ZachXBT aponta grupo ligado à Coreia do Norte por roubo de US$ 2,84 milhões na BNB Chain

O investigador de blockchain ZachXBT apontou em 21 de outubro que o ataque de 8 de outubro na BNB Smart Chain, com perdas estimadas em cerca de US$ 2,84 milhões, foi atribuído ao grupo SquidSquad, ligado a operadores da Coreia do Norte. A vítima é um detentor institucional de cripto. O nome da instituição e o método de invasão não foram divulgados.

O rastreamento: a movimentação mais recente ocorreu em 20 de outubro, quando o atacante depositou 1.111,2 ETH no Tornado Cash e retirou o valor em três endereços distintos da Ethereum. A partir dessas carteiras, os recursos foram transferidos do Ethereum para a TRON com o USDT0, versão da stablecoin da Tether para transferências entre redes suportadas. O dinheiro acabou reunido em duas carteiras da TRON, TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU e TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux, que segundo o investigador tinham exposição a endereços antes atribuídos a operadores norte-coreanos. Poucos minutos depois, os valores seguiram por carteiras intermediárias até endereços atribuídos a operadores chineses de compra e venda no balcão.

O investigador suspeita que a rapidez das transferências serviu para evitar um bloqueio do Tether, que pode restringir USDT mantido em endereços de redes suportadas. A atribuição é feita on-chain, e não há vínculo público entre os operadores identificados e os revendedores de balcão do caso, nem confirmação de que a conversão em dinheiro fiat tenha sido concluída ou de que parte dos recursos tenha sido congelada.

O caso vem depois de uma investigação de 5 de outubro em que o próprio ZachXBT disse ter se infiltrado em uma rede de lavagem de cripto ligada ao Lazarus Group, investindo US$ 349.700 para rastrear recursos do roubo de US$ 1,5 bilhão da Bybit em 2025. Ele identificou mais de US$ 12 milhões em recursos ligados à Bybit e a Tether congelou 442.000 USDT em carteiras descobertas na ocasião, sem confirmação independente em registros públicos de fiscalização dos Estados Unidos. Uma avaliação de ameaças de 2026 associa o SquidSquad a campanhas contra fundadores, executivos e investidores ricos de cripto, com falsificação de investidores e contatos de negócio e distribuição de documentos ou programas maliciosos por mensageiros como Telegram e LinkedIn, além de malware das famílias RustBucket, SwiftBucket e NimDoor. Movimentações semelhantes para o Tornado Cash aparecem nos casos da Radiant Capital, com cerca de US$ 50 milhões roubados em 2024, e do exploit do Drift, em que 25.700 ETH, cerca de US$ 61,56 milhões, chegaram ao protocolo em 20 de outubro; não há prova pública de que esses episódios tenham os mesmos operadores ou tenham sido coordenados.