Firma analityczna Elliptic poinformowała w poniedziałek, że północnokoreańscy hakerzy wykorzystali jednorazowe memecoiny do przemieszczania skradzionych z Binance aktywów — technikę, która według firmy zwiększa ryzyko przy skriningu środków dla podmiotów otrzymujących fundusze ze zdecentralizowanych pul płynności.

W analizie z 9 listopada Elliptic prześledziła 117 000 NEAR (natywny token blockchainu pierwszej warstwy NEAR) o wartości 430 000 dolarów przez sześć tokenów. Każdy token kosztował około 25 NEAR, czyli 90 dolarów, przy jego utworzeniu. Firma stwierdziła, że transfery pozostały możliwe do prześledzenia mimo dodatkowych kroków transakcyjnych.

Jak jednorazowe tokeny zatarły pochodzenie środków

Między 5 a 7 listopada portfele obsługujące pranie pieniędzy uruchomiły sześć tokenów na NEAR, ustaliła Elliptic. Każdy z nich został sparowany z NEAR w osobnej puli płynności zdecentralizowanej giełdy, gdzie transakcje rozliczane są względem zgromadzonych rezerw, a nie pomiędzy nazwanymi kontrahentami. Jedna grupa portfeli kupowała tokeny za skradzione NEAR, a druga sprzedawała te same tokeny, aby odzyskać środki, nie pozostawiając bezpośredniego transferu między tymi grupami portfeli.

Elliptic stwierdziła, że ten wzorzec mógł sprawiać, iż portfele odbierające środki przypominały zyskownych traderów. Jednak dane sieci powiązały kupujących, sprzedających i twórców tokenów z tymi samymi skradzionymi środkami. Pięciu twórców tokenów otrzymało finansowanie od portfeli, które sprzedały wcześniejsze tokeny zaledwie dwa do trzynastu minut wcześniej, zgodnie z raportem firmy. Portfele zewnętrzne stanowiły mniej niż 1% wolumenu obrotu jednego tokenu, a pozostałe pięć nie miało w ogóle zewnętrznych kupujących.

Wszystkie sześć tokenów zaprzestało obrotu do 8 listopada, a czterej emitenci wycofali pozostałą płynność jeszcze tego samego popołudnia. Elliptic zidentyfikowała około 11,8 miliona skradzionych NEAR, które pozostawały nieprzeniesione w momencie raportowanego zrzutu danych — to saldo stanowi najwyraźniejszy ślad dla każdego śledzącego sprawę, ponieważ firma stwierdziła, że technika utrzymywała transfery możliwe do prześledzenia on-chain.

Dlaczego wpłaty do pul płynności wymagają dokładniejszych kontroli

Elliptic ostrzegła, że środki pochodzące z pul płynności nie powinny automatycznie otrzymywać czystej klasyfikacji. Ponieważ rynki pooled kierują każdą wymianę przez wspólne rezerwy, bezpośrednim źródłem on-chain wpłaty jest sama pula, a nie strona po drugiej stronie transakcji. Firma zidentyfikowała niedawno utworzone tokeny, skoncentrowany obrót oraz portfele jednorazowego użytku jako potencjalne sygnały ostrzegawcze.

Według firmy to podejście nie ukryło każdego ruchu on-chain. Zamiast tego stworzyło dodatkową pracę przy śledzeniu, podczas gdy skradzione aktywa nadal przemieszczały się między sieciami.

Elliptic udokumentowała podobną taktykę po włamaniu na Bybit w 2025 roku, jednej z największych kradzieży kryptowalut w historii, donosząc, że co najmniej 24 miliony dolarów przepłynęło przez bezwartościowy token na Tron. W przypadku Binance firma zaobserwowała kolejny własnoręcznie utworzony token na Tron 2 listopada, a następnego dnia atakujący przemieszcili skradzione SOL przez istniejące tokeny o niskim wolumenie obrotu.

Śledztwo w sprawie włamania na Binance trwa

FBI przypisało kradzież z 29 października północnokoreańskiej operacji TraderTraitor — powiązanej z państwem grupie hakerskiej, którą amerykańskie agencje łączyły z wcześniejszymi kradzieżami z giełd kryptowalut. Pjongjang zaprzeczył odpowiedzialności.

Jak wcześniej informowało Blockonomi, atakujący uzyskali dostęp do infrastruktury portfeli Binance po przejęciu kontroli nad urządzeniami pracowników. Osobne raport Blockonomi opisywał ustalenia FBI oraz wczesne przemieszczanie skradzionych kryptowalut.

Binance podało 3 listopada, że incydent objął około 6,34 miliarda dolarów. Firma informowała, że około 2,85 miliarda dolarów zostało zamrożonych lub przechwyconych, a 98% dotkniętych aktywów zostało uzupełnionych. Te uzupełnienia zostały sfinansowane przez samo Binance, a nie z odzyskanych łupów.