與北韓有關的SquidSquad疑似竊取284萬美元BNB鏈資金

一名機構加密貨幣持有者據報導在一場疑似由與北韓有關的黑客組織SquidSquad發起的攻擊中損失了約284萬美元。

摘要

• 一名機構加密貨幣持有者據報導在10月8日對BNB鏈的攻擊中損失了約284萬美元。
• 10月20日，攻擊者據報導將1,111.2 ETH存入Tornado Cash，然後將資金提取到三個以太坊地址，隨後通過USDT0轉移到Tron。
• ZachXBT識別出兩個接收資金的Tron錢包，並與之前歸因於北韓的地址有關聯。
• 受影響機構的身份及其資產被盜的方式仍未公開。

區塊鏈調查員ZachXBT於10月21日披露了這起疑似盜竊事件，確定10月8日為BNB智能鏈事件的日期，並詳細說明了一系列交易，這些交易據稱將收益通過多個錢包轉移，最終抵達中國的場外加密貨幣交易商。

根據調查員的說法，最新的活動發生在10月20日，當時攻擊者將1,111.2 ETH存入Tornado Cash，隨後將資金提取到三個不同的以太坊地址。

調查確定了用於轉移的錢包與之前歸因於北韓操作的地址之間的財務聯繫。然而，這些發現仍然是鏈上歸因，受影響機構的身份尚未公開。

SquidSquad盜竊資金通過Tornado Cash轉移

在疑似的10月8日盜竊事件之後，攻擊者似乎一直控制著收益，直到最新的轉移，這涉及將資產轉換或轉移為以太坊，然後通過隱私協議發送。

ZachXBT的交易分析識別出三個接收從Tornado Cash提取資金的地址。從這些錢包中，資產通過USDT0從以太坊轉移到Tron，USDT0是Tether的美元掛鉤穩定幣的版本，旨在支持的區塊鏈網絡之間進行轉移。

這些轉移最終將資金集中到兩個Tron地址，調查員識別為TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU和TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux。

據報導，這兩個錢包與之前與北韓加密貨幣操作相關的地址有交易曝光。ZachXBT並未在提供的發現中識別出與這些地址相關的具體早期事件。

在資金集中幾分鐘內，資金通過中介錢包轉移，最終抵達與中國場外交易商相關的地址。

調查員懷疑，快速轉移的目的是為了避免Tether可能的凍結，因為Tether可以限制在支持的區塊鏈上的地址中持有的USDT。

儘管調查追蹤了報導的轉移到場外交易目的地，但公開的發現並未確定操作員是否完成了對法定貨幣的轉換，或是否有任何部分的被盜資產隨後被凍結。

北韓洗錢網絡持續受到關注

這起最新案件緊隨10月5日的調查，ZachXBT表示他已滲透到與北韓的Lazarus Group有關的疑似加密貨幣洗錢網絡中。

正如crypto.news之前報導的，調查員表示他花費了349,700美元假裝成客戶，以追蹤與2025年15億美元Bybit盜竊事件相關的交易。

他的發現識別出一個涉嫌的中國操作，該操作在多個加密貨幣利用中處理了超過10億美元，儘管該網絡的聲稱規模未得到公開的美國執法記錄的獨立確認。

在這次調查中，ZachXBT表示他識別出超過1200萬美元的Bybit相關資金在不同區塊鏈之間流動。根據他的說法，Tether隨後凍結了442,000 USDT，這些USDT與在此次行動中發現的錢包有關。

調查員尚未建立該調查中識別的操作人員與最新的SquidSquad交易路徑中涉及的場外交易商之間的公開記錄連結。

Tornado Cash轉移跟隨其他疑似與DPRK相關的攻擊

獨立的加密貨幣盜竊調查記錄了通過Tornado Cash的類似資金流動，包括涉及今年早些時候從Drift Protocol盜竊的資產的交易。

在10月20日，與Drift Protocol漏洞相關的錢包在一段有限活動後，轉移了約25,700 ETH，價值6156萬美元。

Drift在4月遭受的損失估計為2.85億美元，隨後由網絡安全公司Mandiant進行的法醫調查將此次攻擊歸因於北韓威脅組織UNC6862。

Drift的轉移在與SquidSquad案件中識別的資金流動同一天被報告，儘管調查員尚未確定這兩筆交易是否涉及相同的操作人員或是否協調進行。

對2024年Radiant Capital攻擊的另一項調查記錄了攻擊者在從貸款協議中盜取約5000萬美元後使用Tornado Cash。

根據Radiant Capital隨後的披露，攻擊者妥協了簽名權限並替換了一個貸款池實施合約。網絡安全調查員後來將此事件與北韓操作人員聯繫起來。

到2025年10月，區塊鏈安全公司CertiK已識別出2834 ETH從與攻擊相關的錢包存入Tornado Cash，約1080萬美元被認為已經通過該混合器流動。

Radiant在2026年6月宣布將停止運營，因為未能從盜竊中恢復並獲得足夠的資金以繼續開發。

SquidSquad疑似使用冒充和惡意軟件

2026年的DPRK加密貨幣威脅評估發現，SquidSquad與針對加密貨幣創始人、高管和富裕投資者的活動有關。

根據報告，該組織通常冒充風險投資家、投資者和商業聯繫人，然後試圖通過Telegram和LinkedIn等消息平台分發惡意文件或軟件。

研究人員將該組織與包括RustBucket、SwiftBucket和NimDoor在內的惡意軟件家族聯繫起來，同時識別出Tornado Cash作為用於轉移盜竊資金的服務之一。

根據網絡安全公司CertiK在4月的調查，類似的方法出現在其他北韓黑客活動中，Lazarus Group通過假會議邀請和惡意macOS軟件針對加密貨幣高管。