Um detentor institucional de criptomoedas teria perdido aproximadamente US$ 2,84 milhões em um suspeito ataque do grupo de hackers SquidSquad, ligado à Coreia do Norte.
Resumo
- Um detentor institucional de criptomoedas teria perdido aproximadamente US$ 2,84 milhões em um ataque em 8 de outubro na BNB Chain.
- Em 20 de outubro, o atacante teria depositado 1.111,2 ETH no Tornado Cash antes de retirar os fundos para três endereços Ethereum e, subsequentemente, transferi-los para Tron por meio de USDT0.
- ZachXBT identificou duas carteiras Tron que receberam os fundos e tiveram exposição a endereços previamente atribuídos à Coreia do Norte.
- A identidade da instituição afetada e o método usado para comprometer seus ativos permanecem não divulgados.
O investigador de blockchain ZachXBT divulgou o suspeito roubo em 21 de outubro, identificando 8 de outubro como a data do incidente na BNB Smart Chain e detalhando uma série de transações que supostamente moveram os proventos por várias carteiras antes de chegarem a negociantes de criptomoedas de balcão chineses.
De acordo com o investigador, a atividade mais recente ocorreu em 20 de outubro, quando o atacante depositou 1.111,2 ETH no Tornado Cash e subsequentemente retirou os fundos para três endereços Ethereum separados.
A investigação identificou conexões financeiras entre as carteiras usadas nas transferências e endereços previamente atribuídos a operadores norte-coreanos. No entanto, as descobertas permanecem uma atribuição on-chain, e a identidade da instituição afetada não foi divulgada publicamente.
Fundos roubados pelo SquidSquad passam pelo Tornado Cash
Após o suspeito roubo de 8 de outubro, o atacante parece ter mantido o controle dos proventos até o movimento mais recente, que envolveu a conversão ou transferência dos ativos para Ethereum antes de enviá-los pelo protocolo de privacidade.
A análise de transações de ZachXBT identificou três endereços que receberam fundos retirados do Tornado Cash. Dessas carteiras, os ativos foram transferidos de Ethereum para Tron usando USDT0, uma versão da stablecoin atrelada ao dólar da Tether projetada para transferências entre redes blockchain suportadas.
As transferências eventualmente reuniram os fundos em dois endereços Tron, identificados pelo investigador como TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU e TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.
Ambas as carteiras teriam tido exposição de transações a endereços previamente associados a operações de criptomoedas norte-coreanas. ZachXBT não identificou os incidentes anteriores específicos conectados a esses endereços nas descobertas fornecidas.
Em minutos após a consolidação, os fundos passaram por carteiras intermediárias antes de chegar a endereços atribuídos a negociantes de OTC chineses.
O investigador suspeitou que as transferências rápidas tinham a intenção de evitar um possível congelamento pela Tether, que pode restringir USDT mantidos em endereços em blockchains suportadas.
Embora a investigação tenha rastreado os movimentos relatados até destinos de OTC, as descobertas públicas não estabeleceram se os operadores haviam concluído uma conversão em moeda fiduciária ou se alguma parte dos ativos roubados havia sido subsequentemente congelada.
Redes de lavagem norte-coreanas permanecem sob escrutínio
O caso mais recente segue uma investigação de 5 de outubro na qual ZachXBT disse ter se infiltrado em uma suspeita rede de lavagem de criptomoedas conectada ao Grupo Lazarus da Coreia do Norte.
Como o crypto.news relatou anteriormente, o investigador disse ter gasto US$ 349.700 se passando por um cliente para rastrear transações associadas ao roubo de US$ 1,5 bilhão da Bybit em 2025.
Suas descobertas identificaram uma suposta operação chinesa que havia processado mais de US$ 1 bilhão em múltiplos exploits de criptomoedas, embora o tamanho alegado da rede não tenha sido confirmado independentemente por registros de aplicação da lei dos EUA disponíveis publicamente.
Durante essa investigação, ZachXBT disse ter identificado mais de US$ 12 milhões em fundos ligados à Bybit movendo-se por diferentes blockchains. A Tether subsequentemente congelou 442.000 USDT associados a carteiras descobertas durante a operação, segundo seu relato.
O investigador não estabeleceu uma conexão documentada publicamente entre os operadores identificados nessa investigação e os negociantes de OTC envolvidos na trilha de transações mais recente do SquidSquad.
Transferências via Tornado Cash seguem outros ataques suspeitos ligados à RPDC
Investigações separadas de roubo de criptomoedas documentaram movimentações semelhantes através do Tornado Cash, incluindo transações envolvendo ativos roubados do Drift Protocol no início deste ano.
Em 20 de outubro, carteiras associadas ao exploit do Drift Protocol transferiram aproximadamente 25.700 ETH, avaliados em US$ 61,56 milhões, para o protocolo de privacidade após um período de atividade limitada.
O Drift sofreu perdas estimadas em US$ 285 milhões em abril, com uma investigação forense subsequente da empresa de cibersegurança Mandiant atribuindo o ataque ao UNC6862, um grupo de ameaças norte-coreano.
As transferências do Drift foram relatadas no mesmo dia das movimentações identificadas no caso SquidSquad, embora os investigadores não tenham estabelecido que as duas transações envolveram os mesmos operadores ou foram coordenadas.
Uma investigação separada sobre o ataque à Radiant Capital em 2024 documentou o uso do Tornado Cash depois que os atacantes roubaram aproximadamente US$ 50 milhões do protocolo de empréstimos.
De acordo com as divulgações subsequentes da Radiant Capital, os atacantes comprometeram permissões de assinatura e substituíram um contrato de implementação de pool de empréstimos. Investigadores de cibersegurança posteriormente conectaram o incidente a operadores norte-coreanos.
Até outubro de 2025, a empresa de segurança blockchain CertiK havia identificado 2.834 ETH depositados no Tornado Cash a partir de carteiras associadas ao ataque, com aproximadamente US$ 10,8 milhões acreditados como tendo passado pelo mixer.
A Radiant anunciou em junho de 2026 que encerraria suas operações após não conseguir se recuperar do roubo e garantir financiamento suficiente para continuar o desenvolvimento.
SquidSquad suspeito de usar impersonação e malware
Uma avaliação de ameaças de criptomoedas da RPDC de 2026 constatou que o SquidSquad estava associado a campanhas direcionadas a fundadores de criptomoedas, executivos e investidores ricos.
Pesquisadores vincularam o grupo a famílias de malware incluindo RustBucket, SwiftBucket e NimDoor, enquanto identificaram o Tornado Cash entre os serviços usados para movimentar fundos roubados.
Métodos semelhantes apareceram em outras campanhas de hacking norte-coreanas, com o Lazarus Group visando executivos de criptomoedas por meio de convites falsos para reuniões e software macOS malicioso, de acordo com uma investigação de abril da empresa de cibersegurança CertiK.
