北朝鮮系の資金洗浄組織は、NEARブロックチェーン上で1つあたり約90ドルを費やして6つのミームコインを作成し、10月29日の暗号資産取引所Binanceへのハッキングで盗まれた資金の移動に使用した。ブロックチェーン分析企業Ellipticの報告による。この作戦は、自己発行トークンと流動性プールを利用して、盗まれた資産の入金ウォレットと受取ウォレットのオンチェーン上のつながりを切断するものであった。

Ellipticによると、11月5日〜7日の間に、約43万ドル相当の約11.7万NEARがこれらのトークンを通過した。同社は月曜日に公開したレポートでこの資金洗浄作戦の詳細を明らかにした。

この手法は、大規模な取引所侵害の後に北朝鮮系グループが繰り返し使用してきた戦術――自己作成トークン、分散型取引所、複数チェーンを経由して資金の出所を曖昧にする方法――と同型である。

6つのトークン――FUK、OLCCL、MEILI、MMLI、DABI、SINU――は、いずれもレイヤー1ネットワーク上の公開トークン作成ツールを使用して約25 NEARのコストで発行された。トークンには漫画風のミームコインのアートワークが使用されており、1つはピンクのリボンを付けた猿、別の1つはアメリカ国旗の前に立つアヒル、そしてもう1つは「Elon 2028 President」のバナーの下に立つイーロン・マスクを描いていた。Ellipticは、マスクとトークンの関連を示唆するものはないと述べている。

流動性プールはどのように足跡を隠したのか

資金洗浄者は各新トークンをNEARとペアにした独自の流動性プールを設定した。流動性プールとは、分散型取引所上で誰でも取引可能な2つの資産からなるプールのことである。あるグループのウォレットが盗まれたNEARでプールから新トークンを購入し、別のグループのウォレットがそのトークンを売り戻してNEARを引き出した。プールが中間に存在するため、両ウォレットグループを直接結ぶ転送は存在しなかった。このルートは分散型金融の構造的特徴――規制された中央集権型の場所とは異なり、分散型取引所は顧客確認(KYC)や口座要件を課さないため、ウォレットは自己を明かさずにプール経由で価値を循環できる――に依拠している。

「これらは、盗まれた資金と次のウォレットの間にプールを挟むことだけを目的として存在している」とEllipticはXへの投稿で述べた。

北朝鮮の資金洗浄組織が、Binanceから盗まれた資金を移動させるために独自のミームコインを作成している。11月5日〜7日の間に、NEAR上で少なくとも6つのトークンを発行し、ピンクのリボンを付けた猿やアメリカ国旗の前のアヒルなどのミームコインのロゴで飾られていた。盗まれたNEARは… ― Elliptic (@elliptic) November 9, 2026

Ellipticによると、取引データはこれらのトークンが資金洗浄以外の目的を持たなかったことを示している。この作戦に関連するウォレットは、6トークンすべての売り注文と、そのうち5トークンのすべての買い注文を出していた。唯一の例外は発行当日の少額のFUK購入で、そのトークンの取引のわずかな部分を占めるにすぎなかった。

トークンは鎖のように連鎖していた。5つのケースでは、新トークンの作成者に資金を供給したウォレットが、次の発行のわずか2〜13分前に前のトークンを売却していた。

Bybitで初確認された手法

Ellipticは、Bybitが2025年のハッキングで史上最大の暗号資産窃盗となる15億ドルを失った後に、この手法を初めて確認したと述べている。この事例では、資金洗浄者は価値のないTronトークンを使用して少なくとも2,400万ドルを移動させた。Binanceの事例では、同様のTronトークンが11月2日に現れ、翌日には盗まれたSOLが取引の薄い既存のSolanaトークンを通じて移動した。

NEAR経由のルートは、Binanceから盗まれた約63億ドルのうち0.01%未満をカバーする。FBIはこの窃盗を北朝鮮のTraderTraitorハッキンググループ――米国機関がLazarusグループと関連付けている集団――の仕業としている。米国当局者や国連の専門家は、大規模な暗号資産窃盗を制裁対象国の兵器プログラムの資金源として繰り返し指摘している。

Ellipticによると、約3,000BTC(約2億2,500万ドル相当)が、他の盗難資産から転換された後、新しいビットコインアドレスに到達している。約1,180万NEAR(4,370万ドル相当)はまだ移動していない。

「この手法は資金を隠すのではなく、調査の速度を遅らせるものだ」とEllipticの共同創設者トム・ロビンソンは記している。さらに、北朝鮮の資金洗浄者は「多くの低コストな手法を重ね、それぞれがわずかな遅延を加えている」と付け加えた。

トークンが出現する数日前、Pangolin Intelligenceの創設者JontyはUnchainedで、こうしたネットワークは「トランザクション監視ソフトウェアの目を回避するため」にウォレット間で資金を移動させていると述べていた。

Ellipticはコンプライアンスチームに対し、流動性プールから出てくる資金をデフォルトでクリーンと見なさないよう促した。警告サインには、発行から数日しか経過していないトークン、取引者が少ないプール、買い専用または売り専用のウォレットが含まれる。同社は、こうした特徴を示すプールにさかのぼる入金には追加の精査を適用するよう助言した。

6つのNEARトークンのいずれも11月8日以降取引されていない。その日の午後、トークン作成者のうち4人がプールに残っていた資金を引き出した。これにより、未移動の約4,370万ドル相当のNEARと新たに集約されたビットコインが、次の動きを追跡するアナリストにとって最も明確なマーカーとなっている。Ellipticが記録してきたマルチチェーンのパターンに基づけば、別の場所での自己発行トークンの新たな勃発こそが、この作戦が新局面に入った合図となるだろう。