Компания блокчейн-аналитики Elliptic выявила необычную схему отмывания средств, использованную хакерами, стоящими за взломом Binance на 6,43 млрд долларов: вместо прямого перевода украденных активов между кошельками злоумышленники выпустили собственные мемкоины и торговали ими через пулы ликвидности децентрализованных бирж (DEX), после чего полностью забросили эти токены.

ФБР возложило ответственность за взлом на северокорейскую группировку TraderTraitor — обозначение, которое американские власти используют для спонсируемых государством северокорейских кибергруппировок, атакующих криптовалютную отрасль. Согласно анализу Elliptic, вновь созданные токены служили «жертвенным буфером» между кошельками с украденной криптовалютой и адресами,最终 получавшими выручку. Этот метод остаётся обнаружимым в блокчейне, однако может замедлить расследование и усложнить комплаенс-проверки.

Шесть мемкоинов для перемещения 117 000 украденных NEAR

Сеть отмывания, созданная в период с 5 по 11 ноября, выпустила как минимум шесть токенов в блокчейне NEAR: FUK, OLCCL, MEILI, MMLI, DABI и SINU, по данным Elliptic. По оценкам компании, через пулы ликвидности, связанные с этими токенами, было проведено около 117 000 NEAR на сумму примерно 430 000 долларов. Создание каждого токена стоило около 90 долларов, что делает промежуточный слой дешёвым в развёртывании по сравнению с перемещаемыми суммами.

Практически никакой реальной рыночной торговли монетами не велось. Elliptic установила, что все продажи по всем шести токенам и почти все покупки совершали кошельки, предположительно участвовавшие в схеме отмывания. Большинство токенов были проданы и сброшены в течение нескольких часов, и с 8 ноября — дня после публикации анализа Elliptic — торговая активность отсутствует.

Как работает схема с одноразовыми токенами

Схема добавляет слой отмывания между украденной криптовалютой и кошельком, который в итоге получает выручку. Сначала злоумышленники создают новый токен и объединяют его с устоявшимся активом, например NEAR, в пуле ликвидности DEX. Затем украденные NEAR с одного кошелька используются для покупки свежевыпущенного токена. После этого отдельный кошелёк продаёт токен обратно в пул и выводит NEAR.

В результате украденные активы никогда не перемещаются напрямую с первого кошелька на адрес, который их получает. На первый взгляд, принимающий кошелёк выглядит так, будто просто приобрёл средства, торгуя малоизвестным мемкоином, — а поскольку DEX позволяют любому кошельку торговать newly выпущенными токенами без посредников и проверок, такой адрес может сойти за обычного трейдера мемкоинов, пока сама схема не будет распознана.

Однако след в блокчейне всё равно остаётся видимым. Elliptic отметила, что данная стратегия создаёт трение для расследователей, а не делает украденные средства неотслеживаемыми.

Отмывание средств от взлома Binance охватывает множество блокчейнов

Активность в сети NEAR — лишь один компонент куда более масштабной операции по отмыванию средств, связанной со взломом Binance. Elliptic отследила украденные средства через более чем 20 000 кошельков, 16 блокчейнов, как минимум 36 сервисов и около 65 000 транзакций. По данным компании, примерно 3 млрд долларов находятся на адресах, которые, как считается, связаны с украденными средствами.

Похожие схемы на основе токенов применялись и в других блокчейн-системах, таких как Tron и Solana. Elliptic также связала этот метод со взломом Bybit в 2025 году, где, как утверждается, связанные с КНДР злоумышленники провели более 24 млн долларов через фиктивный токен, запущенный в сети Tron. Повторяясь в разных инцидентах и сетях, эта схема стала узнаваемым паттерном, который могут обнаруживать инструменты комплаенс-скрининга, а любое будущее перемещение около 3 млрд долларов отслеженных средств останется видимым в блокчейне.

Для криптовалютных комплаенс-команд появился новый красный флаг: средства поступают в систему из пула ликвидности на децентрализованной бирже, которая только что запущена и показывает минимальные объёмы торгов. Этот сигнал исходит из тех же публичных ончейн-данных, которые Elliptic использовала для отслеживания операции, — токены, выпущенные для разрыва прямой связи между кошельками, теперь одновременно служат маркерами, по которым автоматизированный мониторинг может проводить скрининг.