Firma analityczna Elliptic prześledziła, jak środki skradzione z Binance krążyły przez sześć samodzielnie utworzonych memecoinów na blockchainie NEAR w schemacie, który sprawiał, że portfele służące do prania pieniędzy wyglądały na zyskownych traderów. Odkrycia, opublikowane w śledztwie z 9 listopada, to najnowszy raport firmy dotyczący kradzieży, w której około 6,4 miliarda dolarów opuściło portfele Binance 29 października. Dwa dni później FBI przypisało atak Korei Północnej w ramach oznaczenia TraderTraitor, którego użyto również wobec kradzieży z Bybit w 2025 roku. TraderTraitor to nazwa nadawana przez amerykańskie agencje północnokoreańskim grupom cybernetycznym celującym w firmy kryptowalutowe — działania udokumentowanego w powtarzanych zaleceniach rządu USA.

Coindoo previously covered a self-minted TRON token traced by TRM Labs, gdzie płaeność była jedynym połączeniem między kupującym a sprzedającym. Odkrycia Elliptic dotyczące NEAR pozwalają teraz ująć liczbowo obie strony płynności, w obrębie sześciu tokenów na drugim blockchainie.

Sześć tokenów praktycznie bez zewnętrznych traderów

Każdy z sześciu tokenów był sparowany z NEAR we własnej puli na zdecentralizowanej giełdzie, a jego utworzenie kosztowało około 25 NEAR, czyli mniej więcej 90 dolarów. Tworzenie na zdecentralizowanej giełdzie nie wymaga zezwoleń: między użytkownikiem a nową pulą nie stoi żadne zatwierdzenie notowania ani weryfikacja tożsamości, więc cena jest jedyną realną barierą. Przy takiej cenie token można wykorzystać raz i porzucić — dokładnie to stało się ze wszystkimi sześcioma.

Nowy token zdominowany przez kilka portfeli nie jest sam w sobie dowodem prania pieniędzy. Wiele legalnych premier zaczyna się tak, że twórca i mała grupa wczesnych kupujących wykonują większość transakcji. Argument Elliptic opiera się na trzech ustaleniach, które mają sens tylko razem wzięte.

Pierwsze dotyczy tego, kto handlował. Portfele w sieci prania wykonaly każdą sprzedaż wszystkich sześciu tokenów i kupiły każdą jednostkę pięciu z nich. Zakupy spoza sieci sprowadzały się do garści drobnych zakupów FUK w pierwszym dniu, stanowiących mniej niż 1% wolumenu tego tokenu.

Drugie dotyczy tego, jak opłacono każdy token. Pięciu z sześciu twórców zostało sfinansowanych przez portfel, który sprzedawał wcześniejszy token od 2 do 13 minut przed nową premierą. Dochody z jednego tokenu opłacały następny, co oznacza, że sześć tokenów tworzy łańcuch, a nie sześć osobnych zakładów.

Trzecie dotyczy krótkiego życia każdego tokenu. Każdy został po raz pierwszy sprzedany w ciągu trzech godzin od premiery i wykonał co najmniej trzy czwarte obrotu w ciągu jednego dnia. Żaden nie był przedmiotem handlu od 8 listopada, a tego popołudnia twórcy czterech tokenów wycofali płynność pozostałą w swoich pulach.

Przywołane dane pochodzą od Elliptic. Coindoo nie odtworzyło samodzielnie zapisów transakcji z sześciu pul.

Dlaczego sprzedający wyglądają na zwycięzców

Nic w brandingu tokenów nie zwracało uwagi. Elliptic opisuje logotypy w standardowym stylu memecoinów — od małpy z różową kokardą i kaczki przed flagą USA po baner „Elon 2028 President” na zdjęciu Elona Muska, którego Elliptic nie łączy z tokenami. Nazwy podążają za tym samym zwyczajem: FUK to dosadny żart, a SINU zapożycza końcówkę „-INU” stosowaną w coinach z motywem psa. Portfele nosiły losowe nazwy nadane przez popularną aplikację portfelową, więc ich etykiety niczego nie łączyły.

Codziennie pojawiają się tysiące nowych tokenów — i to jest zasłona. Według Elliptic portfel handlujący świeżym memecoinem przechodzi za spekulanta, dopóki ktoś nie sprawdzi, skąd pochodzą jego środki.

Właśnie przy tym sprawdzeniu pozorny zysk znika. Portfele kupujące zostały zasilone około 117 000 NEAR, przekazanymi z głównego portfela przechowującego skradzione NEAR przez konta pośrednie. Niemal dokładnie ta sama kwota opuściła następnie portfele zbierające, w dużej części wymieniona na stablecoiny lub wysłana do mostu międzyłańcuchowego — serwisu przenoszącego aktywa z jednego blockchaina na inny. Po cenach obowiązujących w chwili publikacji raportu Elliptic dawało to około 430 000 dolarów.

