Furto di Criptovalute da 2,84 Milioni di Dollari
Un investitore istituzionale di criptovalute ha segnalato di aver perso circa 2,84 milioni di dollari in un attacco sospetto attribuito al gruppo di hacker SquidSquad, legato alla Corea del Nord. L’investigatore blockchain ZachXBT ha rivelato il furto il 21 ottobre, identificando l’8 ottobre come la data dell’incidente sulla BNB Smart Chain.
Dettagli dell’Attacco
Ha dettagliato una serie di transazioni che hanno spostato i proventi attraverso diversi portafogli prima di raggiungere i rivenditori di criptovalute cinesi. Secondo l’investigatore, l’ultima attività si è svolta il 20 ottobre, quando l’attaccante ha depositato 1.111,2 ETH in Tornado Cash e successivamente ha ritirato i fondi su tre indirizzi Ethereum separati.
L’indagine ha identificato collegamenti finanziari tra i portafogli utilizzati nei trasferimenti e indirizzi precedentemente attribuiti a operatori nordcoreani.
Tuttavia, i risultati rimangono un’attribuzione on-chain e l’identità dell’istituzione colpita non è stata divulgata pubblicamente. Dopo il furto sospetto dell’8 ottobre, l’attaccante sembra aver mantenuto il controllo dei proventi fino all’ultimo movimento, che ha coinvolto la conversione o il trasferimento degli asset in Ethereum prima di inviarli attraverso il protocollo di privacy.
Movimenti dei Fondi
L’analisi delle transazioni di ZachXBT ha identificato tre indirizzi che hanno ricevuto fondi ritirati da Tornado Cash. Da quei portafogli, gli asset sono stati trasferiti da Ethereum a Tron utilizzando USDT, una versione della stablecoin ancorata al dollaro di Tether progettata per trasferimenti attraverso reti blockchain supportate.
I trasferimenti hanno infine riunito i fondi in due indirizzi Tron, identificati dall’investigatore come TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU e TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux. Entrambi i portafogli avrebbero avuto esposizione alle transazioni con indirizzi precedentemente associati alle operazioni di criptovaluta nordcoreane.
ZachXBT non ha identificato specifici incidenti precedenti collegati a quegli indirizzi nei risultati forniti.
Nel giro di pochi minuti dalla consolidazione, i fondi sono passati attraverso portafogli intermedi prima di raggiungere indirizzi attribuiti a rivenditori OTC cinesi. L’investigatore sospettava che i trasferimenti rapidi fossero destinati a evitare un potenziale congelamento da parte di Tether, che può limitare gli USDT detenuti in indirizzi su blockchain supportate.
Indagini Precedenti e Ricerche Correlate
Sebbene l’indagine abbia tracciato i movimenti riportati verso destinazioni OTC, i risultati pubblici non hanno stabilito se gli operatori avessero completato una conversione in valuta fiat o se una parte degli asset rubati fosse stata successivamente congelata. L’ultimo caso segue un’indagine del 5 ottobre in cui ZachXBT ha dichiarato di aver infiltrato una rete sospetta di riciclaggio di criptovalute collegata al gruppo Lazarus della Corea del Nord.
Come riportato in precedenza da crypto.news, l’investigatore ha affermato di aver speso 349.700 dollari fingendosi un cliente per tracciare le transazioni associate al furto di 1,5 miliardi di dollari di Bybit nel 2025. I suoi risultati hanno identificato un’operazione cinese presunta che aveva elaborato più di 1 miliardo di dollari attraverso molteplici exploit di criptovalute.
Durante quell’indagine, ZachXBT ha affermato di aver identificato più di 12 milioni di dollari in fondi collegati a Bybit che si muovevano attraverso diverse blockchain.
Tether ha successivamente congelato 442.000 USDT associati a portafogli scoperti durante l’operazione, secondo il suo racconto. L’investigatore non ha stabilito un collegamento documentato pubblicamente tra gli operatori identificati in quell’indagine e i rivenditori OTC coinvolti nell’ultimo percorso di transazione di SquidSquad.
Conclusioni e Riflessioni Finali
Indagini separate sui furti di criptovalute hanno documentato movimenti simili attraverso Tornado Cash, comprese transazioni che coinvolgono asset rubati dal Drift Protocol all’inizio di quest’anno. Il 20 ottobre, i portafogli associati all’exploit del Drift Protocol hanno trasferito circa 25.700 ETH, valutati 61,56 milioni di dollari, nel protocollo di privacy dopo un periodo di attività limitata.
Drift ha subito perdite stimate a 285 milioni di dollari ad aprile, con un’indagine forense successiva da parte della società di cybersecurity Mandiant che ha attribuito l’attacco a UNC6862, un gruppo di minaccia nordcoreano. I trasferimenti di Drift sono stati riportati lo stesso giorno dei movimenti identificati nel caso SquidSquad, sebbene gli investigatori non abbiano stabilito che le due transazioni coinvolgessero gli stessi operatori o fossero coordinate.
Una valutazione della minaccia delle criptovalute DPRK del 2026 ha rilevato che SquidSquad era associato a campagne che prendevano di mira fondatori di criptovalute, dirigenti e investitori facoltosi. Secondo il rapporto, il gruppo comunemente impersona capitalisti di rischio, investitori e contatti commerciali prima di tentare di distribuire documenti o software dannosi attraverso piattaforme di messaggistica come Telegram e LinkedIn.
I ricercatori hanno collegato il gruppo a famiglie di malware tra cui RustBucket, SwiftBucket e NimDoor, identificando Tornado Cash tra i servizi utilizzati per muovere fondi rubati. Metodi simili sono apparsi in altre campagne di hacking nordcoreane, con il gruppo Lazarus che prende di mira dirigenti di criptovalute attraverso inviti a riunioni falsi e software dannoso per macOS, secondo un’indagine di aprile della società di cybersecurity CertiK.
