Robo de Criptomonedas por el Grupo SquidSquad
Un importante titular institucional de criptomonedas ha perdido aproximadamente $2.84 millones en un ataque sospechoso perpetrado por el grupo de hackers SquidSquad, vinculado a Corea del Norte. El investigador de blockchain ZachXBT reveló el robo el 21 de octubre, identificando el 8 de octubre como la fecha del incidente en la BNB Smart Chain.
Detalles del Ataque
El investigador detalló una serie de transacciones que supuestamente movieron los ingresos a través de varias billeteras antes de que llegaran a comerciantes de criptomonedas OTC en China. Según el investigador, la última actividad tuvo lugar el 20 de octubre, cuando el atacante depositó 1,111.2 ETH en Tornado Cash y posteriormente retiró los fondos a tres direcciones de Ethereum separadas.
La investigación identificó conexiones financieras entre las billeteras utilizadas en las transferencias y direcciones previamente atribuidas a operadores norcoreanos. Sin embargo, los hallazgos siguen siendo una atribución en cadena, y la identidad de la institución afectada no se ha divulgado públicamente.
Movimientos de Fondos
Tras el robo del 8 de octubre, el atacante parece haber mantenido el control de los ingresos hasta el último movimiento, que involucró convertir o transferir los activos a Ethereum antes de enviarlos a través del protocolo de privacidad. El análisis de transacciones de ZachXBT identificó tres direcciones que recibieron fondos retirados de Tornado Cash.
Desde esas billeteras, los activos fueron transferidos de Ethereum a Tron utilizando USDT0, una versión de la stablecoin vinculada al dólar de Tether diseñada para transferencias a través de redes blockchain soportadas. Las transferencias finalmente reunieron los fondos en dos direcciones de Tron, identificadas por el investigador como TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU y TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.
Ambas billeteras supuestamente tenían exposición a transacciones con direcciones previamente asociadas a operaciones de criptomonedas norcoreanas. ZachXBT no identificó incidentes anteriores específicos conectados a esas direcciones en los hallazgos proporcionados.
Investigaciones Previas y Conexiones
Dentro de minutos de la consolidación, los fondos pasaron por billeteras intermediarias antes de llegar a direcciones atribuidas a comerciantes OTC chinos. El investigador sospechó que las transferencias rápidas estaban destinadas a evitar un posible congelamiento por parte de Tether, que puede restringir USDT mantenido en direcciones en blockchains soportadas.
Aunque la investigación rastreó los movimientos reportados hacia destinos OTC, los hallazgos públicos no establecieron si los operadores habían completado una conversión a moneda fiduciaria o si alguna parte de los activos robados había sido posteriormente congelada.
Este caso sigue a una investigación del 5 de octubre en la que ZachXBT dijo haber infiltrado una red sospechosa de lavado de criptomonedas conectada al Grupo Lazarus de Corea del Norte. Como informó anteriormente crypto.news, el investigador dijo que gastó $349,700 haciéndose pasar por un cliente para rastrear transacciones asociadas con el robo de $1.5 mil millones de Bybit en 2025.
Conclusiones y Amenazas Futuras
Una evaluación de amenazas de criptomonedas de la DPRK de 2026 encontró que SquidSquad estaba asociado con campañas dirigidas a fundadores de criptomonedas, ejecutivos e inversores adinerados. Según el informe, el grupo comúnmente se hace pasar por capitalistas de riesgo, inversores y contactos comerciales antes de intentar distribuir documentos o software maliciosos a través de plataformas de mensajería como Telegram y LinkedIn.
Los investigadores vincularon al grupo con familias de malware que incluyen RustBucket, SwiftBucket y NimDoor, mientras identificaron a Tornado Cash entre los servicios utilizados para mover fondos robados. Métodos similares han aparecido en otras campañas de hacking norcoreanas, con el Grupo Lazarus apuntando a ejecutivos de criptomonedas a través de invitaciones a reuniones falsas y software malicioso de macOS.
