По сообщениям, институциональный держатель криптовалюты потерял примерно 2,84 миллиона долларов в результате предполагаемой атаки связанной с Северной Кореей хакерской группы SquidSquad.
Краткое содержание
- По сообщениям, институциональный держатель криптовалюты потерял примерно 2,84 миллиона долларов в результате атаки 8 октября в сети BNB Chain.
- По сообщениям, 20 октября атакующий внес 1 111,2 ETH в Tornado Cash, после чего вывел средства на три адреса Ethereum и впоследствии перевел их в Tron через USDT0.
- ZachXBT идентифицировал два кошелька Tron, которые получили средства и имели связи с ранее атрибутированными северокорейскими адресами.
- Личность пострадавшего учреждения и метод компрометации его активов остаются нераскрытыми.
Блокчейн-исследователь ZachXBT раскрыл предполагаемую кражу 21 октября, указав 8 октября как дату инцидента в BNB Smart Chain и подробно описав серию транзакций, которые, как утверждается, переместили вырученные средства через несколько кошельков, прежде чем они достигли китайских внебиржевых криптовалютных дилеров.
Согласно исследователю, последняя активность произошла 20 октября, когда атакующий внес 1 111,2 ETH в Tornado Cash и впоследствии вывел средства на три отдельных адреса Ethereum.
Расследование выявило финансовые связи между кошельками, использованными в переводах, и адресами, ранее приписываемыми северокорейским операторам. Однако выводы остаются ончейн-атрибуцией, и личность пострадавшего учреждения не была публично раскрыта.
Украденные средства SquidSquad проходят через Tornado Cash
После предполагаемой кражи 8 октября атакующий, по-видимому, сохранял контроль над вырученными средствами до последнего перемещения, которое включало конвертацию или перевод активов в Ethereum перед отправкой их через протокол конфиденциальности.
Анализ транзакций ZachXBT выявил три адреса, которые получили средства, выведенные из Tornado Cash. С этих кошельков активы были переведены с Ethereum в Tron с использованием USDT0 — версии привязанного к доллару стейблкоина Tether, предназначенной для переводов между поддерживаемыми блокчейн-сетями.
Переводы в конечном итоге объединили средства на двух адресах Tron, идентифицированных исследователем как TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU и TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.
По сообщениям, оба кошелька имели транзакционные связи с адресами, ранее связанными с северокорейскими криптовалютными операциями. ZachXBT не указал конкретные более ранние инциденты, связанные с этими адресами, в предоставленных выводах.
В течение нескольких минут после консолидации средства прошли через промежуточные кошельки, прежде чем достигли адресов, приписываемых китайским внебиржевым дилерам.
Исследователь предположил, что быстрые переводы были предназначены для избежания потенциальной заморозки со стороны Tether, которая может ограничить USDT, хранящиеся на адресах в поддерживаемых блокчейнах.
Хотя расследование проследило заявленные перемещения до внебиржевых пунктов назначения, публичные выводы не установили, завершили ли операторы конвертацию в фиатную валюту или была ли какая-либо часть украденных активов впоследствии заморожена.
Северокорейские сети отмывания денег остаются под пристальным вниманием
Последний случай следует за расследованием от 5 октября, в ходе которого ZachXBT заявил, что он внедрился в предполагаемую сеть отмывания криптовалюты, связанную с северокорейской группой Lazarus Group.
Как ранее сообщал crypto.news, исследователь заявил, что потратил 349 700 долларов, выдавая себя за клиента, чтобы отследить транзакции, связанные с кражей 1,5 миллиарда долларов у Bybit в 2025 году.
Его выводы выявили предполагаемую китайскую операцию, которая обработала более 1 миллиарда долларов через множество криптовалютных эксплойтов, хотя заявленный размер сети не был независимо подтвержден общедоступными записями правоохранительных органов США.
В ходе того расследования ZachXBT заявил, что он идентифицировал более 12 миллионов долларов связанных с Bybit средств, перемещающихся по различным блокчейнам. Согласно его отчету, Tether впоследствии заморозил 442 000 USDT, связанных с кошельками, обнаруженными в ходе операции.
Исследователь не установил публично задокументированной связи между операторами, идентифицированными в том расследовании, и внебиржевыми дилерами, участвовавшими в последней цепочке транзакций SquidSquad.
Переводы через Tornado Cash следуют за другими предполагаемыми атаками, связанными с КНДР
Отдельные расследования краж криптовалют зафиксировали аналогичные перемещения через Tornado Cash, включая транзакции с активами, украденными у Drift Protocol ранее в этом году.
20 октября кошельки, связанные с эксплойтом Drift Protocol, перевели примерно 25 700 ETH стоимостью 61,56 млн долларов в протокол конфиденциальности после периода ограниченной активности.
В апреле Drift понес убытки, оцениваемые в 285 млн долларов, а последующее судебно-техническое расследование, проведенное фирмой по кибербезопасности Mandiant, приписало атаку UNC6862 — северокорейской группе угроз.
О переводах Drift сообщалось в тот же день, что и о перемещениях, выявленных в деле SquidSquad, хотя следователи не установили, что обе транзакции осуществлялись одними и теми же операторами или были скоординированы.
Отдельное расследование атаки на Radiant Capital в 2024 году задокументировало использование Tornado Cash после того, как злоумышленники украли у кредитного протокола примерно 50 млн долларов.
Согласно последующим раскрытиям Radiant Capital, злоумышленники скомпрометировали права подписи и заменили контракт реализации кредитного пула. Позднее следователи по кибербезопасности связали инцидент с северокорейскими операторами.
К октябрю 2025 года блокчейн-компания по безопасности CertiK выявила 2 834 ETH, депонированных в Tornado Cash с кошельков, связанных с атакой, при этом, как полагают, через миксер прошло примерно 10,8 млн долларов.
В июне 2026 года Radiant объявила, что прекратит деятельность после того, как не смогла оправиться от кражи и обеспечить достаточное финансирование для продолжения разработки.
SquidSquad подозревается в использовании выдачи себя за других и вредоносного ПО
Оценка угроз криптовалютам со стороны КНДР за 2026 год показала, что SquidSquad связана с кампаниями, нацеленными на основателей криптовалютных проектов, руководителей и состоятельных инвесторов.
Исследователи связали группу с семействами вредоносного ПО, включая RustBucket, SwiftBucket и NimDoor, а также определили Tornado Cash среди сервисов, используемых для перемещения украденных средств.
Аналогичные методы появлялись и в других северокорейских хакерских кампаниях: согласно апрельскому расследованию фирмы по кибербезопасности CertiK, группа Lazarus нацеливалась на руководителей криптовалютных компаний через поддельные приглашения на встречи и вредоносное ПО для macOS.
