加密货币盗窃事件概述
一名机构加密货币持有者据报道在一起疑似由与北朝鲜有关的黑客组织SquidSquad发动的攻击中损失了约284万美元。区块链调查员ZachXBT于10月21日披露了这一疑似盗窃事件，确定事件发生在10月8日，涉及BNB智能链，并详细描述了一系列交易，这些交易将赃款通过多个钱包转移，最终到达中国的场外加密货币交易商。
资金转移与调查发现
根据调查员的说法，最新的活动发生在10月20日，当时攻击者将1,111.2 ETH存入Tornado Cash，并随后将资金提取到三个不同的以太坊地址。调查显示，转账中使用的钱包与之前归属于北朝鲜运营者的地址之间存在财务联系。
“这些发现仍然是链上归属，受影响机构的身份尚未公开披露。”
在疑似的10月8日盗窃之后，攻击者似乎一直控制着赃款，直到最新的转移，这涉及将资产转换或转移为以太坊，然后通过隐私协议进行发送。ZachXBT的交易分析识别出三个从Tornado Cash提取资金的地址。
资金流向与目的
从这些钱包中，资产通过USDT0（一种为跨支持区块链网络转移而设计的Tether美元挂钩稳定币版本）从以太坊转移到Tron。最终，这些资金在两个Tron地址中汇聚，调查员将其识别为TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU和TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux。两者的钱包据报道与之前与北朝鲜加密货币活动相关的地址有交易记录。
在资金汇聚后的几分钟内，这些资金通过中介钱包转移，最终到达与中国场外交易商相关的地址。调查员怀疑这些快速转移的目的是为了避免Tether可能的冻结，因为Tether可以限制在支持的区块链上持有的USDT。
后续调查与相关事件
尽管调查追踪了报告的资金流向场外交易目的地，但公开的发现并未确定运营商是否完成了对法定货币的转换，或是否有任何部分被盗资产随后被冻结。最新案件跟随了10月5日的一项调查，ZachXBT表示他渗透了与北朝鲜的Lazarus Group相关的疑似加密货币洗钱网络。
“他花费了349,700美元假装成客户，以追踪与2025年15亿美元Bybit盗窃相关的交易。”
他的发现识别出一个声称处理超过10亿美元的中国操作，涉及多个加密货币漏洞，尽管该网络的声称规模未得到公开可用的美国执法记录的独立确认。
其他相关盗窃事件
其他加密货币盗窃调查记录了通过Tornado Cash的类似资金流动，包括涉及今年早些时候从Drift Protocol盗取的资产的交易。10月20日，与Drift Protocol漏洞相关的钱包在经过一段时间的有限活动后，将约25,700 ETH（价值6156万美元）转入隐私协议。
Drift在4月份遭受了估计为2.85亿美元的损失，随后网络安全公司Mandiant的法医调查将此次攻击归因于UNC6862，一个北朝鲜威胁组织。
调查人员尚未确定这两笔交易是否涉及相同的运营商或是否协调进行。对2024年Radiant Capital攻击的另一项调查记录了攻击者在盗取约5000万美元后使用Tornado Cash。
结论
2026年对朝鲜民主主义人民共和国加密货币威胁的评估发现，SquidSquad与针对加密货币创始人、高管和富有投资者的活动相关联。根据报告，该组织通常伪装成风险投资家、投资者和商业联系人，然后试图通过Telegram和LinkedIn等消息平台分发恶意文档或软件。
研究人员将该组织与RustBucket、SwiftBucket和NimDoor等恶意软件家族联系在一起，同时识别出Tornado Cash作为用于转移被盗资金的服务。
