Piorący środki z Korei Północnej znalazli nowatorskie zastosowanie dla ulubionych żartobliwych tokenów internetu: pranie części rekordowych 6,4 mld dolarów skradzionych z Binance.

Zamiast przekazywać środki bezpośrednio od złodzieja do odbiorcy, grupy te emisują własne memecoiny i wymieniają skradzione aktywa przez pule płynności zdecentralizowanych giełd, według raportu firmy analitycznej Elliptic. Ta technika zrywa bezpośrednie powiązanie on-chain między portfelem złodzieja a portfelem zbierającym dochody. Pokazuje też, jak pranie pieniędzy adaptuje się do samej struktury zdecentralizowanych finansów, gdzie emisja tokena i zasilanie puli handlowej są z założenia dostępne dla każdego.

Jak działa schemat

Piorący emisują zupełnie nowy token i parują go z rzeczywistym aktywem, takim jak NEAR lub stablecoin, w puli płynności. Wpłacają skradzione środki do puli za pomocą jednego zestawu portfeli, aby kupić token, a następnie sprzedają go przez osobny zestaw portfeli, by wypłacić aktyw wyglądające na czyste.

Ponieważ pula znajduje się pośrodku, żadne skradzione środki nie przepływają bezpośrednio z portfela kupującego do zbierającego, a portfele odbierające wyglądają jak zwyczajni traderzy wypłacający zyski z memecoina. Taka kamuflaż jest łatwiejszy do przeprowadzenia na rynkach memecoinów, gdzie gwałtowne epizody handlu wokół świeżo emisowanych tokenów są rutynowym widokiem, a nie sygnałem ostrzegawczym.

Elliptic, w badaniach przypisanych współzałożycielowi Tomowi Robinsonowi, podała, że piorący zastosowali tę taktykę na Tron i Near, a na Solanie zaobserwowano jej bliski wariant.

Sześć jednorazowych tokenów na Near

Najwyraźniejszy przykład pochodzi z Near. Między 5 a 7 listopada piorący utworzyli co najmniej sześć własnych tokenów, każdy sparowany z NEAR we własnej puli. Monety nosiły typowe atrybuty memecoinów: kreskówkowe logo małpy z kokardą, kaczki w flagę, szympansa i lisa. Jeden z nich zawierał nawet obraz Elona Muska z napisem "Elon 2028 President" — Musk nie ma żadnego związku z tymi tokenami. Nazwy wahały się od wulgarnych (FUK) po nawiązanie do monet psów (SINU).

Każdy token kosztował około 25 NEAR — mniej więcej 90 dolarów — co pokazuje, jak mało barier stawiają bezpozwoleniowe łańcuchy przed utworzeniem tokena z marką. Wszystkie sześć przeszło ten sam scenariusz: emisja, intensywny handel w ciągu godzin przy użyciu skradzionego NEAR, a następnie porzucenie, gdy pozostałą płynność wyciągnięto z pul 8 listopada.

Łącznie około 117 000 NEAR, czyli mniej więcej 430 000 dolarów, przepłynęło przez sześć tokenów, zanim znaczna część trafiła dalej do stablecoinów lub międzyłańcuchowego mostu.

Identyfikowalne, ale wolniejsze

Kwoty są jak dotąd skromne — przypomnienie, że większość łupu nadal leży on-chain. Elliptic wcześniej ustaliła, że ponad 3 mld dolarów skradzionego krypto jeszcze nie zostało wyprane, a piorący tworzyli nowy portfel mniej więcej co 25 sekund, by przenosić środki z masową prędkością.

Co kluczowe, trik z memecoinami tak naprawdę nie ukrywa pieniędzy. Elliptic podkreśliła, że ślad pozostaje w pełni identyfikowalny on-chain; manewr jedynie spowalnia śledczych, kupując czas w tym, co jest w istocie wyścigiem o przeniesienie środków, zanim zostaną oznaczone. To jedna z wielu tanich, jednorazowych warstw, które piorący z Korei Północnej nakładają na siebie.

Elliptic po raz pierwszy zaobserwowała tę taktykę w ubiegłym roku, śledząc kradzież 1,5 mld dolarów z Bybit, również przypisaną grupie TraderTraitor stojącej za włamaniem na Binance.

Firma ostrzegła zespoły compliance, że środków wpływających z puli płynności nie należy uznawać za czyste, zwłaszcza gdy chodzi o świeżo emisowane tokeny i niewielką liczbę portfeli handlowych. Skoro większość rekordowego łupu wciąż czeka na przeniesienie, ostrzeżenie to faktycznie daje giełdom i zespołom skanującym transakcje konkretny wzorzec do obserwowania: depozyty, których ślad prowadzi do niedawno utworzonych tokenów i wąskiej grupy portfeli handlowych.