Институциональный держатель криптовалюты потерял около $2,84 млн в результате атаки в сети BNB Smart Chain. Блокчейн-исследователь ZachXBT подозревает в атаке связанную с КНДР хакерскую группировку SquidSquad. О краже он сообщил 21 октября. По его данным, сам инцидент произошел 8 октября, после чего похищенные средства прошли через цепочку кошельков и в итоге оказались у китайских внебиржевых трейдеров.
Название пострадавшей организации и способ компрометации ее активов не раскрываются. Вывод о связи с Северной Кореей пока основан только на ончейн-анализе. Так, кошельки злоумышленника были финансово связаны с адресами, которые раньше приписывали северокорейским хакерам.
После кражи 8 октября атакующий почти две недели не трогал средства. 20 октября он перевел активы в Ethereum, внес 1 111,2 ETH в криптомиксер Tornado Cash, а затем вывел их на три разных адреса Ethereum.
С этих кошельков средства перевели из сети Ethereum в TRON с помощью USDT0. В сети TRON деньги собрали на двух адресах: TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU и TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux. По словам ZachXBT, оба кошелька ранее взаимодействовали с адресами, связанными с северокорейскими транзакциями. Конкретные прошлые инциденты он не назвал.
Через несколько минут после объединения средства прошли через промежуточные кошельки и попали на адреса китайских OTC-дилеров. ZachXBT предполагает, что такая спешка нужна была, чтобы в Tether не успели заморозить USDT. При этом из опубликованных данных неясно, обменяли ли дилеры криптовалюту на фиат и была ли заморожена какая-то часть средств.
Этот случай произошел вскоре после другого расследования ZachXBT. 5 октября он рассказал, что внедрился в предполагаемую сеть по отмыванию денег, связанную с Lazarus Group. Чтобы отследить средства, похищенные при взломе биржи Bybit на $1,5 млрд в 2025 году, исследователь выдал себя за клиента и потратил более $349 700. По его данным, китайская сеть обработала более $1 млрд, полученных в результате разных взломов. В ходе расследования он отследил более $12 млн из числа похищенных у Bybit средств, а в Tether заморозили 442 000 USDT. Связь этой сети с OTC-дилерами из нынешнего дела не установлена.
Tornado Cash фигурирует и в других атаках, которые приписывают КНДР. 20 октября, в тот же день, кошельки хакера, взломавшего Drift Protocol, отправили в миксер около 25 700 ETH (примерно $61,56 млн). Апрельский взлом Drift Protocol, ущерб от которого составил $285 млн, специалисты Mandiant приписали северокорейской группировке UNC6862. Доказательств того, что оба перевода совершили одни и те же люди или что они были скоординированы, нет.
Через Tornado Cash отмывали и средства, украденные при взломе Radiant Capital в 2024 году (около $50 млн). Тогда хакеры завладели правами подписи и заменили контракт кредитного пула. К октябрю 2025 года специалисты CertiK зафиксировали поступление в миксер 2834 ETH со связанных с атакой кошельков, что составляло около $10,8 млн. В июне 2026 года в Radiant объявили о прекращении работы.
Согласно отчету об угрозах со стороны КНДР в криптосфере за 2026 год, SquidSquad атакует основателей криптопроектов, руководителей и состоятельных инвесторов. Хакеры обычно выдают себя за венчурных инвесторов или деловых партнеров и распространяют вредоносные документы и программы через Telegram и LinkedIn. Группировку связывают с вредоносным ПО RustBucket, SwiftBucket и NimDoor, а для вывода украденного она использует в том числе Tornado Cash. Похожие приемы применяет и Lazarus Group. Так, в апреле исследователи CertiK сообщили об атаках группировки на криптоменеджеров с помощью поддельных приглашений на встречи и вредоносного ПО для macOS.
