Ein institutioneller Kryptowährungsinhaber hat Berichten zufolge etwa 2,84 Millionen US-Dollar bei einem mutmaßlichen Angriff der mit Nordkorea verbundenen Hackergruppe SquidSquad verloren.
Zusammenfassung
- Ein institutioneller Kryptowährungsinhaber hat Berichten zufolge etwa 2,84 Millionen US-Dollar bei einem Angriff am 8. Oktober auf die BNB Chain verloren.
- Am 20. Oktober hat der Angreifer Berichten zufolge 1.111,2 ETH in Tornado Cash eingezahlt, bevor er die Gelder auf drei Ethereum-Adressen abhob und sie anschließend über USDT0 nach Tron transferierte.
- ZachXBT identifizierte zwei Tron-Wallets, die die Gelder erhielten und Exposition gegenüber zuvor nordkoreanischen Adressen zugeordneten Adressen hatten.
- Die Identität der betroffenen Institution und die Methode, mit der ihre Vermögenswerte kompromittiert wurden, bleiben unveröffentlicht.
Der Blockchain-Ermittler ZachXBT offenbarte den mutmaßlichen Diebstahl am 21. Oktober, identifizierte den 8. Oktober als Datum des Vorfalls auf der BNB Smart Chain und beschrieb eine Reihe von Transaktionen, die den Erlös angeblich durch mehrere Wallets bewegten, bevor er chinesische OTC-Kryptowährungshändler erreichte.
Laut dem Ermittler fand die jüngste Aktivität am 20. Oktober statt, als der Angreifer 1.111,2 ETH in Tornado Cash einzahlte und die Gelder anschließend auf drei separate Ethereum-Adressen abhob.
Die Untersuchung identifizierte finanzielle Verbindungen zwischen den bei den Transfers verwendeten Wallets und Adressen, die zuvor nordkoreanischen Operatoren zugeordnet wurden. Die Ergebnisse bleiben jedoch eine On-Chain-Zuordnung, und die Identität der betroffenen Institution wurde nicht öffentlich bekannt gegeben.
Gestohlene Gelder von SquidSquad bewegen sich durch Tornado Cash
Nach dem mutmaßlichen Diebstahl vom 8. Oktober scheint der Angreifer die Kontrolle über den Erlös bis zur jüngsten Bewegung behalten zu haben, die die Umwandlung oder Übertragung der Vermögenswerte in Ethereum beinhaltete, bevor sie durch das Privacy-Protokoll gesendet wurden.
Die Transaktionsanalyse von ZachXBT identifizierte drei Adressen, die aus Tornado Cash abgehobene Gelder erhielten. Von diesen Wallets wurden die Vermögenswerte unter Verwendung von USDT0 von Ethereum nach Tron übertragen, einer Version von Tether's dollar-gebundener Stablecoin, die für Übertragungen über unterstützte Blockchain-Netzwerke entwickelt wurde.
Die Transfers brachten die Gelder schließlich in zwei Tron-Adressen zusammen, die vom Ermittler als TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU und TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux identifiziert wurden.
Beide Wallets hatten Berichten zufolge Transaktionsexposition gegenüber Adressen, die zuvor mit nordkoreanischen Kryptowährungsoperationen in Verbindung gebracht wurden. ZachXBT identifizierte in den bereitgestellten Ergebnissen nicht die spezifischen früheren Vorfälle, die mit diesen Adressen verbunden waren.
Innerhalb von Minuten nach der Konsolidierung passierten die Gelder Zwischen-Wallets, bevor sie Adressen erreichten, die chinesischen OTC-Händlern zugeordnet wurden.
Der Ermittler vermutete, dass die schnellen Transfers beabsichtigten, eine mögliche Einfrierung durch Tether zu vermeiden, die USDT in Adressen auf unterstützten Blockchains einschränken kann.
Obwohl die Untersuchung die gemeldeten Bewegungen zu OTC-Zielen zurückverfolgte, stellten die öffentlichen Ergebnisse nicht fest, ob die Operatoren eine Umwandlung in Fiat-Währung abgeschlossen hatten oder ob ein Teil der gestohlenen Vermögenswerte anschließend eingefroren worden war.
Nordkoreanische Geldwäschenetzwerke bleiben unter Beobachtung
Der jüngste Fall folgt auf eine Untersuchung vom 5. Oktober, in der ZachXBT sagte, er habe ein mutmaßliches Kryptowährungs-Geldwäschenetzwerk infiltriert, das mit Nordkoreas Lazarus Group verbunden ist.
