ブロックチェーン分析企業Ellipticは、Binanceから盗まれた資金が、NEARブロックチェーン上で犯人グループ自らが作成した6つのミームコインを通じて循環され、資金洗浄ウォレットが利益を上げるトレーダーのように見える仕組みが用いられていたことを追跡した。11月9日の調査で発表されたこの発見は、10月29日に約64億ドルがBinanceのウォレットから流出した窃盗事件に関する同社の最新報告である。2日後、FBIはこの攻撃を北朝鮮によるものと断定し、2025年のBybit盗難事件にも適用されたTraderTraitorの指定を用いた。TraderTraitorは、暗号資産企業を標的とする北朝鮮のサイバーグループに米国機関が付与する呼称であり、米国政府の繰り返し発出された勧告で記録された活動である。

Coindooは以前、TRM Labsが追跡した自作のTRONトークンを取り上げた。そこでは流動性プールが買い手と売り手をつなぐ唯一の存在だった。EllipticのNEARに関する調査結果は、別のブロックチェーン上の6つのトークンにわたり、流動性プールの両側に数字を与えるものだ。

外部トレーダーがほぼいない6つのトークン

6つのトークンはそれぞれ分散型取引所の独自プールでNEARとペアされ、作成コストは約25NEAR(約90ドル)だった。分散型取引所での作成は許可不要であり、ユーザーと新しいプールの間に上場承認や本人確認はなく、価格だけが唯一の障壁となる。この価格であれば、トークンは一度使って捨てることが可能で、6つすべてがまさにその運命をたどった。

少数のウォレットが支配する新規トークンは、それ自体は資金洗浄の証拠にはならない。多くの正当なローンチもそのように始まり、作成者と少数の初期買い手が取引の大半を行う。Ellipticの主張は、3つの発見が揃って初めて意味を持つ。

1つ目は誰が取引したかである。資金洗浄ネットワークのウォレットが6トークンすべての売却を行い、そのうち5トークンの全ユニットを購入していた。ネットワーク外からの購入は、初日のFUKの少額の買いに限られ、そのトークンの出来高の1%未満を占めるだけだった。

2つ目は各トークンの資金源である。6人の作成者のうち5人は、新規ローンチの2〜13分前に先行トークンを売却していたウォレットから資金提供を受けていた。あるトークンの売却益が次のトークンに充てられており、6つは独立した賭けではなく連鎖を形成している。

3つ目は各トークンの寿命の短さである。すべてのトークンはローンチから3時間以内に初売却され、少なくとも4分の3の取引を1日以内で行った。11月8日以降どれも取引がなく、その午後、4つのトークンの作成者がプールに残っていた流動性を引き出した。

ここで示した数値はEllipticによるものである。Coindooは6つのプールの取引記録を独自に検証していない。

売り手が勝者に見える理由

トークンのブランディングに目立った点はなかった。Ellipticによれば、ロゴは標準的なミームコインの様式で、ピンクのリボンを付けたサルや米国旗の前のアヒルから、イーロン・マスクの画像に重ねられた「Elon 2028 President」のバナーまである(Ellipticはマスクとトークンを結び付けていない)。名前も同様の傾向だ:FUKは下品な冗談であり、SINUは犬系コインの「-INU」の語尾を借りている。ウォレットには人気ウォレットアプリが割り当てたランダムな名前が付いており、ラベルも何も示していなかった。

毎日何千もの新規トークンが登場し、それが隠れ蓑となる。Ellipticの見解では、新興ミームコインを取引するウォレットは、資金の出所を誰かが確認しない限り投機家として通用する。

その確認こそが、見かけ上の利益が消える場所である。買い手のウォレットには約11.7万NEARが資金提供されており、これは盗まれたNEARを保有する主要ウォレットから中間アカウントを経由して渡されたものだった。ほぼ同額がその後回収ウォレットから流出し、その多くはステーブルコインに交換されるかクロスチェーンブリッジ(ブロックチェーン間で資産を移すサービス)に送られた。Ellipticの公開時の価格で、これは約43万ドルに相当する。

