Hakerzy z Korei Północnej stworzyli własne memecoiny w celu wyprania środków skradzionych w hacku Binance wartym 6,3 miliarda dolarów, wykorzystując symulowaną aktywność handlową, aby nielegalne zyski wyglądały na legalne dochody z tradingu.

Zgodnie z analizą firmy zajmującej się analityką blockchainową Elliptic hakerzy przemieszcili około 117 000 tokenów $NEAR — o wartości mniej więcej 430 000 dolarów — za pośrednictwem sześciu memecoinów utworzonych między 5 a 7 listopada.

Jeden z tokenów zawierał wizerunek Elona Muska pod hasłem „Elon 2028 President”, choć Elliptic zaznaczył, że nie ma żadnych przesłanek wskazujących na związek Muska z tymi tokenami. Ich nazwy nawiązywały do znanych konwencji memecoinów, w tym do ordynarnego żartu oraz końcówki „inu”, powszechnie stosowanej w memecoinach z motywem psa — szczegóły te pomogły tokenom sprawiać wrażenie zwykłych premier memecoinów.

Mechanizm polegał na sparowaniu każdego memcoina z $NEAR we własnej puli płynności na zdecentralizowanej giełdzie. Następnie hakerzy wykorzystali jeden zestaw portfeli do kupna memecoinów za skradzione $NEAR, a oddzielny zestaw portfeli do odsprzedaży tych samych memecoinów za $NEAR. W rezultacie środki nigdy nie przepływały bezpośrednio z jednego portfela do drugiego, co sprawiało, że pieniądze wyglądały na efekt zyskownego handlu, a nie hacku. Ta różnica ma znaczenie dla śledczych, których techniki śledzenia zazwyczaj opierają się na bezpośrednich transferach między adresami — ścieżce, którą ta metoda celowo unika.

„Pralicze sześć takich tokenów kryptowalutowych i handlowało się nimi wyłącznie między sobą. To sprawia, że skradzione środki wyglądają na zyski z tradingu” — powiedział współzałożyciel i główny naukowiec Elliptic Tom Robinson w wywiadzie dla CoinDesk.

Elliptic ustalił, że niemal cały handel pochodził z portfeli powiązanych z operacją prania pieniędzy, a kupujący z zewnątrz odpowiadali za mniej niż 1% wolumenu jednego z tokenów. Handel wszystkimi sześcioma tokenami ustał do 8 listopada.

FBI przypisało kradzież z Binance z 29 października północnokoreańskiej grupie TraderTraitor. Hakerzy wykorzystali również THORChain do zamiany skradzionych aktywów na bitcoiny, których nie można zamrozić przez centralny podmiot emitujący, co czyni pule memecoinów jednym z etapów dłuższego łańcucha prania pieniędzy. Kwota około 430 000 dolarów przeprowadzona przez sześć tokenów stanowi jedynie ułamek skradzionych 6,3 miliarda dolarów.

Elliptic zidentyfikował podobną metodę prania pieniędzy opartą na memecoinach po hacku Bybit w 2025 roku i stwierdził, że nowe transakcje utrudniają wysiłki śledzenia skradzionych środków, ale nie zacierają ich śladów. Skoro metoda została już udokumentowana w dwóch dużych kradzieżach z giełd, a ślady są nienaruszone, sam schemat prania — własne tokeny, handel kierowany do samych siebie i skupiska portfeli — daje śledczym dodatkowe punkty zaczepienia w wysiłkach na rzecz ustalenia, dokąd trafiają skradzione środki.