Kryptovaluuttojen Haltijan Menetys
Institutionaalinen kryptovaluuttojen haltija on reportedly menettänyt noin 2,84 miljoonaa dollaria epäillyssä hyökkäyksessä, joka liittyy Pohjois-Koreaan liitettyyn hakkeriryhmään SquidSquad. Blockchain-tutkija ZachXBT paljasti epäillyn varkauden 21. lokakuuta ja tunnisti tapahtuman päivämääräksi 8. lokakuuta BNB Smart Chainilla.
Varkauden Yksityiskohdat
Hän yksityiskohtaisesti kuvasi sarjan tapahtumia, jotka oletettavasti siirsivät varat useiden lompakoiden kautta ennen niiden päätymistä kiinalaisille OTC-kryptovaluuttakauppiaille. Tutkijan mukaan viimeisin toiminta tapahtui 20. lokakuuta, jolloin hyökkääjä tallettti 1 111,2 ETH Tornado Cashiin ja nosti sitten varat kolmeen erilliseen Ethereum-osoitteeseen.
Tutkimus paljasti taloudellisia yhteyksiä siirroissa käytettyjen lompakoiden ja aiemmin Pohjois-Korealaisille toimijoille liitettyjen osoitteiden välillä.
Kuitenkin havainnot pysyvät on-chain-attribuutiona, eikä vaikuttavan instituution henkilöllisyyttä ole julkisesti paljastettu. Epäillyn 8. lokakuuta tapahtuneen varkauden jälkeen hyökkääjä näyttää säilyttäneen hallinnan varoista viimeiseen liikkuvuuteen asti, joka sisälsi varojen muuntamisen tai siirtämisen Ethereumiksi ennen niiden lähettämistä yksityisyysprotokollan kautta.
Varojen Siirrot
ZachXBT:n transaktioanalyysi tunnisti kolme osoitetta, jotka vastaanottivat varoja, jotka nostettiin Tornado Cashista. Näistä lompakoista varat siirrettiin Ethereumista Troniin käyttäen USDT:tä, Tetherin dollarin sitoutunutta stablecoinia, joka on suunniteltu siirtoihin tuetuilla blockchain-verkoilla.
Siirrot toivat lopulta varat yhteen kahteen Tron-osoitteeseen, jotka tutkija tunnisti TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU ja TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux. Molemmilla lompakoilla oli reportedly transaktiokontakteja aiemmin Pohjois-Korean kryptovaluuttaoperaatioihin liittyviin osoitteisiin.
ZachXBT ei tunnistanut erityisiä aikaisempia tapahtumia, jotka liittyivät näihin osoitteisiin toimitetuissa havainnoissa.
Vain muutamassa minuutissa konsolidoinnin jälkeen varat kulkivat välilompakoiden kautta ennen kuin ne saavuttivat osoitteet, jotka on liitetty kiinalaisille OTC-kauppiaille. Tutkija epäili, että nopeat siirrot oli tarkoitettu välttämään mahdollinen jäädytys Tetheriltä, joka voi rajoittaa USDT:tä, joka on pidetty tuetuilla blockchain-osoitteissa.
Aikaisemmat Tutkimukset
Vaikka tutkimus jäljitti ilmoitetut liikkeet OTC-kohteisiin, julkiset havainnot eivät osoittaneet, oliko operaattorit suorittaneet muunnoksen fiat-valuutaksi tai oliko osa varastetuista varoista myöhemmin jäädytetty. Viimeisin tapaus seuraa 5. lokakuuta tehtyä tutkimusta, jossa ZachXBT sanoi infiltranneensa epäillyn kryptovaluutan rahanpesuverkon, joka liittyi Pohjois-Korean Lazarus-ryhmään.
Kuten crypto.news aiemmin raportoi, tutkija kertoi käyttäneensä 349 700 dollaria asiakasta esittäen jäljittääkseen transaktioita, jotka liittyivät 1,5 miljardin dollarin Bybit-varkauteen vuonna 2025.
Hänen havaintonsa tunnistivat väitetyn kiinalaisen toiminnan, joka oli käsitellyt yli 1 miljardi dollaria useiden kryptovaluutta-hyökkäysten kautta.
