Vol de Cryptomonnaies par le Groupe SquidSquad
Un détenteur institutionnel de cryptomonnaies aurait perdu environ 2,84 millions de dollars lors d’une attaque attribuée au groupe de hackers SquidSquad, lié à la Corée du Nord. L’enquêteur blockchain ZachXBT a révélé le vol suspecté le 21 octobre, identifiant le 8 octobre comme la date de l’incident sur la BNB Smart Chain.
Détails de l’Incident
ZachXBT a détaillé une série de transactions qui auraient déplacé les bénéfices à travers plusieurs portefeuilles avant d’atteindre des négociants en cryptomonnaies en Chine. Selon l’enquêteur, la dernière activité a eu lieu le 20 octobre, lorsque l’attaquant a déposé 1 111,2 ETH dans Tornado Cash, puis a retiré les fonds vers trois adresses Ethereum distinctes.
« L’enquête a identifié des connexions financières entre les portefeuilles utilisés dans les transferts et des adresses précédemment attribuées à des opérateurs nord-coréens. »
Suite au vol suspecté du 8 octobre, l’attaquant semble avoir conservé le contrôle des bénéfices jusqu’au dernier mouvement, qui a impliqué la conversion ou le transfert des actifs en Ethereum avant de les envoyer via le protocole de confidentialité.
Analyse des Transactions
L’analyse des transactions de ZachXBT a identifié trois adresses qui ont reçu des fonds retirés de Tornado Cash. De ces portefeuilles, les actifs ont été transférés d’Ethereum à Tron en utilisant USDT0, une version de la stablecoin indexée sur le dollar de Tether, conçue pour les transferts à travers les réseaux blockchain pris en charge.
Les transferts ont finalement rassemblé les fonds dans deux adresses Tron, identifiées par l’enquêteur comme TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU et TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux. Les deux portefeuilles auraient eu une exposition transactionnelle à des adresses précédemment associées aux opérations de cryptomonnaies nord-coréennes.
Conséquences et Enquêtes Connexes
Bien que l’enquête ait retracé les mouvements signalés vers des destinations OTC, les résultats publics n’ont pas établi si les opérateurs avaient terminé une conversion en monnaie fiduciaire ou si une partie des actifs volés avait ensuite été gelée. Ce dernier cas fait suite à une enquête du 5 octobre, dans laquelle ZachXBT a déclaré avoir infiltré un réseau suspect de blanchiment de cryptomonnaies lié au groupe Lazarus de la Corée du Nord.
« L’enquêteur a déclaré avoir dépensé 349 700 dollars en se faisant passer pour un client afin de tracer des transactions associées au vol de 1,5 milliard de dollars de Bybit en 2025. »
Les découvertes ont identifié une opération chinoise présumée qui avait traité plus d’un milliard de dollars à travers plusieurs exploits de cryptomonnaies. Au cours de cette enquête, ZachXBT a déclaré avoir identifié plus de 12 millions de dollars de fonds liés à Bybit se déplaçant à travers différentes blockchains.
Activités de SquidSquad et Méthodes de Piratage
Une évaluation des menaces de cryptomonnaies de la RPDC de 2026 a révélé que SquidSquad était associé à des campagnes ciblant des fondateurs de cryptomonnaies, des dirigeants et des investisseurs fortunés. Selon le rapport, le groupe se fait souvent passer pour des capital-risqueurs, des investisseurs et des contacts commerciaux avant de tenter de distribuer des documents ou des logiciels malveillants via des plateformes de messagerie telles que Telegram et LinkedIn.
Les chercheurs ont lié le groupe à des familles de logiciels malveillants, y compris RustBucket, SwiftBucket et NimDoor, tout en identifiant Tornado Cash parmi les services utilisés pour déplacer des fonds volés. Des méthodes similaires sont apparues dans d’autres campagnes de piratage nord-coréennes, le groupe Lazarus ciblant des dirigeants de cryptomonnaies par le biais de fausses invitations à des réunions et de logiciels malveillants pour macOS.
