北朝鮮の資金洗浄組織が、インターネットで最も人気のある「ジョークトークン」に新たな用途を見出した。それは、Binanceから盗まれた記録的な64億ドルの一部を洗浄することだ。

盗人から受け取り手へと直接資金を動かすのではなく、自作のモジュールコインをミントし、分散型取引所（DEX）の流動性プールを経由して盗難資産を交換することで、ブロックチェーン分析企業Ellipticの報告によると、盗難と回収の間のオンチェーン上の直接的なつながりを断ち切っている。この手法は、トークンのミントと取引プールの立ち上げが設計上誰にでも開かれているという分散型金融（DeFi）の構造そのものに、資金洗浄が適応していることを示している。

このスキームの仕組み

資金洗浄組織は真新しいトークンをミントし、NEARやステーブルコインなどの実在する資産と流動性プール内でペアにする。一組のウォレットを通じて盗難資金をプールに投入してトークンを購入し、その後、別のウォレットを通じてトークンを売却し、洗浄されたように見える資産を引き出す。

プールが中間に位置するため、盗難資金は購入ウォレットから回収ウォレットへと直接移動することはなく、受領側のウォレットはモジュールコインを現金化する普通のトレーダーのように見える。この偽装は、新しくローンチされたトークンをめぐる急激な取引の波が日常的な光景であり、警戒信号とはみなされないモジュールコイン市場では、実行しやすい。

Ellipticは、共同創設者Tom Robinsonによる研究として、この手法がTronとNearで展開され、Solanaでは類似の変種が観察されたと報告している。

Near上の6つの使い捨てトークン

最も明確な事例はNear上で確認された。11月5日から7日の間に、資金洗浄組織は少なくとも6つの自作トークンを作成し、それぞれが独自のプールでNEARとペアになった。これらのコインは、リボンを付けたサル、旗を巻いたカモ、チンパンジー、キツネなどの漫画風ロゴという、モジュールコインに典型的な装飾を備えていた。そのうちの一つには、これらのトークンとは一切関係のないElon Muskの「Elon 2028 President」の画像さえ使われていた。名前は、粗野なもの（FUK）からドッグコインのもじり（SINU）まで多岐にわたった。

各トークンの作成コストは約25 NEAR（約90ドル）であり、許可不要のブロックチェーンがブランド付きトークンの立ち上げに課す障壁がいかに小さいかを物語っている。6つのトークンはすべて同じ軌跡をたどった。ローンチされ、数時間以内に盗難されたNEARを使って活発に取引され、その後放棄され、残りの流動性は11月8日にプールから引き出された。

合計で約117,000 NEAR（約43万ドル）が6つのトークンを経由し、その多くがその後ステーブルコインやクロスチェーンブリッジへと流れた。

追跡可能だが、時間はかかる

これらの金額はこれまでのところ控えめであり、盗まれた資産の大部分がまだオンチェーン上に留まっていることを想起させる。Ellipticは以前、盗まれた暗号資産のうち30億ドル以上がまだ洗浄されていないと判断し、資金洗浄組織が約25秒ごとに新しいウォレットを作成し、マシン速度で資金を移動させていることも明らかにした。

重要なのは、モジュールコインの手法は実際には資金を隠していないという点だ。Ellipticは、オンチェーン上の足跡は完全に追跡可能なままであり、この操作は捜査員の足を遅らせるだけだと強調した。これは、資金が検知される前に移動させるという、いわばレースにおいて時間を稼ぐためのものだ。これは、北朝鮮の資金洗浄組織が積み重ねている数多くの安価で使い捨て可能な層の一つにすぎない。

Ellipticがこの手法を初めて観察したのは昨年、15億ドル規模のBybit盗難事件を追跡している最中であり、この事件はBinance侵害の背後にいる同じTraderTraitor組織の仕業とされている。

同社は、コンプライアンス部門に対し、流動性プールから到着する資金は、特に新しくミントされたトークンと少数の取引ウォレットが関係している場合には、洗浄済みとみなすべきではないと警告している。記録的な盗難額の大部分がまだ移動されていないことを考えれば、この警告は事実上、取引所やスクリーニング部門に対し、注視すべき具体的なパターンを提示している。すなわち、最近作成されたトークンと狭い範囲の取引ウォレットの集まりにさかのぼる入金だ。