Firma analityki blockchainowej Elliptic poinformowała, że portfele powiązane z hakiem Binance zostały użyte do wybicja i handlu sześcioma tokenami memowymi na NEAR, a pule płynności zdecentralizowanych giełd (DEX) zostały wykorzystane w rzekomej próbie zatarcia przepływu skradzionych środków.

Elliptic i FBI przypisały kradzież grupie TraderTraitor, północnokoreańskiej grupie cyberprzestępczej działającej pod parasolem Lazarus Group — zbiorowości od dawna łączonej przez amerykańskich śledczych z zakrojoną na dużą skalę kradzieżą kryptowalut. Według firmy incydent obejmował 6,43 miliarda dolarów skradzionych z Binance, największej giełdy kryptowalut pod względem wolumenu obrotu, 29 października 2026 roku, rozproszone na 11 blockchainach — co Elliptic opisała jako bezprecedensowe przełamanie bezpieczeństwa pojedynczej giełdy.

Sześć tematycznych tokenów wybitych na NEAR

W okresie od 5 do 7 listopada 2026 roku na NEAR wybito sześć tokenów: FUK, OLCCL, MEILI, MMLI, DABI i SINU. NEAR to blockchain pierwszej warstwy obsługujący tanie tworzenie tokenów. Analiza on-chain firmy Elliptic wykazała, że tokeny nosiły kreskówkowe logo zwierząt — w tym małpę z kokardą, kaczkę przewieszoną flagą, szympansa i lisa — obok obrazu oznaczonego „Elon 2028 President”. Bicie każdego tokena kosztowało około 25 NEAR, czyli wówczas około 90 dolarów.

Jak działał rzekomy mechanizm prania pieniędzy

Elliptic opisała schemat jako przebiegający w czterech krokach. Najpierw tworzony jest nowy token i kilka płynności zdecentralizowanej giełdy. Następnie środki uznane za skradzione wpływają z jednego zestawu portfeli, aby kupić token. Osobny zestaw portfeli sprzedaje token z powrotem do puli, aby wypłacić aktywa. Efektem jest zerwanie bezpośredniego połączenia on-chain między pierwotnymi środkami a portfelem wyjściowym.

Firma zauważyła, że DABI, MMLI i SINU miały dokładnie jeden portfel kupujący i jeden portfel sprzedający — wzorzec, który według Elliptic był spójny z kontrolowanym praniem, a nie organiczną aktywnością handlową.

Cała płynność została wypłacona 8 listopada 2026 roku, według Elliptic. Handel zewnętrzny we wszystkich sześciu tokenach stanowił mniej niż 1% całkowitego wolumenu, co wzmocniło ocenę firmy, że nie były to spekulacyjne tokeny detaliczne, lecz narzędzia zaprojektowane do przenoszenia wartości. Przez sześć tokenów przepłynęło około 117 000 NEAR o wartości około 430 000 dolarów w tamtym czasie.

Według doniesień ta sama technika została po raz pierwszy zastosowana podczas haku Bybit w lutym 2025 roku — incydentu zaliczanego do największych kradzieży krypto w historii — gdy co najmniej 24 miliony dolarów przepłynęło przez bezwartościowy token w sieci Tron. Jej ponowne pojawienie się podczas haku Binance, po precedensie Bybit, oznacza domowej produkcji memetokeny jako powtarzalną technikę prania, a nie jednorazowy przypadek — wzorzec leżący u podstaw sygnałów ostrzegawczych compliance, na które Elliptic zwróciła uwagę firm krypto.

Pranie rozciągnęło się poza NEAR

Elliptic doniosła, że aktywność memcoinów na NEAR nie była odosobniona. Firma udokumentowała również bezwartościowy token Tron użyty 2 listopada oraz podała, że 3 listopada SOL uznane przez nią za skradzione zostało zamienione na słabo płynne tokeny Solana, a następnie sprzedane za USDC — stablecoin powiązany z dolarem wydany przez Circle — dodając dalszej złożoności śladowi obejmującemu wiele łańcuchów.

