Prań pieniędzy powiązane z Koreą Północną wydały około 90 dolarów na każdy z sześciu memecoinów utworzonych w blockchainie NEAR i użyły ich do przeniesienia środków skradzionych 29 października podczas włamania na giełdę kryptowalut Binance — według firmy analitycznej Elliptic. Operacja opierała się na własnych tokenach i pulach płynności, aby zerwać powiązanie on-chain między skradzionymi depozytami a portfelami, które je otrzymały.

Według Elliptic około 117 000 NEAR wartych około 430 000 dolarów przeszło przez tokeny między 5 a 7 listopada. Firma opisała operację prania pieniędzy w raporcie opublikowanym w poniedziałek.

Schemat przypomina taktyki, które grupy powiązane z Koreą Północną wielokrotnie stosowały po dużych włamaniach na giełdy, przepuszczając środki przez własne tokeny, zdecentralizowane giełdy i wiele blockchainów, aby zatrzeć ich pochodzenie.

Sześć tokenów — FUK, OLCCL, MEILI, MMLI, DABI i SINU — kosztowało około 25 NEAR każdy przy uruchomieniu za pomocą publicznego narzędzia do tworzenia tokenów w sieci pierwszej warstwy. Nosiły kreskówkową grafikę memecoinów: jeden przedstawiał małpę z różową kokardą, inny kaczkę przed amerykańską flagą, a trzeci Elona Muska pod banerem „Elon 2028 President”. Elliptic zaznaczyła, że nie ma żadnych przesłanek łączących Muska z tymi tokenami.

Jak pule zatrzeły ślad

Prań sparowały każdy nowy token z NEAR we własnej puli płynności — czyli zbiorniku dwóch aktywów na zdecentralizowanej giełdzie, z którym może handlować każdy. Jedna grupa portfeli użyła skradzionego NEAR, aby kupić nowy token z puli, a druga grupa następnie odsprzedała token i wyciągnęła NEAR. Ponieważ pula znajdowała się pośrodku, żaden transfer nie łączył bezpośrednio obu grup portfeli. Ścieżka ta opiera się na cech strukturalnej zdecentralizowanych finansów: w przeciwieństwie do regulowanych platform scentralizowanych zdecentralizowane giełdy nie wymagają weryfikacji tożsamości (KYC) ani zakładania kont, więc portfele mogą przepychać wartość przez pulę bez ujawniania tożsamości.

„Istnieją wyłącznie po to, aby wstawić pulę między skradzione środki a następny portfel” — napisała Elliptic w poście na X.

Prań pieniędzy Korei Północnej tworzą własne memecoins, aby przenosić środki skradzione z Binance. Między 5 a 7 listopada uruchomili co najmniej sześć tokenów w NEAR, ozdobionych logo memecoinów, takimi jak małpa z różową kokardą i kaczka przed amerykańską flagą. Skradziony NEAR poszedł… — Elliptic (@elliptic) November 9, 2026

Według Elliptic dane handlowe wykazały, że tokeny nie miały innego celu poza praniem pieniędzy. Portfele związane z operacją złożyły każdą ofertę sprzedaży we wszystkich sześciu tokenach i każdą ofertę kupna w pięciu z nich. Wyjątkiem była niewielka liczba zakupów FUK w dniu premiery, które stanowiły marginalną część obrotu tego tokenu.

Tokeny były również powiązane łańcuchowo. W pięciu przypadkach portfel, który sfinansował twórcę nowego tokenu, sprzedawał poprzedni token zaledwie 2 do 13 minut przed kolejną premierą.

Metoda po raz pierwszy widziana przy Bybit

Elliptic po raz pierwszy zauważyła tę technikę po tym, jak Bybit stracił 1,5 miliarda dolarów w włamaniu w 2025 roku — największej kradzieży kryptowalut w historii — w którym prań użyli bezwartościowego tokenu Tron do przeniesienia co najmniej 24 milionów dolarów. W przypadku Binance podobny token Tron pojawił się 2 listopada, a dzień później skradziony SOL przeszedł przez istniejące tokeny Solana o niskim obrocie.

Ścieżka NEAR obejmuje mniej niż 0,01% z około 6,3 miliarda dolarów skradzionych z Binance. FBI przypisało kradzież północnokoreańskiej grupie hakerskiej TraderTraitor, której amerykańskie agencje łączą z grupą Lazarus. Amerykańscy urzędnicy i eksperci ONZ wielokrotnie wskazywali kradzieże kryptowalut na dużą skalę jako źródło finansowania programów zbrojeniowych objętego sankcjami państwa.

Według Elliptic około 3000 bitcoinów wartych około 225 milionów dolarów trafiło na nowe adresy bitcoinowe po konwersji z innych skradzionych aktywów. Około 11,8 miliona NEAR wartych 43,7 miliona dolarów nie zostało jeszcze przeniesionych.

„Ta technika spowalnia śledczych, zamiast ukrywać środki” — napisał współzałożyciel Elliptic Tom Robinson. Dodał, że prań z Korei Północnej „nakładają na siebie wiele tanich technik, z których każda dodaje kolejne opóźnienie”.

Kilka dni przed pojawieniem się tokenów Jonty, założyciel Pangolin Intelligence, powiedział w Unchained, że takie sieci przenoszą środki między portfelami, „aby w zasadzie uniknąć okiem oprogramowania do monitorowania transakcji”.

Elliptic wezwała zespoły compliance, aby nie traktowały środków wychodzących z puli płynności jako czystych domyślnie. Sygnały ostrzegawcze obejmują tokeny mające zaledwie kilka dni, pule z niewielką liczbą traderów oraz portfele, które tylko kupują lub tylko sprzedają. Firma zaleciła dodatkową kontrolę depozytów wywodzących się z pul o takich cechach.

Żaden z sześciu tokenów NEAR nie był handlowany od 8 listopada. Tego popołudnia czterech twórców tokenów wypłaciło środki wciąż leżące w ich pulach — według Elliptic. Pozostaje to około 43,7 miliona dolarów w nieruchomym NEAR oraz nowo skonsolidowany bitcoin jako najwyraźniejsze punkty odniesienia dla analityków śledzących kolejne ruchy — a według udokumentowanego przez Elliptic wzorca wielołańcuchowego kolejna fala własnych tokenów w innym miejscu byłaby sygnałem, że kampania weszła w nową fazę.