گروه هکری SquidSquad کره شمالی مظنون به سرقت ۲.۸۴ میلیون دلاری از زنجیره BNB

بر اساس گزارش‌ها، یک سرمایه‌گذار نهادی ارز دیجیتال در یک حمله هکری حدود ۲.۸۴ میلیون دلار از دارایی‌های خود را از دست داده است. این حمله که در تاریخ ۸ اکتبر در زنجیره هوشمند BNB رخ داده، به گروه هکری SquidSquad وابسته به کره شمالی نسبت داده می‌شود.

زک‌ایکس‌بی‌تی (ZachXBT)، کارآگاه بلاکچین، در تاریخ ۲۱ اکتبر این سرقت را فاش کرد و جزئیات مجموعه‌ای از تراکنش‌ها را شرح داد که طی آن، وجوه سرقتی از طریق چندین کیف پول جابجا شده و در نهایت به دست کارگزاران ارز دیجیتال غیرمتمرکز (OTC) در چین رسیده است.

طبق گفته این محقق، آخرین فعالیت در تاریخ ۲۰ اکتبر صورت گرفته، زمانی که مهاجم ۱,۱۱۱.۲ اتریوم (ETH) را به پروتکل تورنادو کش واریز کرده و سپس این وجوه را به سه آدرس اتریوم مجزا برداشت کرده است.

تحقیقات نشان می‌دهد که بین کیف پول‌های استفاده شده در این انتقالات و آدرس‌هایی که قبلاً به اپراتورهای کره شمالی نسبت داده شده بودند، ارتباطات مالی وجود دارد. با این حال، این یافته‌ها صرفاً یک ردیابی آن‌چین است و هویت مؤسسه آسیب‌دیده و روش به سرقت رفتن دارایی‌های آن هنوز فاش نشده است.

مسیر پول‌های سرقتی گروه SquidSquad

به نظر می‌رسد مهاجم پس از سرقت در ۸ اکتبر، کنترل وجوه را در دست داشته تا اینکه در آخرین اقدام، دارایی‌ها را به اتریوم تبدیل یا منتقل کرده و سپس از طریق پروتکل حریم خصوصی تورنادو کش ارسال کرده است.

تحلیل تراکنش‌های ZachXBT سه آدرسی را شناسایی کرد که وجوه را از تورنادو کش دریافت کرده‌اند. از آن کیف پول‌ها، دارایی‌ها با استفاده از USDT0 (نسخه‌ای از استیبل‌کوین تتر برای انتقالات بین شبکه‌های بلاکچین پشتیبانی‌شده) از اتریوم به شبکه ترون منتقل شدند.

این انتقالات در نهایت وجوه را در دو آدرس ترون با شناسه‌های TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU و TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux تجمیع کرد. گفته می‌شود هر دو کیف پول با آدرس‌های مرتبط با عملیات‌های ارز دیجیتال قبلی کره شمالی در ارتباط بوده‌اند.

ظرف چند دقیقه پس از تجمیع، وجوه از طریق کیف پول‌های واسطه به آدرس‌هایی که به کارگزاران OTC چینی نسبت داده شده، منتقل شدند. این محقق معتقد است که این انتقالات سریع برای جلوگیری از مسدود شدن احتمالی توسط شرکت تتر انجام شده است، زیرا تتر می‌تواند USDT نگهداری شده در آدرس‌های روی بلاکچین‌های پشتیبانی‌شده را محدود کند.

شبکه‌های پولشویی کره شمالی همچنان زیر ذره‌بین

این مورد اخیر به دنبال تحقیقات دیگری در ۵ اکتبر است که در آن ZachXBT اعلام کرد به یک شبکه مشکوک به پولشویی ارز دیجیتال مرتبط با گروه لازاروس کره شمالی نفوذ کرده است. او با صرف هزینه‌ای نزدیک به ۳۵۰ هزار دلار به عنوان یک مشتری، تراکنش‌های مرتبط با یک سرقت بزرگ از صرافی Bybit را ردیابی کرد.

یافته‌های او یک عملیات ادعایی در چین را شناسایی کرد که بیش از یک میلیارد دلار از چندین اکسپلویت ارز دیجیتال را پردازش کرده بود. در آن تحقیقات، ZachXBT بیش از ۱۲ میلیون دلار وجوه مرتبط با Bybit را شناسایی کرد که در بلاکچین‌های مختلف جابجا می‌شدند و در نهایت شرکت تتر ۴۴۲,۰۰۰ USDT مرتبط با کیف پول‌های کشف‌شده را مسدود کرد.

استفاده از تورنادو کش در حملات دیگر منتسب به کره شمالی

تحقیقات جداگانه‌ای در مورد سرقت‌های ارز دیجیتال، حرکات مشابهی را از طریق تورنادو کش ثبت کرده‌اند. برای مثال، در ۲۰ اکتبر، کیف پول‌های مرتبط با اکسپلویت پروتکل Drift حدود ۲۵,۷۰۰ اتریوم (معادل ۶۱.۵۶ میلیون دلار) را به این پروتکل حریم خصوصی منتقل کردند. شرکت امنیت سایبری Mandiant این حمله را به یک گروه تهدیدآمیز کره شمالی نسبت داده بود.

همچنین، در حمله به Radiant Capital که منجر به سرقت حدود ۵۰ میلیون دلار شد، مهاجمان از تورنادو کش برای جابجایی وجوه استفاده کردند. طبق گزارش‌ها، حدود ۱۰.۸ میلیون دلار از دارایی‌های سرقتی از طریق این میکسر عبور کرده است. پروتکل Radiant در نهایت به دلیل عدم موفقیت در بازیابی دارایی‌ها و تأمین بودجه، فعالیت خود را متوقف کرد.

روش‌های گروه SquidSquad: جعل هویت و بدافزار

یک ارزیابی تهدیدات ارز دیجیتال نشان داد که گروه SquidSquad با کمپین‌هایی که بنیان‌گذاران، مدیران و سرمایه‌گذاران ثروتمند ارز دیجیتال را هدف قرار می‌دهند، مرتبط است. بر اساس این گزارش، این گروه معمولاً با جعل هویت سرمایه‌گذاران خطرپذیر و مخاطبان تجاری، تلاش می‌کند تا اسناد یا نرم‌افزارهای مخرب را از طریق پلتفرم‌هایی مانند تلگرام و لینکدین توزیع کند.

محققان این گروه را به خانواده‌های بدافزاری مانند RustBucket، SwiftBucket و NimDoor مرتبط دانسته و تورنادو کش را به عنوان یکی از ابزارهای مورد استفاده آن‌ها برای جابجایی وجوه سرقتی شناسایی کرده‌اند.