回収ウォレットを1つずつ見れば、記録は清潔な利益確定の連続に見える:トークンを売り、NEARを受け取る。ネットワーク全体で見れば、同じNEARが一巡して戻ってきただけで、約540ドルのトークン作成手数料とネットワーク費用が差し引かれている。ネットワーク外から入ってきた資金は、初日の少額のFUK買いだけだった。

ウォレットの損益数値は受け取った金額と支払った金額を比較するものだ。相手側の買い手が同じ盗まれたウォレットから資金提供されていたことは示せない。また、売り手がプールで購入するのではなく譲渡でトークンを受け取っていた場合、差し引くべき購入価格が存在しない場合もある。

洗浄者が調査者に追跡可能な手口を使う理由

すべての段階が公開ブロックチェーン上にあり、Ellipticはそれを追跡した。同社によれば、狙いは隠蔽ではなく遅延である。中継が1つ増えるごとに調査者の解明に時間がかかり、資金洗浄はフラグが立つ前に資金を動かす競争だ。1トークン約90ドルなら、洗浄者は多数を作成し、使い捨てることができる。

この手口は新しいものではない。Ellipticが自作トークンを初めて確認したのは2025年のBybit盗難事件の洗浄で、その際は少なくとも2,400万ドルが無価値なTRONトークンを通じて移動した。Binance事件では11月2日に類似のTRONトークンを特定した。その翌日には、盗まれたSOLがSolana上の出来高の薄い既存トークンを経由し、USDCに売却されてブリッジで流出するのを確認した。TRM Labsも独自の追跡で同じTRONパターンを報告している。

NEARの金額は残存量に比べれば小さい。Ellipticの報告時点で約1,180万NEAR(約4,370万ドル相当)は未移動であり、同社はこの手法がはるかに大きな金額を運ぶのに十分安価だと指摘する。事件を追う者にとって、今後の具体的な指標は、新しい洗浄アドレスが確認されるたびに更新されるEllipticの公開ブロックリストと、手つかずの残高からの初動である。Ellipticはまた、ローンチツール、取引所、ウォレットアプリに落ち度はなく、洗浄者が他のユーザーと同じように利用しただけだと強調している。

ウォレットの連勝を信じる前の5つのチェック項目

ウォレットトラッカーやコピートレードフィードは、大きな確定利益を上げたアカウントを日常的に表示する。Ellipticがコンプライアンス担当チーム向けに示した警告サインはそのまま適用でき、ブロックエクスプローラーがあれば確認できる:

1. トークンの年齢。 トークンコントラクトの作成時期を確認する。ローンチから数日以内の大規模売却は詳細な確認が必要である。
2. トレーダー数。 プールの取引履歴を開く。少数のウォレットがほぼ全ての出来高を占めている場合、実際の相手方は少ない。
3. 一方通行のウォレット。 買いのみのウォレットと売りのみのウォレットが並んでいるケースを探す。この分離はEllipticのレッドフラグの一つである。
4. 新しい資金供給。 主要な買い手への最初の入金を追跡する。取引開始直前に、しばしば丸い数字で資金提供された新しいウォレットは警告サインである。
5. 流動性の引き出し。 取引停止後まもなく作成者がプールの残流動性を引き出したかを確認する。

フラグが1つだけなら、ミームコイン市場の多くを説明するものである。同じウォレットに複数のフラグがあれば、誰かがその取引を真似る前に、損益数値には買い手側の台帳の検証が必要だということである。

取引所に対し、Ellipticは流動性プールから届く資金を既定で清潔と扱うべきではないと助言している。Binanceハッキングに関連するウォレットの公開ブロックリストは新しいアドレスの特定とともに拡大しており、到着時のスクリーニングを通過した入金でも後からフラグが立つ可能性がある。Ellipticは、リストが更新されるたびに、すでに受け入れた入金を再確認するよう企業に求めている。