Prawicownicy z Korei Północnej wybierają własne bezwartościowe memecoiny i przepuszczają przez nie skradzione środki z Binance, co gwarantuje, że aktywa nigdy nie przemieszczają się bezpośrednio z jednego portfela do drugiego — poinformowała w poniedziałek firma analityczna Elliptic.

W okresie od 5 do 7 listopada operatorzy utworzyli co najmniej sześć nowych tokenów w blockchainie NEAR — FUK, OLCCL, MEILI, MMLI, DABI i SINU — sparowali każdy z NEAR w dedykowanej puli płynności, kupili tokeny za skradzione NEAR z jednej grupy portfeli, a następnie odsprzedali je przez drugą grupę. Przez te sześć tokenów przepłynęło około 117 000 NEAR, czyli około 430 000 dolarów, napisała Elliptic.

Ten schemat jest jednym z wątków znacznie szerszego prania skradzionych w dniu 29 października środków z Binance, którego wartość giełda wyceniła na 6,34 mld dolarów i który FBI przypisuje grupie TraderTraitor z Korei Północnej. Na tle tej kwoty około 430 000 dolarów, które przepłynęło przez sześć tokenów, to ułamek — ale ilustruje on charakterystyczny styl całej operacji: wartość przemieszczana w wielu małych, jednorazowych krokach, a nie w pojedynczych dużych transferach. Szersza aktualizacja Elliptic podaje obecnie, że około 3000 BTC — około 225 mln dolarów — znajduje się na nowych adresach bitcoinowych po konwersji z innych skradzionych aktywów, podczas gdy około 11,8 mln NEAR, czyli 43,7 mln dolarów, ze skradzionych środków wciąż nie zostało przemieszczone.

„Większość ludzi myśli o tokenach memowych jako o żartobliwych monetach, których ceny rosną i spadają pod wpływem hype'u” — napisał dr Tom Robinson, współzałożyciel i główny naukowiec Elliptic. „Prawicownicy z Korei Północnej znaleźli dla nich inne zastosowanie.”

Jak działa trik z własnymi tokenami

Technika polega na czterostopniowym przeskoku. Prawicownicy tworzą token za pomocą publicznego narzędzia do emisji, otwierają pulę płynności parującą go z realnym aktywem, takim jak NEAR lub stablecoin, kupują token za skradzione środki przechowywane w jednej grupie portfeli, a następnie odsprzedają go do tej samej puli z drugiej grupy portfeli, która zbiera realny aktywo.

W żadnym momencie skradzione środki nie przemieszczają się bezpośrednio z portfela kupującego do portfela zbierającego, ponieważ pomiędzy nimi znajduje się pula. Dla przypadku obserwatora portfele zbierające wyglądają jak zwykli traderzy, którzy sprzedali token z zyskiem. W praktyce każdy token działa jak jednokierunkowy tunel: tworzony na jeden cykl prania, a następnie porzucany, zamiast być utrzymywanym jako działający rynek.

Każdy z sześciu tokenów NEAR kosztował około 25 NEAR — około 90 dolarów — przy tworzeniu. Wszystkie były intensywnie handlowane w ciągu kilku godzin przy użyciu skradzionych NEAR, a następnie porzucone. Żaden nie był handlowany od 8 listopada, a tego popołudnia twórcy czterech z nich wycofali pozostałą płynność. Tokeny tworzą również łańcuch: pięciu z sześciu twórców zostało sfinansowanych z portfela, który właśnie sprzedał wcześniejszy token, od dwóch do 13 minut przed kolejnym uruchomieniem.

Elliptic po raz pierwszy opisała tę samą metodę przy praniu skradzionych w lutym 2025 r. środków z Bybit, również przypisywanym grupie TraderTraitor, gdy bezwartościowy token na Tron pomógł przemieścić co najmniej 24 mln dolarów. W przypadku Binance firma zaobserwowała tę technikę również na Tron, a także zbliżoną wariant na Solana, który wykorzystywał istniejące słabo handlowane tokeny zamiast własnych.

Taktyka opóźniająca, nie znikanie

Memecoiny nie ukrywają środków — każdy krok jest publicznie widoczny na blockchainie. Kupują czas. Każdy dodatkowy przeskok spowalnia śledczych, podczas gdy prawicownicy ścigają się, by przemieścić pieniądze, zanim zostaną oznaczone, a po około 90 dolarów za sztukę tokeny są na tyle tanie, że można je wyrzucić.

Ta taktyka wpisuje się w szerszy wzorzec, który Elliptic śledzi od momentu włamania: ponad 20 000 portfeli w 16 blockchainach, co najmniej 36 usług i co najmniej 65 000 transakcji. Binance poinformował, że atak rozpoczął się od fałszywej rozmowy kwalifikacyjnej i trwał pięć miesięcy, zanim jakiekolwiek monety zostały przemieszczone, a firmy zajmujące się blockchainem powiązały włamanie z grupą TraderTraitor w ciągu jednego dnia.

Konwersja na bitcoiny to większa historia kwotowa. Wszystkie skradzione SOL zostały już zamienione, przepuszczone przez bridge lub zmieszane, a znaczna część trasy XRP również wpłynęła do bitcoinów. około 2,85 mld dolarów pierwotnego łupu zostało zamrożonych, podczas gdy znikoma ilość została prawdopodobnie wypłacona do tej pory — poinformowała Elliptic.

Maszyna kradzieży kryptowalut Korei Północnej nie jest nowa. Elliptic oszacowała łup reżimu w 2025 r. na ponad 2 mld dolarów, napędzany przez exploit Bybit wart 1,46 mld dolarów, a jego skumulowana znana suma przekroczyła 6 mld dolarów jeszcze przed incydentem Binance.

Binance wznowił wypłaty etapami i poinformował, że pokrył straty klientów z własnych środków. Dla śledczych testem obecnie jest to, czy własne pule płynności będą się mnożyć szybciej, niż nadążają za nimi listy blokowania — i jak NEAR, który jeszcze nie został przemieszczony, zostanie ostatecznie przepuszczony.

Ten artykuł został pierwotnie opublikowany na Bitcoin Magazine, autorem jest Micah Zimmerman.