北朝鮮の資金洗浄者が価値のない自作ミームコインを鋳造し、盗まれたBinance資金をその中を通して移動させることで、資産がウォレット間で直接移動しないようにしていると、ブロックチェーン分析企業のEllipticが月曜日に報告した。

11月5日から7日にかけて、運営者はNEARブロックチェーン上で少なくとも6つの新トークン——FUK、OLCCL、MEILI、MMLI、DABI、SINU——を作成し、それぞれをNEARとペアにした専用の流動性プールを開設、一方のウォレット群の盗難NEARでトークンを購入し、もう一方のウォレット群を通じて売り戻した。約11万7000 NEAR(約43万ドル)がこの6つのトークンを通過したと、Ellipticが報告している。

このスキームは、10月29日のBinance盗難事件のはるかに大規模な資金洗浄の中の一本の糸にすぎない。同取引所は損失を63億4000万ドルと評価しており、FBIはこの事件を北朝鮮のTraderTraitorグループの仕業としている。この総額に比べれば、6つのトークンを通過した約43万ドルはごく一部だが、それは操作全体の特徴的な手法を示している。すなわち、単一の大口送金ではなく、使い捨て可能な多数の小さな hop で価値を前進させるやり方だ。Ellipticのより広範なアップデートによると、現在、他の盗難資産から変換された約3000 BTC(約2億2500万ドル)が新しいビットコインアドレスに存在し、一方で盗難資金のうち約1180万 NEAR(4370万ドル)はまだ動いていない。

「ほとんどの人はミームトークンを、投機的な話題で価格が上下するジョークコインだと考えています」と、Ellipticの共同創設者兼チーフサイエンティストのTom Robinson博士は書いた。「北朝鮮の資金洗浄者は、それに別の用途を見出したのです。」

自作トークン trick の仕組み

この手法は4段階の hop だ。資金洗浄者は公開のローンチツールでトークンを作成し、NEARやステーブルコインなどの実在資産とペアにした流動性プールを開設、一方のウォレット群が保有する盗難資金でトークンを購入し、実在資産を受け取るもう一方のウォレット群から同じプールに売り戻す。

盗難資金が購入ウォレットから回収ウォレットへ直接移動することは一切なく、その間にプールが介在する。一見すると、回収ウォレットはトークンを売って利益を得た普通のトレーダーに見える。実際には、各トークンは一方通行のトンネルとして機能する。機能する市場として維持されるのではなく、単一回の資金洗浄のために作成され、その後放棄されるのだ。

6つのNEARトークンそれぞれの作成コストは約25 NEAR(約90ドル)だった。すべてのトークンは数時間以内に盗難NEARを使って激しく取引され、その後放棄された。11月8日以降取引はなく、その日の午後、うち4つのトークンの作成者は残りの流動性を引き出した。トークンはまた連鎖を形成している。6人の作成者のうち5人は、次のローンチの2〜13分前に直前のトークンを売却したばかりのウォレットから資金提供を受けていた。

Ellipticが同様の手法を初めて報告したのは、2025年2月のBybit盗難事件の資金洗浄においてで、これもTraderTraitorの仕業とされ、その際は価値のないTronトークンが少なくとも2400万ドルの移動に使われた。Binanceのケースでは、同社はTron上でもこの手法を確認しており、さらにSolanaでは自作ではなく既存の取引量の少ないトークンを使用する近似手法も観測している。

資金を消すのではなく、時間を稼ぐ戦術

ミームコインは資金を隠すものではない。すべての段階がオンチェーンで公開されている。買いまとめているのは時間だ。hop が一つ増えるごとに調査の足取りは遅くなり、資金洗浄者は資金が検知される前に移動させる競争を続ける。しかも1トークン約90ドルと、捨てるには安価すぎるほどだ。

この戦術は、Ellipticが盗難事件以降追跡してきたより大きなパターンと一致する。16のブロックチェーン上で2万を超えるウォレット、少なくとも36のサービス、少なくとも6万5000件の取引である。Binanceは、攻撃が偽の求人面接から始まり、コインが動くまで5か月間続いたと説明しており、ブロックチェーン企業は1日以内にこの侵入をTraderTraitorに結び付けた。

ビットコインへの変換が、金額面でより大きな話題だ。盗まれたSOLはすべてすでにスワップ、ブリッジ、またはミキシングされているほか、XRPルートの多くもビットコインに流れ込んでいる。当初の盗難額のうち約28億5000万ドルは凍結されており、これまでに現金化された額はごくわずかにとどまっているとEllipticは述べた。

北朝鮮の暗号資産窃盗マシンは新しいものではない。Ellipticは、14億6000万ドルのBybit悪用事件に後押しされ、同政権の2025年の獲得額を20億ドル超と評価しており、Binance事件以前から累計の既知総額は60億ドルを超えていた。

Binanceは段階的に出金を再開し、顧客の損失を自己資金で補填したと述べている。調査者にとっての試練は、自作の流動性プールがブラックリストの追及を上回るスピードで増殖し続けるかどうか、そしてまだ動いていないNEARが最終的にどのように処理されるかだ。

本記事はBitcoin Magazineで最初に公開され、Micah Zimmermanによって執筆された。