„Jeszcze jedna warstwa”: dlaczego memcoiny komplikują śledztwo

Tom Robinson, współzałożyciel Elliptic, wyjaśnił logikę strategiczną: „Memcoiny są emitowane i handlowane tysiącami, a większość znika w ciągu dni, więc kolejny krótkotrwały token z kreskówkowym logo przyciąga niewielką uwagę. Portfel, którego historia pokazuje transakcje nowym memcoinem, wygląda jak speulant, a nie pracz pieniędzy — chyba że ktoś sprawdzi, skąd pochodziły jego środki”.

Robinson określił też granice tej techniki: „Domowej produkcji memetokeny to po prostu kolejna warstwa. Nie ukrywają tak bardzo środków, jak spowalniają osoby je śledzące”. Transakcje blockchainowe pozostają publicznie widoczne niezależnie od liczby aktywów pośrednich, przez które przechodzą, ale każdy skok zwiększa pracę śledczą i czas.

Elliptic doniosła, że szersza rzekoma operacja prania działała w skali, która czyniła aktywność memcoinów wyglądającą na drobny test. Osobny raport Elliptic o zautomatyzowanym praniu śledził 546 transferów z jednego portfela oddających co około 96 sekund, przenosząc od 7 do 11 milionów dolarów na godzinę bez przerwy przez ponad 31 godzin. Firma zidentyfikowała ponad 20 000 portfeli i 16 łańcuchów, które — jak stwierdziła — były zaangażowane w operację, którą FBI formalnie przypisało TraderTraitor.

Sygnały ostrzegawcze compliance

Elliptic ostrzegła firmy krypto, aby traktowały wzorzec memcoinów jako sygnał ostrzegawczy compliance, wskazując świeżo wybite tokeny, pule płynności z zaledwie garstką portfeli, portfele tylko kupujące kontra portfele tylko sprzedające oraz nowe portfele zasilane tuż przed handlem w zaokrąglonych kwotach. Firma przestrzegła, że środki przychodzące przez pule płynności nie powinny być traktowane jako z natury czyste.

Zamrożone środki, działania odzyskowe i kontekst rynkowy

Współ-CEO Binance Richard Teng potwierdził, że 2,85 miliarda dolarów skradzionych środków zostało zamrożonych lub przechwyconych na moment publikacji raportu Elliptic. Około 3,2 miliarda dolarów pozostawało wówczas nieuprawionych, a działania odzyskowe trwały w wielu jurysdykcjach i na wielu łańcuchach. Reakcja amerykańskich władz spotkała się z publicznym uznaniem ze strony kierownictwa giełdy. Dla czytelników śledzących losy pozostałych środków obserwowalnymi znacznikami są te już odnotowane: kolejne potwierdzenia zamrożenia lub przechwycenia od giełdy i władz, aktualizacje list przesiewowych, takich jak poniższa blocklista, oraz przepływy on-chain udokumentowane w badaniach Elliptic.

Elliptic opublikowała bezpłatną blocklistę nielegalnych adresów z haku Binance na elliptic.co/binance-hack-2026-blocklist, aby pomóc giełdom, portfelom i protokołom DeFi w skriningu wpływających środków. Firma nie potwierdziła ani nie zaprzeczyła, czy agenci AI kierują operacją; jej ocena wskazywała na konwencjonalną automatyzację z nadzorem ludzkim, a nie autonomiczne podejmowanie decyzji przez AI.

Szersze zakłócenie rynku po haku nadal dawało o sobie znać w ekosystemach tokenów tygodnie po pierwotnej kradzieży — NEAR notowane było po 3,62 dolara przy kapitalizacji rynkowej około 4,75 miliarda dolarów w czasie badań Elliptic. Epizod ten przypomina również, że infrastruktura zbudowana dla legalnych emisji tokenów — tanie bicie, publiczne pule DEX i szybkie wdrażanie płynności — może zostać przystosowana jako narzędzie zacierania śladów przy niemal zerowym koszcie.

Użytkownicy szukający aktualizacji dotyczących bezpieczeństwa konta powinni polegać na oficjalnych komunikatach Binance, a nie na doniesieniach stron trzecich.