Czytając po kolei każdy portfel zbierający, zapis wygląda jak seria czystych wyjść: sprzedane tokeny, otrzymane NEAR. Czytając w poprzek sieci, te same NEAR przeszły raz w kółko i wróciły, pomniejszone o około 540 dolarów opłat za tworzenie tokenów plus koszty sieciowe. Jedyne pieniądze, które wpłynęły spoza sieci, to drobne zakupy FUK pierwszego dnia.

Wskaźnik zysku portfela porównuje to, co otrzymał, z tym, co zapłacił. Nie może pokazać, że kupujący po drugiej stronie byli finansowani z tego samego skradzionego portfela. A jeśli sprzedający otrzymał tokeny przelewem, zamiast kupować je w puli, może w ogóle nie być ceny zakupu do odjęcia.

Dlaczego przerzący pieniędzy stosują sztuczkę, którą śledczy mogą śledzić

Każdy krok znajduje się na publicznym blockchainie i Elliptic go prześledziło. Według firmy celem jest opóźnienie, a nie ukrycie. Każdy dodatkowy przeskok kosztuje śledczych czas na rozplątanie, a pranie pieniędzy to wyścig o przesunięcie środków, zanim zostaną oflagowane. Przy około 90 dolarach za token przerzący mogą sobie pozwolić na tworzenie wielu i wyrzucanie każdego z nich.

Ten schemat nie jest nowy. Elliptic po raz pierwszy zaobserwowało własnoręcznie tworzone tokeny w praniu pieniędzy z kradzieży Bybit w 2025 roku, gdy co najmniej 24 miliony dolarów przeszło przez bezwartościowy token TRON. W sprawie Binance firma zidentyfikowała podobny token TRON 2 listopada. Dzień później widziała skradzione SOL kierowane przez słabo handlowane, istniejące już tokeny na Solanie, zanim zostały sprzedane za USDC i wyprowadzone mostem. TRM Labs opisało ten sam wzorzec TRON we własnym śledztwie.

Kwoty w NEAR są małe na tle tego, co pozostaje. Około 11,8 miliona NEAR, warte około 43,7 miliona dolarów, nie ruszyło się według raportu Elliptic, a firma argumentuje, że technika jest na tyle tania, by przenosić znacznie większe kwoty. Dla każdego śledzącego sprawę konkretne punkty odniesienia to od teraz aktualizacje publicznej listy zablokowanych portfeli Elliptic w miarę potwierdzania nowych adresów do prania pieniędzy oraz ewentualny pierwszy ruch z tego nietkniętego salda. Elliptic podkreśla również, że narzędzie do premier, giełda i aplikacja portfelowa nie zawiniły; przerzący używali ich tak, jak mógł to zrobić każdy inny użytkownik.

Pięć kontroli przed zaufaniem zwycięskiej passie portfela

Trackery portfeli i kanały kopiowania transakcji rutynowo wyróżniają konta z dużymi zrealizowanymi zyskami. Sygnały ostrzegawcze Elliptic dla zespołów compliance przenoszą się bezpośrednio, a do ich wykonania wystarczy eksplorator bloków:

1. Wiek tokenu. Sprawdź, kiedy utworzono kontrakt tokenu. Duże sprzedaże w ciągu dni od premiery zasługują na bliższe przyjrzenie się.
2. Liczba traderów. Otwórz historię transakcji puli. Garść portfeli wykonujących niemal cały wolumen oznacza few realnych kontrahentów.
3. Portfele jednokierunkowe. Szukaj portfeli, które tylko kupują, obok portfeli, które tylko sprzedają. Ten podział to jedna z czerwonych flag Elliptic.
4. Świeże finansowanie. Prześledź pierwszy depozyt głównych kupujących. Nowe portfele zasilane tuż przed rozpoczęciem handlu, często w okrągłych kwotach, to sygnał ostrzegawczy.
5. Wycofana płynność. Sprawdź, czy twórca wkrótce po zatrzymaniu handlu wypłacił to, co zostało w puli.

Pojedyncza flaga opisuje dużą część rynku memecoinów. Kilka flag na tym samym portfelu oznacza, że jego wskaźnik zysku wymaga zbadania strony kupujących w księdze, zanim ktokolwiek skopiuje jego transakcje.

Dla giełd rada Elliptic jest taka, że środki napływające z puli płynności nie powinny być domyślnie traktowane jako czyste. Publiczna lista zablokowanych portfeli związanych z hackiem Binance rośnie wraz z identyfikacją nowych adresów, więc depozyt, który przeszedł skanowanie przy wpływie, może zostać oflagowany później. Elliptic zaleca firmom ponowne sprawdzanie depozytów już przyjętych przy każdej aktualizacji listy.