گروه هکری مرتبط با کره شمالی به سرقت ۲.۸۴ میلیون دلاری در زنجیره BNB مظنون است

یک دارنده ارز دیجیتال نهادی به طور گزارش شده حدود ۲.۸۴ میلیون دلار را در یک حمله مشکوک توسط گروه هکری مرتبط با کره شمالی به نام SquidSquad از دست داده است.

خلاصه

• یک دارنده ارز دیجیتال نهادی به طور گزارش شده حدود ۲.۸۴ میلیون دلار را در حمله‌ای در تاریخ ۸ اکتبر به زنجیره BNB از دست داده است.
• در تاریخ ۲۰ اکتبر، مهاجم به طور گزارش شده ۱,۱۱۱.۲ ETH را به Tornado Cash واریز کرد و سپس وجوه را به سه آدرس اتریوم برداشت کرده و به دنبال آن آنها را از طریق USDT0 به ترون منتقل کرد.
• ZachXBT دو کیف پول ترون را شناسایی کرد که وجوه را دریافت کرده و با آدرس‌های قبلاً نسبت داده شده به کره شمالی در ارتباط بودند.
• هویت نهاد آسیب‌دیده و روش استفاده شده برای به خطر انداختن دارایی‌های آن همچنان فاش نشده است.

تحقیق‌گر بلاکچین ZachXBT سرقت مشکوک را در تاریخ ۲۱ اکتبر فاش کرد و ۸ اکتبر را به عنوان تاریخ وقوع حادثه در زنجیره هوشمند BNB شناسایی کرد و یک سری تراکنش‌ها را که به طور ادعایی عواید را از طریق چندین کیف پول منتقل کرده بود، تشریح کرد تا به معامله‌گران ارز دیجیتال خارج از بورس چینی برسد.

به گفته محقق، آخرین فعالیت در تاریخ ۲۰ اکتبر انجام شد، زمانی که مهاجم ۱,۱۱۱.۲ ETH را به Tornado Cash واریز کرد و سپس وجوه را به سه آدرس اتریوم جداگانه برداشت کرد.

تحقیق ارتباطات مالی بین کیف پول‌های استفاده شده در انتقال‌ها و آدرس‌های قبلاً نسبت داده شده به اپراتورهای کره شمالی را شناسایی کرد. با این حال، یافته‌ها همچنان یک نسبت‌سنجی زنجیره‌ای هستند و هویت نهاد آسیب‌دیده به طور عمومی فاش نشده است.

انتقال وجوه سرقت شده SquidSquad از طریق Tornado Cash

پس از سرقت مشکوک در تاریخ ۸ اکتبر، به نظر می‌رسد مهاجم کنترل عواید را حفظ کرده است تا آخرین حرکت، که شامل تبدیل یا انتقال دارایی‌ها به اتریوم قبل از ارسال آنها از طریق پروتکل حریم خصوصی بود.

تحلیل تراکنش‌های ZachXBT سه آدرس را شناسایی کرد که وجوه برداشت شده از Tornado Cash را دریافت کردند. از آن کیف پول‌ها، دارایی‌ها از اتریوم به ترون با استفاده از USDT0، نسخه‌ای از استیبل‌کوین دلار متصل به Tether که برای انتقال‌ها در شبکه‌های بلاکچین پشتیبانی شده طراحی شده است، منتقل شد.

انتقال‌ها در نهایت وجوه را در دو آدرس ترون جمع‌آوری کرد، که توسط محقق به عنوان TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU و TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux شناسایی شد.

هر دو کیف پول به طور گزارش شده در معرض تراکنش به آدرس‌های قبلاً مرتبط با عملیات ارز دیجیتال کره شمالی بودند. ZachXBT حوادث خاص قبلی مرتبط با آن آدرس‌ها را در یافته‌های ارائه شده شناسایی نکرد.

در عرض چند دقیقه از تجمیع، وجوه از طریق کیف پول‌های واسطه‌ای عبور کردند قبل از اینکه به آدرس‌های نسبت داده شده به معامله‌گران OTC چینی برسند.

محقق مشکوک بود که انتقال‌های سریع به منظور جلوگیری از مسدود شدن احتمالی توسط Tether انجام شده است، که می‌تواند USDT موجود در آدرس‌های بلاکچین‌های پشتیبانی شده را محدود کند.

اگرچه تحقیق مسیرهای گزارش شده را به مقاصد OTC ردیابی کرد، یافته‌های عمومی مشخص نکردند که آیا اپراتورها تبدیل به ارز فیات را کامل کرده‌اند یا اینکه آیا بخشی از دارایی‌های سرقت شده بعداً مسدود شده است.

شبکه‌های پولشویی کره شمالی تحت نظارت باقی مانده‌اند

آخرین مورد پس از یک تحقیق در تاریخ ۵ اکتبر دنبال می‌شود که در آن ZachXBT گفت که به یک شبکه مشکوک پولشویی ارز دیجیتال متصل به گروه Lazarus کره شمالی نفوذ کرده است.

