Firma analityczna Elliptic zidentyfikowała niezwykłą technikę prania pieniędzy zastosowaną przez hakerów odpowiedzialnych za 6,43-miliardowe włamanie na Binance: zamiast przenosić skradzione aktywa bezpośrednio między portfelami, atakujący wyemitowali własne memcoiny i handlowali nimi przez pule płynności zdecentralizowanych giełd (DEX), po czym całkowicie porzucili tokeny.

FBI przypisało włamanie północnokoreańskiej grupie TraderTraitor — określenie używanemu przez władze USA dla państwowych północnokoreańskich aktorów cybernetycznych celujących w branżę kryptowalut. Zgodnie z analizą Elliptic, nowo utworzone tokeny działały jako ofiarny bufor między portfelami przechowującymi skradzione kryptowaluty a adresami ostatecznie otrzymującymi wpływy. Technika pozostaje wykrywalna on-chain, ale może spowalniać śledczych i komplikować kontrolę compliance.

Sześć memcoinów przepuściło 117 000 skradzionych NEAR

Sieć prania pieniędzy, utworzona między 5 a 11 listopada, wyprodukowała co najmniej sześć tokenów w sieci NEAR: FUK, OLCCL, MEILI, MMLI, DABI i SINU — według Elliptic. Firma szacuje, że około 117 000 NEAR, o wartości około 430 000 dolarów, zostało przetworzonych przez pule płynności powiązane z tymi tokenami. Utworzenie każdego tokena kosztowało około 90 dolarów, co czyni tę pośrednią warstwę tanim rozwiązaniem w stosunku do przepływających kwot.

Tokeny praktycznie nie miały realnego obrotu rynkowego. Portfele, które wyglądały na część operacji prania, dokonały wszystkich sprzedaży wszystkich sześciu tokenów oraz niemal wszystkich zakupów — ustaliła Elliptic. Większość tokenów została sprzedana i zrzucona w ciągu kilku godzin, a od 8 listopada — dnia po opublikowaniu analizy przez Elliptic — nie odnotowano żadnej aktywności handlowej.

Jak działa trasa jednorazowych tokenów

Schemat wstawia warstwę prania pieniędzy między skradzioną kryptowalutę a portfel, który ostatecznie zbiera wpływy. Najpierw atakujący tworzą nowy token i parują go z ugruntowanym aktywem, takim jak NEAR, w puli płynności DEX. Następnie skradzione NEAR przechowywane w jednym portfelu są wykorzystywane do zakupu świeżo wyemitowanego tokena. Osobny portfel odsprzedaje ten token do puli i wypłaca NEAR.

W rezultacie skradzione aktywa nigdy nie przemieszczają się bezpośrednio z pierwszego portfela do adresu, który je zbiera. Na pierwszy rzut oka portfel odbiorczy wygląda, jakby pozyskał środki po prostu handlując niepozornym memcoinem — a ponieważ DEX-y pozwalają każdemu portfelowi handlować nowo wyemitowanymi tokenami bez weryfikacji pośredników, taki adres może uchodzić za zwykłego tradera memcoinów, dopóki sam schemat nie zostanie rozpoznany.

Ślad w blockchainie pozostaje jednak widoczny. Elliptic stwierdziła, że strategia tworzy tarcie dla śledczych, a nie czyni skradzionych środków niemożliwymi do prześledzenia.

Pranie pieniędzy z włamania na Binance obejmuje wiele łańcuchów

Aktywność w NEAR to tylko jeden element znacznie większej operacji prania pieniędzy wokół włamania na Binance. Elliptic prześledziła skradzione wpływy przez ponad 20 000 portfeli, w 16 blockchainach, z udziałem co najmniej 36 usług i około 65 000 transakcji. Firma poinformowała o około 3 miliardach dolarów znajdujących się na adresach, które jej zdaniem są powiązane ze skradzionymi środkami.

Porównywalne podejścia oparte na tokenach zastosowano także na innych systemach blockchain, takich jak Tron i Solana. Elliptic powiązała dodatkowo tę technikę z włamaniem na Bybit w 2025 roku, w którym złodzieje powiązani z Koreą Północną mieli rzekomo przepuścić ponad 24 miliony dolarów przez iluzoryczny token wyemitowany w sieci Tron. Technika, powtarzająca się w odrębnych incydentach i na różnych łańcuchach, stała się rozpoznawalnym wzorcem, który można wykrywać narzędziami skanującymi, a każde przyszłe przemieszczenie około 3 miliardów dolarów prześledzonych środków pozostanie widoczne on-chain.

Dla zespołów compliance w kryptowalutach wyłoniła się nowa czerwona flaga: środki wchodzące do systemu z puli płynności na zdecentralizowanej giełdzie, która została dopiero co uruchomiona i wykazuje minimalny wolumen obrotu. Ten sygnał pochodzi z tych samych publicznych danych on-chain, które Elliptic wykorzystała do prześledzenia operacji — tokeny wyemitowane w celu zerwania bezpośredniego powiązania portfel-portfel służą teraz również jako znaczniki, które zautomatyzowany monitoring może wykrywać.