ブロックチェーン分析企業Ellipticは、43億ドル規模のBinanceハッキングの犯人グループが用いた異例の資金洗浄手法を特定した。攻撃者は盗んだ資産をウォレット間で直接移動させるのではなく、独自のミームコインを鋳造し、分散型取引所(DEX)の流動性プールを通じて取引した後、トークンを完全に放棄したという。

FBIはこの侵害を北朝鮮のTraderTraitor組織の犯行としている。これは、暗号資産業界を標的とする国家支援の北朝鮮サイバー攻撃者を指す米当局の呼称である。Ellipticの分析によると、新たに作成されたトークンは、盗んだ暗号資産を保有するウォレットと最終的に資金を受け取るアドレスの間の「捨て駒」として機能した。この手法はオンチェーンで発見可能なままだが、捜査を遅らせ、コンプライアンス審査を複雑にする可能性がある。

6つのミームコインで盗まれた11万7,000NEARが移動

Ellipticによると、11月5日から11日の間に構築された資金洗浄ネットワークは、NEARブロックチェーン上で少なくとも6つのトークン(FUK、OLCCL、MEILI、MMLI、DABI、SINU)を生み出した。同社の推定では、約43万ドル相当の約11万7,000NEARが、これらのトークンに紐づく流動性プールを通じて処理された。トークンの作成コストは1つ約90ドルで、移動している金額に比べ中間層は低コストで構築できた。

これらのコインには実際の市場取引がほとんどなかった。Ellipticの特定では、資金洗浄操作に関与したとみられるウォレットが、6つのトークンすべての売却とほぼすべての購入を実行した。トークンの大半は数時間以内に売却・投げ売りされ、Ellipticが分析を公表した翌日の11月8日以降、取引活動は確認されていない。

使い捨てトークン経路の仕組み

この手法は、盗まれた暗号資産と最終的に資金を受け取るウォレットの間に、資金洗浄の層を挿入する。まず攻撃者は新規トークンを作成し、NEARのような既存資産とペアにしてDEXの流動性プールに登録する。次に、あるウォレットが保有する盗まれたNEARで、作成されたばかりのトークンを購入する。その後、別のウォレットがそのトークンをプールに売り戻し、NEARを引き出す。

この結果、盗まれた資産が最初のウォレットから受け取り側のアドレスへ直接移動することは決してない。表面上、受け取りウォレットは、無名のミームコインを取引して資金を得ただけのように見える。しかもDEXでは中間業者の審査なしに誰でもウォレットで新発行トークンを取引できるため、こうしたアドレスはパターン自体が認識されるまで、普通のミームコイントレーダーとして通りすことができる。

ただし、ブロックチェーン上の足跡は依然として見える状態だ。Ellipticは、この戦略は資金の追跡を不可能にするのではなく、捜査機関に摩擦を生じさせるものだとしている。

Binanceハッキングの資金洗浄は複数チェーンに拡大

NEAR上の活動は、Binanceハッキングをめぐるより大規模な資金洗浄網の一部にすぎない。Ellipticは、2万を超えるウォレット、16のブロックチェーン、少なくとも36のサービス、約6万5,000件の取引を通じて盗まれた資金を追跡した。同社は、盗難資金に関連するとみられるアドレスに約30億ドルが残っていると報告している。

同様のトークンを使った手法は、TronやSolanaなど他のブロックチェーンシステムでも実行されている。さらにEllipticは、2025年のBybitハッキングともこの手法を結び付けている。この事件では、北朝鮮関連の盗犯グループがTron上で発行された架空のトークンを通じて2,400万ドル超を送金したとされる。個別の事件やチェーンをまたいで繰り返されるこの手法は、スクリーニングツールで検出できる認識可能なパターンとなっており、追跡済みの約30億ドルが将来移動してもオンチェーン上で可視化され続けるだろう。

暗号資産のコンプライアンスチームにとって、新たな赤旗の一つが浮かび上がった。それは、発行されたばかりで取引量がほとんどない分散型取引所の流動性プールから資金が流入してくる場合だ。このシグナルは、Ellipticがこの操作を追跡するのに使ったのと同じ公開オンチェーンデータに由来する。ウォレット間の直接的なつながりを断ち切るために鋳造されたトークンは、自動監視がスクリーニングできるマーカーとしての役割も果たしているのだ。