与朝鲜关联的SquidSquad从BNB智能链机构持有人处盗取284万美元

10月8日一家机构持有人遭攻击

10月8日,BNB智能链上一家机构级加密货币持有人被转走约284万美元,链上调查员ZachXBT在10月21日星期三发布的追踪报告中,将这起盗窃归因于与朝鲜关联的黑客组织SquidSquad。报告还原了一条完整的洗钱链条:赃款先后经过多个中转钱包,最终抵达与中文场外加密货币交易商相关的地址,这些交易商 operates 在受监管的加密货币交易所合规范围之外。ZachXBT确认,这些转账所用钱包与此前归属于朝鲜运营者的地址存在资金关联,这是SquidSquad归因结论的基础。需要说明的是,这仍是一条链上归因:其置信度建立在钱包层面与既往朝鲜关联活动的重叠之上,并非任何内部消息。受影响机构的身份未公开,资产被攻破的具体方式未公开,也没有公开记录显示该持有人是否已向当局报案。已发布的调查结果同样没有解释最初的入侵环节,因此目前尚不清楚是签名私钥泄露、员工设备失陷,还是第三方集成出了问题。没有任何平台或托管机构发布声明独立证实这笔损失。链上活动显示,攻击者在得手后近两周内一直控制着赃款,第一笔大规模转移直到10月20日才出现,在此之前,这些资产在链上几乎没有留下可见痕迹。此次失守与BNB价格及网络本身运行无关,问题出在BNB链上单一机构持有人的托管层。

1111.2枚ETH经Tornado Cash混币

10月20日的转移是整条链条迄今最密集的一段。攻击者向Tornado Cash存入1111.2枚ETH,这种隐私协议可切断发送钱包与接收钱包之间的可见关联,随后提取至三个不同的以太坊地址。接着,资产通过USDT0跨至Tron网络。USDT0是Tether美元稳定币的跨链版本,可直接在受支持的网络间转移,无需依赖用户通常设置的跨链桥。这些转账最终汇聚到两个Tron地址:TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU和TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux,两者的交易记录均与此前归属朝鲜行动的地址存在重叠。归并完成后数分钟内,资金便经过中转钱包抵达归属中文场外交易商的地址。如此快的节奏,读起来像是在抢先一步规避冻结:Tether有权限制其受支持网络上的USDT地址余额。调查结果未能确认交易商是否完成了法币兑换,也就是通常所说的加密货币变现,也不清楚被盗资产是否有部分已被冻结。2026年朝鲜加密货币威胁评估将SquidSquad与针对加密货币创始人、高管及富裕投资者的攻击行动联系起来。该组织在Telegram和LinkedIn上冒充风险投资人、投资者或商务联系人,随后投放恶意文件或软件;研究人员已将其与RustBucket、SwiftBucket和NimDoor恶意软件家族关联,Tornado Cash也被列为转移赃款的服务之一。此案之前还有一次披露:10月5日,ZachXBT表示他为追踪2025年Bybit15亿美元盗窃案的相关交易,以客户身份卧底花费了34.97万美元;这条线索指向一个涉嫌处理逾10亿美元资金的中文操作团伙,Tether随后冻结了在其中被发现的关联钱包的44.2万枚USDT。Mandiant将4月一起2.85亿美元盗窃案归因于朝鲜组织UNC6862,与Drift Protocol漏洞利用相关的钱包在同一天向Tornado Cash转入价值6156万美元的25700枚ETH,但尚未确认两案之间存在协同。2024年Radiant Capital约5000万美元失窃案走了类似的混币路径:截至2025年10月,CertiK统计与该攻击相关的钱包经混币器转移了2834枚ETH,约1080万美元;Radiant已于2026年6月停止运营。BNB智能链承受的安全压力早于此案,我们此前也曾单独报道过该网络上的Cysic跨链桥暂停事件。

从归并到场外柜台只隔数分钟

这份档案里有两个细节比284万美元的头条数字更值得关注。一是节奏:从Tron网络归并到场外柜台,间隔的是数分钟而非数天,明显是为赶在Tether可能下达的冻结指令之前完成。二是退出路径。链条上的每一跳,对任何运行区块链节点的人来说都是可见的,但线索的终点仍落在已发布调查结果之外的对手方身上,追回希望也正是在这里变得渺茫。BNB的市场面由自身的因素驱动,我们已在单独的BNB技术分析和第37次季度自动销毁等供应事件中分别覆盖。截至最新披露,这284万美元是否已被兑换、冻结或有望追回,尚无消息。