همانطور که crypto.news قبلاً گزارش داده بود، محقق گفت که او ۳۴۹,۷۰۰ دلار را به عنوان یک مشتری صرف کرده است تا تراکنش‌های مرتبط با سرقت ۱.۵ میلیارد دلاری Bybit در سال ۲۰۲۵ را ردیابی کند.

یافته‌های او یک عملیات ادعایی چینی را شناسایی کرد که بیش از ۱ میلیارد دلار را در چندین سوءاستفاده از ارز دیجیتال پردازش کرده است، اگرچه اندازه ادعایی شبکه به طور مستقل توسط سوابق اجرایی عمومی ایالات متحده تأیید نشده است.

در طول آن تحقیق، ZachXBT گفت که او بیش از ۱۲ میلیون دلار از وجوه مرتبط با Bybit را که در بلاک‌چین‌های مختلف جابجا می‌شد، شناسایی کرده است. طبق گزارش او، Tether سپس ۴۴۲,۰۰۰ USDT مرتبط با کیف‌پول‌هایی که در طول عملیات کشف شده بودند را مسدود کرد.

تحقیق‌کننده ارتباط مستند عمومی بین اپراتورهای شناسایی شده در آن تحقیق و معامله‌گران OTC درگیر در آخرین مسیر تراکنش SquidSquad را برقرار نکرده است.

انتقال‌های Tornado Cash پس از دیگر حملات مشکوک مرتبط با DPRK

تحقیقات جداگانه‌ای درباره سرقت ارزهای دیجیتال، حرکات مشابهی را از طریق Tornado Cash مستند کرده‌اند، از جمله تراکنش‌هایی که شامل دارایی‌های دزدیده شده از Drift Protocol در اوایل سال جاری می‌شود.

در تاریخ ۲۰ اکتبر، کیف‌پول‌های مرتبط با سوءاستفاده از Drift Protocol حدود ۲۵,۷۰۰ ETH، به ارزش ۶۱.۵۶ میلیون دلار، به پروتکل حریم خصوصی منتقل کردند پس از یک دوره فعالیت محدود.

Drift در آوریل خساراتی به ارزش تقریبی ۲۸۵ میلیون دلار متحمل شد، و یک تحقیق جنایی بعدی توسط شرکت امنیت سایبری Mandiant این حمله را به UNC6862، یک گروه تهدید کره شمالی نسبت داد.

انتقال‌های Drift در همان روزی گزارش شد که حرکات شناسایی شده در پرونده SquidSquad نیز رخ داد، اگرچه محققان نتوانسته‌اند ثابت کنند که این دو تراکنش شامل همان اپراتورها بوده یا هماهنگ شده‌اند.

تحقیق جداگانه‌ای درباره حمله Radiant Capital در سال ۲۰۲۴ استفاده از Tornado Cash را مستند کرده است پس از اینکه مهاجمان حدود ۵۰ میلیون دلار از پروتکل وام‌گیری دزدیدند.

طبق افشاگری‌های بعدی Radiant Capital، مهاجمان مجوزهای امضا را مختل کرده و یک قرارداد پیاده‌سازی استخر وام را جایگزین کردند. محققان امنیت سایبری بعداً این حادثه را به اپراتورهای کره شمالی مرتبط کردند.

تا اکتبر ۲۰۲۵، شرکت امنیت بلاک‌چین CertiK ۲,۸۳۴ ETH واریز شده به Tornado Cash از کیف‌پول‌های مرتبط با حمله را شناسایی کرده است، با تقریباً ۱۰.۸ میلیون دلار که برآورد می‌شود از طریق میکسر عبور کرده است.

Radiant در ژوئن ۲۰۲۶ اعلام کرد که پس از عدم موفقیت در بازیابی از سرقت و تأمین مالی کافی برای ادامه توسعه، عملیات خود را متوقف خواهد کرد.

شکایت از SquidSquad به دلیل استفاده از جعل هویت و بدافزار

یک ارزیابی تهدید ارز دیجیتال DPRK در سال ۲۰۲۶ نشان داد که SquidSquad با کمپین‌هایی که هدف آن‌ها بنیان‌گذاران ارزهای دیجیتال، مدیران و سرمایه‌گذاران ثروتمند است، مرتبط است.

طبق گزارش، این گروه معمولاً خود را به عنوان سرمایه‌گذاران خطرپذیر، سرمایه‌گذاران و تماس‌های تجاری جا می‌زند قبل از اینکه سعی کند مدارک یا نرم‌افزارهای مخرب را از طریق پلتفرم‌های پیام‌رسانی مانند تلگرام و لینکدین توزیع کند.

محققان این گروه را به خانواده‌های بدافزار از جمله RustBucket، SwiftBucket و NimDoor مرتبط کردند و Tornado Cash را از جمله خدماتی شناسایی کردند که برای جابجایی وجوه دزدیده شده استفاده می‌شود.

روش‌های مشابهی در دیگر کمپین‌های هک کره شمالی ظاهر شده است، با گروه Lazarus که مدیران ارزهای دیجیتال را از طریق دعوت‌نامه‌های جعلی و نرم‌افزارهای مخرب macOS هدف قرار می‌دهد، طبق تحقیقی در آوریل توسط شرکت امنیت سایبری CertiK.