Wie crypto.news zuvor berichtete, sagte der Ermittler, er habe 349.700 US-Dollar ausgegeben, um sich als Kunde auszugeben und Transaktionen im Zusammenhang mit dem Diebstahl von 1,5 Milliarden US-Dollar bei Bybit im Jahr 2025 zurückzuverfolgen.
Seine Ergebnisse identifizierten eine angebliche chinesische Operation, die über mehrere Kryptowährungs-Exploits hinweg mehr als 1 Milliarde US-Dollar verarbeitet hatte, obwohl die behauptete Größe des Netzwerks nicht unabhängig durch öffentlich verfügbare US-Durchsetzungsunterlagen bestätigt wurde.
Während dieser Untersuchung sagte ZachXBT, er habe mehr als 12 Millionen US-Dollar an Bybit-verbundenen Geldern identifiziert, die sich über verschiedene Blockchains bewegten. Tether fror anschließend 442.000 USDT ein, die mit Wallets verbunden waren, die während der Operation aufgedeckt wurden, so seine Darstellung.
Der Ermittler hat keine öffentlich dokumentierte Verbindung zwischen den in dieser Untersuchung identifizierten Operatoren und den OTC-Händlern festgestellt, die an der jüngsten SquidSquad-Transaktionsspur beteiligt waren.
Tornado-Cash-Transfers folgen auf weitere mutmaßlich mit der DVRK verbundene Angriffe
Separate Untersuchungen zu Kryptowährungsdiebstählen haben ähnliche Bewegungen über Tornado Cash dokumentiert, darunter Transaktionen mit Vermögenswerten, die Anfang dieses Jahres vom Drift Protocol gestohlen wurden.
Am 20. Oktober überwiesen Wallets, die mit dem Drift-Protocol-Exploit in Verbindung stehen, nach einer Phase begrenzter Aktivität etwa 25.700 ETH im Wert von 61,56 Millionen US-Dollar in das Privacy-Protokoll.
Drift erlitt im April Verluste in geschätzter Höhe von 285 Millionen US-Dollar, wobei eine anschließende forensische Untersuchung durch das Cybersicherheitsunternehmen Mandiant den Angriff der nordkoreanischen Bedrohungsgruppe UNC6862 zuschrieb.
Die Drift-Transfers wurden am selben Tag gemeldet wie die im Fall SquidSquad identifizierten Bewegungen, wobei die Ermittler jedoch nicht festgestellt haben, dass die beiden Transaktionen dieselben Akteure betrafen oder koordiniert waren.
Eine separate Untersuchung des Angriffs auf Radiant Capital aus dem Jahr 2024 dokumentierte die Nutzung von Tornado Cash, nachdem Angreifer etwa 50 Millionen US-Dollar vom Lending-Protokoll gestohlen hatten.
Laut den späteren Offenlegungen von Radiant Capital kompromittierten die Angreifer Signaturberechtigungen und ersetzten einen Implementierungsvertrag eines Lending-Pools. Cybersicherheitsermittler brachten den Vorfall später mit nordkoreanischen Akteuren in Verbindung.
Bis Oktober 2025 hatte das Blockchain-Sicherheitsunternehmen CertiK 2.834 ETH identifiziert, die von mit dem Angriff verbundenen Wallets in Tornado Cash eingezahlt wurden, wobei schätzungsweise etwa 10,8 Millionen US-Dollar den Mixer durchlaufen haben sollen.
Radiant kündigte im Juni 2026 an, den Betrieb einzustellen, nachdem es nicht gelungen war, sich von dem Diebstahl zu erholen und ausreichende Mittel für die Fortsetzung der Entwicklung zu sichern.
SquidSquad soll Identitätstäuschung und Malware einsetzen
Eine Bedrohungsbewertung zu Kryptowährungen der DVRK aus dem Jahr 2026 ergab, dass SquidSquad mit Kampagnen in Verbindung gebracht wurde, die auf Kryptowährungsgründer, Führungskräfte und vermögende Investoren abzielten.
Die Forscher brachten die Gruppe mit Malware-Familien wie RustBucket, SwiftBucket und NimDoor in Verbindung und identifizierten Tornado Cash unter den Diensten, die zur Bewegung gestohlener Gelder genutzt wurden.
Ähnliche Methoden sind in anderen nordkoreanischen Hacking-Kampagnen aufgetreten, wobei die Lazarus Group Kryptowährungs-Führungskräfte laut einer Untersuchung des Cybersicherheitsunternehmens CertiK aus dem April durch gefälschte Meeting-Einladungen und bösartige macOS-Software ins Visier nahm.
