren som TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU och TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.
Båda plånböckerna rapporterades ha transaktionsexponering mot adresser som tidigare varit kopplade till nordkoreanska kryptovalutaoperationer. ZachXBT identifierade inte de specifika tidigare incidenterna kopplade till dessa adresser i de tillhandahållna fynden.
Snabba Överföringar och OTC-handlare
Inom minuter efter konsolideringen passerade medlen genom mellanliggande plånböcker innan de nådde adresser som tillskrevs kinesiska OTC-handlare. Utredaren misstänkte att de snabba överföringarna var avsedda att undvika en potentiell frysningsåtgärd av Tether, som kan begränsa USDT som hålls i adresser på stödda blockkedjor.
Även om utredningen spårade de rapporterade rörelserna till OTC-destinationer, fastställde de offentliga fynden inte om operatörerna hade genomfört en konvertering till fiat-valuta eller om någon del av de stulna tillgångarna senare hade frysts.
Tidigare Utredningar och Liknande Incidenter
Det senaste fallet följer en utredning den 5 oktober där ZachXBT sa att han hade infiltrerat ett misstänkt kryptovaluta-tvättnätverk kopplat till Nordkoreas Lazarus-grupp. Som crypto.news tidigare rapporterat, sa utredaren att han spenderade 349 700 dollar och låtsades vara en kund för att spåra transaktioner kopplade till stölden av 1,5 miljarder dollar från Bybit 2025.
Hans fynd identifierade en påstådd kinesisk operation som hade bearbetat mer än 1 miljard dollar genom flera kryptovaluta-exploateringar, även om den påstådda storleken på nätverket inte bekräftades oberoende av offentligt tillgängliga amerikanska brottsbekämpningsregister.
”Tether frös därefter 442 000 USDT kopplade till plånböcker som upptäcktes under operationen.”
Utredaren har inte fastställt en offentligt dokumenterad koppling mellan operatörerna som identifierades i den utredningen och OTC-handlarna som var involverade i den senaste SquidSquad-transaktionsspåret.
Avslutande Tankar
En hotbedömning av kryptovaluta från DPRK 2026 fann att SquidSquad var kopplad till kampanjer som riktade sig mot kryptovaluta-grundare, chefer och rika investerare. Enligt rapporten utger gruppen sig ofta för att vara riskkapitalister, investerare och affärskontakter innan de försöker distribuera skadliga dokument eller programvara genom meddelandeplattformar som Telegram och LinkedIn.
Forskare kopplade gruppen till malware-familjer inklusive RustBucket, SwiftBucket och NimDoor, samtidigt som de identifierade Tornado Cash bland de tjänster som användes för att flytta stulna medel. Liknande metoder har dykt upp i andra nordkoreanska hackkampanjer, där Lazarus-gruppen riktade sig mot kryptovaluta-chefer genom falska mötesinbjudningar och skadlig macOS-programvara.
