Según informes, un tenedor institucional de criptomonedas perdió aproximadamente 2,84 millones de dólares en un presunto ataque del grupo de hackers SquidSquad, vinculado a Corea del Norte.
Resumen
- Según informes, un tenedor institucional de criptomonedas perdió aproximadamente 2,84 millones de dólares en un ataque del 8 de octubre en BNB Chain.
- El 20 de octubre, el atacante presuntamente depositó 1.111,2 ETH en Tornado Cash antes de retirar los fondos a tres direcciones de Ethereum y posteriormente transferirlos a Tron mediante USDT0.
- ZachXBT identificó dos billeteras de Tron que recibieron los fondos y que tenían exposición a direcciones previamente atribuidas a Corea del Norte.
- La identidad de la institución afectada y el método utilizado para comprometer sus activos siguen sin revelarse.
El investigador de blockchain ZachXBT reveló el presunto robo el 21 de octubre, identificando el 8 de octubre como la fecha del incidente en BNB Smart Chain y detallando una serie de transacciones que supuestamente movieron las ganancias a través de varias billeteras antes de llegar a comerciantes de criptomonedas extrabursátiles (OTC) chinos.
Según el investigador, la actividad más reciente ocurrió el 20 de octubre, cuando el atacante depositó 1.111,2 ETH en Tornado Cash y posteriormente retiró los fondos a tres direcciones separadas de Ethereum.
La investigación identificó conexiones financieras entre las billeteras utilizadas en las transferencias y direcciones previamente atribuidas a operadores norcoreanos. Sin embargo, los hallazgos siguen siendo una atribución en cadena, y la identidad de la institución afectada no se ha hecho pública.
Los fondos robados por SquidSquad se mueven a través de Tornado Cash
Tras el presunto robo del 8 de octubre, el atacante parece haber mantenido el control de las ganancias hasta el último movimiento, que implicó convertir o transferir los activos a Ethereum antes de enviarlos a través del protocolo de privacidad.
El análisis de transacciones de ZachXBT identificó tres direcciones que recibieron fondos retirados de Tornado Cash. Desde esas billeteras, los activos se transfirieron de Ethereum a Tron utilizando USDT0, una versión de la stablecoin de Tether vinculada al dólar diseñada para transferencias a través de redes blockchain compatibles.
Las transferencias finalmente reunieron los fondos en dos direcciones de Tron, identificadas por el investigador como TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU y TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux.
Según informes, ambas billeteras tenían exposición transaccional a direcciones previamente asociadas con operaciones de criptomonedas norcoreanas. ZachXBT no identificó los incidentes anteriores específicos conectados a esas direcciones en los hallazgos proporcionados.
En cuestión de minutos tras la consolidación, los fondos pasaron por billeteras intermediarias antes de llegar a direcciones atribuidas a comerciantes OTC chinos.
El investigador sospechó que las transferencias rápidas tenían la intención de evitar un posible congelamiento por parte de Tether, que puede restringir los USDT mantenidos en direcciones en blockchains compatibles.
Aunque la investigación rastreó los movimientos reportados hasta destinos OTC, los hallazgos públicos no establecieron si los operadores habían completado una conversión a moneda fiduciaria o si alguna parte de los activos robados había sido posteriormente congelada.
Las redes de blanqueo norcoreanas han permanecido bajo escrutinio
El último caso sigue a una investigación del 5 de octubre en la que ZachXBT dijo haber infiltrado una presunta red de blanqueo de criptomonedas conectada al Grupo Lazarus de Corea del Norte.
Como crypto.news informó anteriormente, el investigador dijo que gastó 349.700 dólares haciéndose pasar por un cliente para rastrear transacciones asociadas con el robo de 1.500 millones de dólares de Bybit en 2025.
Sus hallazgos identificaron una presunta operación china que había procesado más de 1.000 millones de dólares a través de múltiples exploits de criptomonedas, aunque el tamaño declarado de la red no fue confirmado de forma independiente por los registros de aplicación de la ley de EE. UU. disponibles públicamente.
Durante esa investigación, ZachXBT dijo que identificó más de 12 millones de dólares en fondos vinculados a Bybit moviéndose a través de diferentes blockchains. Posteriormente, Tether congeló 442.000 USDT asociados con billeteras descubiertas durante la operación, según su relato.
El investigador no ha establecido una conexión documentada públicamente entre los operadores identificados en esa investigación y los comerciantes OTC involucrados en el último rastro de transacciones de SquidSquad.
Las transferencias de Tornado Cash siguen a otros ataques sospechosos vinculados a la RPDC
Investigaciones separadas sobre robos de criptomonedas han documentado movimientos similares a través de Tornado Cash, incluidas transacciones que involucran activos robados del Drift Protocol a principios de este año.
El 20 de octubre, billeteras asociadas con el exploit del Drift Protocol transfirieron aproximadamente 25.700 ETH, valorados en 61,56 millones de dólares, al protocolo de privacidad tras un período de actividad limitada.
Drift sufrió pérdidas estimadas en 285 millones de dólares en abril, y una investigación forense posterior realizada por la firma de ciberseguridad Mandiant atribuyó el ataque a UNC6862, un grupo de amenaza norcoreano.
Las transferencias de Drift se reportaron el mismo día que los movimientos identificados en el caso SquidSquad, aunque los investigadores no han establecido que las dos transacciones involucraran a los mismos operadores ni que estuvieran coordinadas.
Una investigación separada sobre el ataque a Radiant Capital de 2024 documentó el uso de Tornado Cash después de que los atacantes robaran aproximadamente 50 millones de dólares del protocolo de préstamos.
Según las divulgaciones posteriores de Radiant Capital, los atacantes comprometieron los permisos de firma y reemplazaron un contrato de implementación de un pool de préstamos. Los investigadores de ciberseguridad posteriormente vincularon el incidente con operadores norcoreanos.
Para octubre de 2025, la firma de seguridad blockchain CertiK había identificado 2.834 ETH depositados en Tornado Cash desde billeteras asociadas con el ataque, y se cree que aproximadamente 10,8 millones de dólares pasaron a través del mezclador.
Radiant anunció en junio de 2026 que cesaría sus operaciones tras no poder recuperarse del robo y asegurar financiamiento suficiente para continuar con el desarrollo.
Se sospecha que SquidSquad utiliza suplantación de identidad y malware
Una evaluación de amenazas de criptomonedas de la RPDC de 2026 encontró que SquidSquad estaba asociado con campañas dirigidas a fundadores de criptomonedas, ejecutivos e inversores adinerados.
Los investigadores vincularon al grupo con familias de malware como RustBucket, SwiftBucket y NimDoor, mientras identificaban a Tornado Cash entre los servicios utilizados para mover fondos robados.
Métodos similares han aparecido en otras campañas de piratería norcoreanas, con el Grupo Lazarus dirigido a ejecutivos de criptomonedas mediante invitaciones a reuniones falsas y software macOS malicioso, según una investigación de abril de la firma de ciberseguridad CertiK.
