Hakerzy powiązani z Koreą Północną używają świeżo utworzonych memcoinów i puli płynności zdecentralizowanych giełd (DEX) do przeprowadzania kryptowalut skradzionych podczas mniej więcej 6,4-miliardowego włamania na Binance – według firmy analitycznej Elliptic zajmującej się analizą blockchaina.

Między 5 a 7 listopada operacja przeprowadziła około 117 000 NEAR o wartości około 430 000 USD przez co najmniej sześć tokenów utworzonych specjalnie na potrzeby tej działalności. Memcoiny, które zazwyczaj istnieją w celach handlowych i zainteresowania społeczności, a nie w oparciu o jakąkolwiek praktyczną użyteczność, mogą być emitowane przy minimalnych kosztach, co czyni je wygodnymi jednorazowymi narzędziami do tego rodzaju przeprowadzania środków. Technika ta dodaje warstwy złożoności do śledzenia transakcji, nie usuwając przy tym historii on-chain środków.

Sześć memcoinów NEAR zmapowanych w przepływie prania pieniędzy

W śledztwie z 9 listopada Elliptic zidentyfikował sześć memcoinów utworzonych między 5 a 7 listopada: FUK, OLCCL, MEILI, MMLI, DABI i SINU. Każdy token został sparowany z NEAR w osobnej puli płynności — rezerwie inteligentnego kontraktu składającej się z dwóch tokenów na zdecentralizowanej giełdzie, umożliwiającej automatyczne wymiany bez tradycyjnego arkusza zleceń — co pozwoliło napastnikom wymienić skradzione NEAR na nowo emisjonowane tokeny, a później przehubertować te tokeny z powrotem na NEAR za pośrednictwem innych portfeli. Elliptic oszacował, że utworzenie każdego tokenu kosztowało około 25 NEAR, czyli około 90 USD.

Firma analityczna prześledziła około 117 000 NEAR o wartości około 430 000 USD przez sześć pul tokenowych. Stwierdziła, że portfele powiązane z operacją kontrolowały niemal całą aktywność kupna i sprzedaży, przy niewielkich dowodach na rzeczywisty popyt z zewnątrz. Tokeny zostały wykorzystane wkrótce po utworzeniu, a następnie porzucone, a twórcy czterech z nich wycofali pozostałą płynność z puli 8 listopada. Śledztwo Elliptica szczegółowo opisuje ustalenia on-chain.

Pule płynności komplikują śledzenie skradzionych kryptowalut

Technika ta polega na umieszczeniu świeżo utworzonego tokenu między portfelami otrzymującymi skradzione środki a tymi, które zbierają aktywa po wymianach. Jedna grupa portfeli wymienia skradzione NEAR na nowy token, podczas gdy inna grupa sprzedaje ten token poprzez pulę, aby otrzymać NEAR. W rezultacie środki nigdy nie przemieszczają się bezpośrednio między portfelami kupującymi a zbierającymi, co utrudnia interpretację śladu transakcji.

Metoda ta nie usuwa jednak zapisu blockchaina ani nie czyni środków niemożliwymi do prześledzenia. Elliptic stwierdził, że transakcje pozostają widoczne, ale każda dodatkowa wymiana i portfel generuje więcej pracy dla śledczych i zespołów compliance. Firma ostrzegła również, że przedsiębiorstwa zajmujące się kryptowalutami nie powinny automatycznie traktować środków otrzymanych z pul płynności jako legalnych, zwłaszcza gdy chodzi o świeżo utworzone tokeny i nietypowe wzorce handlowe.

Śledztwo w sprawie kradzieży na Binance ujawnia szerszą operację prania pieniędzy

Aktywność w NEAR jest częścią znacznie większego wysiłku mającego na celu przeprowadzenie aktywów skradzionych podczas incydentu na Binance z 29 października. Elliptic oszacował wartość kradzieży na około 6,43 miliarda USD i stwierdził, że operacja prania pieniędzy objęła ponad 20 000 portfeli na 16 blockchainach, a także co najmniej 36 usług i 65 000 transakcji. Według śledztwa Elliptica FBI przypisało atak północnokoreańskiej grupie TraderTraitor. TraderTraitor to określenie używane przez amerykańskie władze w odniesieniu do cybernapastników powiązanych z Koreą Północną, stojących za kradzieżami kryptowalut wymierzonymi w tę branżę.

Według stanu na aktualizację z 7 listopada Elliptic poinformował, że około 2,85 miliarda USD zostało zamrożonych lub zajętych, podczas gdy około 3,13 miliarda USD nadal znajdowało się na adresach powiązanych z kradzieżą. Firma zidentyfikowała również wcześniejszą działalność związaną z praniem pieniędzy z udziałem Tron i Solana, co pokazuje, że napastnicy korzystali z wielu blockchainów i metod transakcyjnych. Śledztwo Elliptica w sprawie włamania na Binance śledzi przepływ skradzionych aktywów.

Precedens z Bybit budzi obawy wśród zespołów compliance w krypto

Elliptic stwierdził, że wcześniej zaobserwował podobną technikę podczas prania środków skradzionych podczas włamania na Bybit w 2025 roku. W tym przypadku napastnicy utworzyli niechciany token na Tron i wykorzystali pulę płynności stablecoina do przeprowadzenia co najmniej 24 milionów USD. Powtórzenie się tego schematu sugeruje, że tworzenie tymczasowych tokenów i przeprowadzanie środków przez pule DEX stało się kolejną metodą w podręczniku prania pieniędzy przypisywanym aktorom powiązanym z Koreą Północną.

Te ustalenia budzą obawy wśród giełd, platform finansów zdecentralizowanych i dostawców usług compliance monitorujących podejrzane depozyty kryptowalutowe. Badanie wyłącznie portfela wysyłającego środki może być niewystarczające, gdy aktywa docierają poprzez pulę płynności, ponieważ poprzedzające wymiany mogą ukryć powiązania z działalnością przestępczą przed podstawową weryfikacją.

Elliptic stwierdził, że operacja w NEAR objęła około 430 000 USD, podczas gdy około 11,8 miliona NEAR o wartości około 43,7 miliona USD w momencie sporządzania raportu pozostawało nieprzesuniętych. Dalsze przemieszczanie tych środków może dostarczyć śledczym dodatkowych dowodów na temat operacji.