ブロックチェーン分析企業Ellipticは月曜日、北朝鮮のハッカーが使い捨てミームコインを利用してバイナンスから盗まれた資産を移動させたと報告した。同社は、この手法が分散型流動性プールから資金を受け取る企業にとってスクリーニングリスクを高めると指摘している。

11月9日の分析において、Ellipticは43万ドル相当の11万7,000NEAR（NEARレイヤー1ブロックチェーンのネイティブトークン）が6つのトークンを通じて移動されたことを追跡した。各トークンの作成コストは約25NEAR、すなわち約90ドルだった。同社は、追加の取引ステップがあったにもかかわらず送金は追跡可能なままだったと述べた。

使い捨てトークンが資金の出所を覆い隠した仕組み

11月5日から7日にかけて、資金洗浄用のウォレットがNEAR上で6つのトークンを発行したと、Ellipticは突き止めた。各トークンは別々の分散型取引所の流動性プールでNEARとペアリングされ、取引は指定された当事者間ではなくプールされた準備金と清算される。あるウォレットグループが盗んだNEARでトークンを購入し、別のグループが同じトークンを売却して資金を回収するという方法が取られ、2つのウォレットグループ間に直接の送金は残らなかった。

Ellipticによると、このパターンにより資金を受け取るウォレットが利益を上げるトレーダーのように見える可能性があるという。しかし、ネットワークデータにより、買い手、売り手、トークン作成者がすべて同じ盗難資金に結び付けられた。トークン作成者のうち5人は、わずか2〜13分前に先行トークンを売却したウォレットから資金を受け取っていたと同社は明らかにした。あるトークンでは外部ウォレットが取引量の1%未満を占めるにとどまり、その他の5つのトークンには外部の買い手がまったくいなかった。

6つのトークンはすべて11月8日までに取引を停止し、4つの発行者がその午後に残りの流動性を引き出した。Ellipticは、報告時点のスナップショットで約1,180万NEARの盗難資金がまだ移動されていないことを特定した。同社の調査では、この手法でもオンチェーン上の送金は追跡可能なままだったため、この残高は事件を追跡する者にとって最も明確なマーカーとなっている。

流動性プールからの入金に詳細な確認が必要な理由

Ellipticは、流動性プールから出てくる資金を自動的にクリーンな分類にすべきではないと警告した。プール型市場ではすべてのスワップが共有準備金を経由するため、入金の直接的なオンチェーン上の出所は、取引の相手方ではなくプールそのものになる。同社は、最近作成されたトークン、集中した取引、単一目的のウォレットを潜在的な警告サインとして挙げた。

同社によると、この手法はオンチェーン上のすべての動きを隠したわけではなく、盗難資産がネットワーク間を移動し続けるなか、追加の追跡作業を生み出したにとどまるという。

Ellipticは、史上最大級の暗号資産窃取事件となった2025年のBybit侵入事件の後に、関連する手法を記録しており、少なくとも2,400万ドルがTron上の無価値なトークンを通じて移動したと報告している。バイナンスのケースでは、11月2日に自作の別のTronトークンが確認され、翌日には攻撃者が盗んだSOLを既存の出来高の薄いトークンを通じて移動させた。

バイナンスハッキング事件の調査は継続中

FBIは10月29日の窃取事件を北朝鮮のTraderTraitor作戦の仕業としており、これは米国当局が過去の暗号資産取引所窃取事件にも結び付けてきた国家関連のハッキング集団である。平壌は関与を否定している。

Blockonomiが以前報じたように、攻撃者は従業員のデバイスを侵害した後、バイナンスのウォレットインフラにアクセスした。別のBlockonomiのレポートでは、FBIの帰属判定と盗難暗号資産の初期の動きを取り上げた。

バイナンスは11月3日、この事件の影響額が約63.4億ドルに上ると発表した。同社は約28.5億ドルが凍結または捕捉され、影響を受けた資産の98%が補填されたと報告している。これらの補填はバイナンス自身の資金によって賄われたものであり、回収された盗品によるものではない。