Grupo SquidSquad ligado à Coreia do Norte suspeito de roubo de $2,84 milhões na BNB Chain

Um detentor institucional de criptomoedas supostamente perdeu aproximadamente $2,84 milhões em um ataque suspeito do grupo de hackers SquidSquad, ligado à Coreia do Norte.

Resumo

• Um detentor institucional de criptomoedas supostamente perdeu aproximadamente $2,84 milhões em um ataque à BNB Chain em 8 de outubro.
• Em 20 de outubro, o atacante supostamente depositou 1.111,2 ETH no Tornado Cash antes de retirar os fundos para três endereços Ethereum e, subsequentemente, transferi-los para Tron através do USDT0.
• ZachXBT identificou duas carteiras Tron que receberam os fundos e tinham exposição a endereços anteriormente atribuídos à Coreia do Norte.
• A identidade da instituição afetada e o método utilizado para comprometer seus ativos permanecem não divulgados.

O investigador de blockchain ZachXBT divulgou o roubo suspeito em 21 de outubro, identificando 8 de outubro como a data do incidente na BNB Smart Chain e detalhando uma série de transações que supostamente moveram os lucros através de várias carteiras antes de chegarem a negociantes de criptomoedas de balcão na China.

De acordo com o investigador, a última atividade ocorreu em 20 de outubro, quando o atacante depositou 1.111,2 ETH no Tornado Cash e, subsequentemente, retirou os fundos para três endereços Ethereum separados.

A investigação identificou conexões financeiras entre as carteiras usadas nas transferências e endereços anteriormente atribuídos a operadores norte-coreanos. No entanto, as descobertas permanecem uma atribuição on-chain, e a identidade da instituição afetada não foi divulgada publicamente.

Fundos roubados do SquidSquad se movem através do Tornado Cash

Após o roubo suspeito de 8 de outubro, o atacante parece ter mantido o controle dos lucros até o último movimento, que envolveu a conversão ou transferência dos ativos em Ethereum antes de enviá-los através do protocolo de privacidade.

A análise de transações de ZachXBT identificou três endereços que receberam fundos retirados do Tornado Cash. A partir dessas carteiras, os ativos foram transferidos de Ethereum para Tron usando USDT0, uma versão da stablecoin atrelada ao dólar da Tether, projetada para transferências entre redes blockchain suportadas.

As transferências eventualmente reuniram os fundos em dois endereços Tron, identificados pelo investigador como TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU e TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.

Ambas as carteiras supostamente tiveram exposição a transações com endereços anteriormente associados a operações de criptomoedas da Coreia do Norte. ZachXBT não identificou os incidentes anteriores específicos conectados a esses endereços nas descobertas fornecidas.

Em minutos após a consolidação, os fundos passaram por carteiras intermediárias antes de chegar a endereços atribuídos a negociantes de OTC na China.

O investigador suspeitou que as transferências rápidas tinham a intenção de evitar um possível congelamento pela Tether, que pode restringir USDT mantidos em endereços em blockchains suportadas.

Embora a investigação tenha rastreado os movimentos relatados até destinos de OTC, as descobertas públicas não estabeleceram se os operadores haviam completado uma conversão em moeda fiduciária ou se alguma parte dos ativos roubados havia sido subsequentemente congelada.

Redes de lavagem norte-coreanas permanecem sob escrutínio

O último caso segue uma investigação de 5 de outubro na qual ZachXBT disse ter infiltrado uma rede suspeita de lavagem de criptomoedas conectada ao Grupo Lazarus da Coreia do Norte.

Como relatado anteriormente pela crypto.news, o investigador disse que gastou $349.700 se passando por um cliente para rastrear transações associadas ao roubo de $1,5 bilhão da Bybit em 2025.

Suas descobertas identificaram uma operação alegadamente chinesa que processou mais de $1 bilhão em múltiplas explorações de criptomoedas, embora o tamanho reivindicado da rede não tenha sido confirmado de forma independente por registros de aplicação da lei dos EUA disponíveis publicamente.

Durante essa investigação, ZachXBT afirmou ter identificado mais de $12 milhões em fundos vinculados à Bybit se movendo através de diferentes blockchains. A Tether, subsequentemente, congelou 442.000 USDT associados a carteiras descobertas durante a operação, de acordo com seu relato.

O investigador não estabeleceu uma conexão documentada publicamente entre os operadores identificados nessa investigação e os dealers de OTC envolvidos na mais recente trilha de transações do SquidSquad.

Transferências do Tornado Cash seguem outros ataques suspeitos vinculados à RPDC

Investigações separadas sobre roubo de criptomoedas documentaram movimentos semelhantes através do Tornado Cash, incluindo transações envolvendo ativos roubados do Drift Protocol no início deste ano.

Em 20 de outubro, carteiras associadas à exploração do Drift Protocol transferiram aproximadamente 25.700 ETH, avaliados em $61,56 milhões, para o protocolo de privacidade após um período de atividade limitada.

O Drift sofreu perdas estimadas em $285 milhões em abril, com uma investigação forense subsequente pela empresa de cibersegurança Mandiant atribuindo o ataque ao UNC6862, um grupo de ameaça da Coreia do Norte.

As transferências do Drift foram relatadas no mesmo dia que os movimentos identificados no caso do SquidSquad, embora os investigadores não tenham estabelecido que as duas transações envolvessem os mesmos operadores ou fossem coordenadas.

Uma investigação separada sobre o ataque ao Radiant Capital em 2024 documentou o uso do Tornado Cash após os atacantes roubarem aproximadamente $50 milhões do protocolo de empréstimos.

De acordo com as divulgações subsequentes do Radiant Capital, os atacantes comprometeram permissões de assinatura e substituíram um contrato de implementação de pool de empréstimos. Investigadores de cibersegurança posteriormente conectaram o incidente a operadores da Coreia do Norte.

Até outubro de 2025, a empresa de segurança blockchain CertiK havia identificado 2.834 ETH depositados no Tornado Cash a partir de carteiras associadas ao ataque, com aproximadamente $10,8 milhões acreditados como tendo passado pelo mixer.

O Radiant anunciou em junho de 2026 que encerraria suas operações após não conseguir se recuperar do roubo e garantir financiamento suficiente para continuar o desenvolvimento.

SquidSquad suspeito de usar falsificação e malware

Uma avaliação de ameaça de criptomoeda da RPDC de 2026 descobriu que o SquidSquad estava associado a campanhas direcionadas a fundadores de criptomoedas, executivos e investidores ricos.

De acordo com o relatório, o grupo comumente se passa por capitalistas de risco, investidores e contatos comerciais antes de tentar distribuir documentos ou softwares maliciosos através de plataformas de mensagens como Telegram e LinkedIn.

Pesquisadores vincularam o grupo a famílias de malware incluindo RustBucket, SwiftBucket e NimDoor, enquanto identificaram o Tornado Cash entre os serviços usados para mover fundos roubados.

Métodos semelhantes apareceram em outras campanhas de hacking da Coreia do Norte, com o Lazarus Group visando executivos de criptomoedas através de convites para reuniões falsas e software malicioso para macOS, de acordo com uma investigação de abril pela empresa de cibersegurança CertiK.