北朝鮮のハッカーが、63億ドルのBinanceハッキングで盗まれた資金を洗浄するため、独自のミームコインを作成し、模擬的な取引活動によって不正な収益を正当な取引利益のように見せかけていることが明らかになった。

ブロックチェーン分析企業Ellipticの分析によると、ハッカーは11月5日から11月7日の間に作成された6つのミームコインを通じて、約43万ドル相当の$NEARトークン約11万7,000単位を移動させた。

トークンの1つには「Elon 2028 President」のバナーの下にイーロン・マスクの画像が使用されていたが、Ellipticはマスク氏とこれらのトークンに関連性を示すものは何もないと述べている。トークン名は、下品なジョークや犬系ミームコインでよく使われる「inu」といった、一般的なミームコインの慣習に従ったものであり、こうした要素がトークンを通常のミームコイン発行と区別できなくさせていた。

この手法は、各ミームコインを分散型取引所の独自の流動性プールで$NEARとペアリングすることで機能した。ハッカーは一組のウォレットで盗んだ$NEARを使ってミームコインを購入し、別のウォレット群で同じミームコインを$NEARに戻す形で売却した。その結果、資金がウォレット間で直接移動することはなく、資金がハッキングではなく利益の出る取引の产物であるかのように見せることができた。この区別は調査当局にとって重要であり、当局の追跡技術は通常アドレス間の直接送金をたどるため、この手法は意図的にその経路を回避している。

「資金洗浄者は6つの暗号トークンを作成し、自分たちだけで取引した。これにより盗まれた資金が取引収益のように見えるのだ」と、Ellipticの共同創設者兼チーフサイエンティストであるトム・ロビンソン氏はCoinDeskに語った。

Ellipticの調査によると、ほぼすべての取引が資金洗浄作戦に関連するウォレットから行われており、外部の買い手が占めた割合は1つのトークンの出来高の1%未満だった。6つのトークンすべての取引は11月8日までに停止した。

FBIは10月29日のBinance盗難について、北朝鮮のTraderTraitorグループの犯行としている。ハッカーはまた、THORChainを使って盗まれた資産を中央発行者が凍結できないビットコインに変換しており、ミームコインプールはより長い資金洗浄チェーンの一環となっている。6つのトークンを通じて移動した約43万ドルは、盗まれた63億ドルのごく一部に過ぎない。

Ellipticは2025年のBybitハッキング後に類似のミームコインを利用した資金洗浄手法を特定しており、今回の取引は盗まれた資金の追跡を難しくするものの、痕跡を消すものではないと述べている。この手法が2つの主要な取引所盗難事件で記録され、痕跡が残っているいま、この資金洗浄パターンそのもの（自作トークン、自己間取引、集中的なウォレット群）は、盗まれた資金の行方を追跡する取り組みにおいて、調査当局に追加の手がかりを提供するものとなっている。