Tutkimuksen aikana ZachXBT sanoi tunnistaneensa yli 12 miljoonaa dollaria Bybitin kanssa liitettyjä varoja, jotka liikkuivat eri blockchainien välillä. Tether jäädytti myöhemmin 442 000 USDT:tä, jotka liittyivät lompakoihin, jotka paljastettiin toiminnan aikana, hänen kertomuksensa mukaan.
Yhteenveto
Tutkija ei ole vahvistanut julkisesti dokumentoitua yhteyttä operaattoreiden, jotka tunnistettiin tuossa tutkimuksessa, ja viimeisimmän SquidSquad-transaktiopolun mukana olevien OTC-kauppiaiden välillä. Erilliset kryptovaluuttavarkaustutkimukset ovat dokumentoineet samanlaisia liikkeitä Tornado Cashin kautta, mukaan lukien transaktiot, jotka liittyvät Drift Protocolista aiemmin tänä vuonna varastettuihin varoihin.
20. lokakuuta Drift Protocolin hyökkäykseen liittyvät lompakot siirsivät noin 25 700 ETH, arvoltaan 61,56 miljoonaa dollaria, yksityisyysprotokollaan rajoitetun toiminnan jälkeen. Drift kärsi huhtikuussa arvioituja 285 miljoonan dollarin tappioita, ja kyberturvayritys Mandiantin jälkikäteinen tutkinta liitti hyökkäyksen UNC6862:een, Pohjois-Korean uhkaryhmään.
Drift-siirrot raportoitiin samana päivänä kuin SquidSquad-tapaksessa tunnistetut liikkeet, vaikka tutkijat eivät ole vahvistaneet, että kaksi transaktiota liittyivät samoihin operaattoreihin tai olivat koordinoituja.
Erillinen tutkimus vuoden 2024 Radiant Capital -hyökkäyksestä dokumentoi Tornado Cashin käytön sen jälkeen, kun hyökkääjät varastivat noin 50 miljoonaa dollaria lainausprotokollasta. Radiant Capitalin myöhemmät paljastukset kertoivat, että hyökkääjät olivat vaarantaneet allekirjoitusoikeudet ja korvannut lainauspoolin toteutussopimuksen.
Kyberturvatutkijat yhdistivät myöhemmin tapauksen Pohjois-Korealaisiin toimijoihin. Lokakuuhun 2025 mennessä blockchain-turvayritys CertiK oli tunnistanut 2 834 ETH:tä, jotka oli talletettu Tornado Cashiin hyökkäykseen liittyvistä lompakoista, ja noin 10,8 miljoonan dollarin uskotaan kulkeneen sekoittimen läpi.
Radiant ilmoitti kesäkuussa 2026, että se aikoi lopettaa toimintansa, koska se ei ollut onnistunut toipumaan varkaudesta ja saamaan riittävästi rahoitusta kehityksen jatkamiseksi.
Vuoden 2026 DPRK:n kryptovaluuttauhkaharkinta havaitsi, että SquidSquad oli liitetty kampanjoihin, jotka kohdistuivat kryptovaluuttojen perustajiin, johtajiin ja varakkaisiin sijoittajiin. Raportin mukaan ryhmä usein esittää itsensä pääomasijoittajina, sijoittajina ja liiketoimintakontakteina ennen kuin yrittää jakaa haitallisia asiakirjoja tai ohjelmistoja viestintäalustojen, kuten Telegramin ja LinkedInin, kautta.
Tutkijat yhdistivät ryhmän haittaohjelmaperheisiin, kuten RustBucket, SwiftBucket ja NimDoor, samalla kun tunnistivat Tornado Cashin varastettujen varojen siirtämiseen käytetyksi palveluksi. Samankaltaisia menetelmiä on esiintynyt muissa Pohjois-Korean hakkerikampanjoissa, joissa Lazarus-ryhmä kohdistaa kryptovaluuttajohtajiin valekokouskutsujen ja haitallisen macOS-ohjelmiston avulla, kyberturvayritys CertiKin huhtikuun tutkimuksen mukaan.
