Kryptovaluta Tyveri og Mistænkt Hacking
En institutionel kryptovalutaindehaver har angiveligt mistet cirka $2,84 millioner i et mistænkt angreb fra den Nordkorea-relaterede hackinggruppe SquidSquad. Blockchain-efterforskeren ZachXBT afslørede det mistænkte tyveri den 21. oktober og identificerede den 8. oktober som datoen for hændelsen på BNB Smart Chain.
Transaktioner og Efterforskning
ZachXBT detaljerede en række transaktioner, der angiveligt flyttede udbyttet gennem flere tegnebøger, før de nåede kinesiske over-the-counter kryptovaluta-forhandlere. Ifølge efterforskeren fandt den seneste aktivitet sted den 20. oktober, da angriberen indskrev 1.111,2 ETH i Tornado Cash og efterfølgende hævede midlerne til tre separate Ethereum-adresser.
“Efterforskningen identificerede finansielle forbindelser mellem de tegnebøger, der blev brugt i overførslerne, og adresser, der tidligere var tilskrevet nordkoreanske operatører.”
Dog forbliver fundene en on-chain attribution, og identiteten af den berørte institution er ikke blevet offentliggjort. Efter det mistænkte tyveri den 8. oktober ser det ud til, at angriberen har bevaret kontrollen over udbyttet indtil den seneste bevægelse, som involverede konvertering eller overførsel af aktiverne til Ethereum, før de blev sendt gennem privatlivsprotokollen.
Overførsler og OTC-forhandlere
ZachXBT’s transaktionsanalyse identificerede tre adresser, der modtog midler hævet fra Tornado Cash. Fra disse tegnebøger blev aktiverne overført fra Ethereum til Tron ved hjælp af USDT, en version af Tether’s dollar-peggede stablecoin designet til overførsler på tværs af understøttede blockchain-netværk. Overførslerne bragte til sidst midlerne sammen i to Tron-adresser, identificeret af efterforskeren som TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU og TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.
Begge tegnebøger havde angiveligt transaktionseksponering til adresser, der tidligere var forbundet med nordkoreanske kryptovalutaoperationer. ZachXBT identificerede ikke de specifikke tidligere hændelser, der var forbundet med disse adresser i de fremlagte fund.
Risiko for Fryse og Tidligere Hændelser
Inden for få minutter efter konsolideringen passerede midlerne gennem mellemliggende tegnebøger, før de nåede adresser tilskrevet kinesiske OTC-forhandlere. Efterforskeren mistænkte, at de hurtige overførsler var beregnet til at undgå en potentiel fryse fra Tether, som kan begrænse USDT, der holdes i adresser på understøttede blockchains.
Selvom efterforskningen sporede de rapporterede bevægelser til OTC-destinationer, fastslog de offentlige fund ikke, om operatørerne havde gennemført en konvertering til fiat-valuta eller om nogen del af de stjålne aktiver efterfølgende var blevet fryset.
Forbindelser til Tidligere Angreb
Den seneste sag følger en efterforskning den 5. oktober, hvor ZachXBT sagde, at han havde infiltreret et mistænkt kryptovaluta-hvidvaskningsnetværk forbundet med Nordkoreas Lazarus Group. Som crypto.news tidligere rapporterede, sagde efterforskeren, at han brugte $349.700 på at udgive sig for at være en kunde for at spore transaktioner forbundet med det $1,5 milliarder Bybit-tyveri i 2025.
“Hans fund identificerede en angiveligt kinesisk operation, der havde behandlet mere end $1 milliard på tværs af flere kryptovalutaudnyttelser.”
Under den efterforskning sagde ZachXBT, at han identificerede mere end $12 millioner i Bybit-forbundne midler, der bevægede sig på tværs af forskellige blockchains. Tether fryse derefter 442.000 USDT forbundet med tegnebøger, der blev afdækket under operationen, ifølge hans beretning.
Konklusion
En 2026 DPRK kryptovaluta trusselvurdering fandt, at SquidSquad var forbundet med kampagner, der målrettede kryptovaluta-grundlæggere, ledere og velhavende investorer. Ifølge rapporten udgiver gruppen sig ofte for at være venturekapitalister, investorer og forretningskontakter, før de forsøger at distribuere ondsindede dokumenter eller software gennem messaging-platforme som Telegram og LinkedIn.
Forskere knyttede gruppen til malware-familier, herunder RustBucket, SwiftBucket og NimDoor, mens de identificerede Tornado Cash blandt de tjenester, der blev brugt til at flytte stjålne midler. Lignende metoder er dukket op i andre nordkoreanske hackingkampagner, hvor Lazarus Group målrettede kryptovaluta-ledere gennem falske mødeinvitationer og ondsindet macOS-software, ifølge en april-undersøgelse af cybersikkerhedsfirmaet CertiK.
