ブロックチェーン分析企業Ellipticによると、北朝鮮関連の攻撃者が、新たに作成されたミームトークンと分散型取引所(DEX)の流動性プールを利用して、約64億ドル規模のBinanceハッキングで窃取された暗号資産を移動させている。

11月5日から7日の間に、この作戦はこの活動のために特別に作成された少なくとも6つのトークンを通じて、約117,000 NEAR(約43万ドル相当)を送金した。ミームトークンは、通常、実用的な機能よりも取引やコミュニティの関心を目的として存在するものであり、最小限のコストで発行できるため、この種の送金には使い捨ての便利な手段となる。この手法は、資金のオンチェーン履歴を消すことなく、取引追跡に複雑さを何重にも加えるものである。

洗浄フローに対応づけられた6つのNEARミームトークン

11月9日の調査で、Ellipticは11月5日から7日の間に作成された6つのミームトークン、FUK、OLCCL、MEILI、MMLI、DABI、SINUを特定した。各トークンは、伝統的なオーダーブックなしで自動的なスワップを可能にする、分散型取引所上の2つのトークンからなるスマートコントラクトの準備金である流動性プールにおいて、NEARと別々にペアリングされており、攻撃者は窃取したNEARを新たに発行されたトークンと交換し、その後、他のウォレットを通じてそれらのトークンを再びNEARに換金することができた。Ellipticの推定では、各トークンの作成コストは約25 NEAR、すなわち約90ドルだった。

同分析企業は、6つのトークンプールを通じて約117,000 NEAR(約43万ドル相当)を追跡した。その結果、この作戦に関連するウォレットが売買活動のほとんどすべてを掌握しており、外部からの genuine な需要の兆候はほとんど見られなかったと判明した。トークンは作成後まもなく使用され、その後放置され、そのうち4つのトークンの作成者は11月8日にプールの残りの流動性を引き出した。Ellipticの調査はオンチェーンでの調査結果を詳述している。

流動性プールが窃取された暗号資産の追跡を複雑化

この手法は、窃取された資金を受け取るウォレットと、スワップ後に資産を回収するウォレットの間に、新たに作成されたトークンを介在させることで機能する。一方のグループのウォレットは窃取したNEARを新しいトークンと交換し、別のグループのウォレットがそのトークンをプールを通じて売却してNEARを受け取る。その結果、資金は買い手と回収側のウォレット間を直接移動することはなく、取引の痕跡の解釈がより困難になる。

ただし、この手法はブロックチェーンの記録を消したり、資金を追跡不能にしたりするものではない。Ellipticは、取引は可視のままであるとしつつ、スワップやウォレットが追加されるたびに捜査当局やコンプライアンスチームの負担が増すと説明した。同社はまた、暗号資産関連事業者は、特に新規作成されたトークンや異常な取引パターンが関与する場合、流動性プールから受け取った資金を自動的に正当なものと見なすべきではないと警告した。

Binance窃取事件の調査でより広範な資金洗浄作戦が判明

NEARでの活動は、10月29日のBinance事件で窃取された資産を移動させる、はるかに大規模な取り組みの一部である。Ellipticは窃取額を約64.3億ドルと推定し、資金洗浄作戦には16のブロックチェーンにわたる2万以上のウォレット、少なくとも36のサービス、6万5,000件の取引が関与したと述べた。Ellipticの調査によると、FBIはこの攻撃を北朝鮮のTraderTraitorグループの仕業としている。TraderTraitorは、この業界を標的とした暗号資産窃取を行った北朝鮮関連のサイバー攻撃者に対して米国当局が用いてきた呼称である。

11月7日時点で、Ellipticは約28.5億ドルが凍結または押収され、約31.3億ドルが窃取事件に関連するアドレスに残っていると報告した。同社はまた、TronとSolanaに関わる以前の資金洗浄活動も特定しており、攻撃者が複数のブロックチェーンと取引手法を使用していることを示している。EllipticのBinanceハッキング調査は窃取された資産の動きを追跡している。

Bybitの前例が暗号資産コンプライアンスチームに懸念を提起

Ellipticは、2025年のBybitハッキングで窃取された資金の洗浄においても、同様の手法を以前に観察していたと述べた。この事例では、攻撃者がTron上で不要なトークンを作成し、ステーブルコインの流動性プールを利用して少なくとも2,400万ドルを移動させた。この再発は、使い捨てトークンの作成とDEXプールの利用が、北朝鮮関連アクターに帰される資金洗浄手法のレパートリーに加わったことを示唆している。

この調査結果は、不審な暗号資産の入金を監視する取引所、分散型金融(DeFi)プラットフォーム、コンプライアンス事業者に懸念を提起している。資産が流動性プール経由で到着する場合、前段のスワップが基本的な審査では違法活動との関連を隠蔽しうるため、送金元ウォレットのみのスクリーニングでは不十分な可能性がある。

Ellipticによると、NEARでの作戦には約43万ドルが関与し、報告時点で約1,180万NEAR(約4,370万ドル相当)が動かずに残っていた。これらの資金のさらなる移動は、捜査当局にこの作戦に関する追加の手がかりをもたらす可能性がある。