Компания блокчейн-аналитики Elliptic сообщила, что кошельки, связанные со взломом Binance, использовались для выпуска и торговли шестью мем-токенами в NEAR, при этом пулы ликвидности децентрализованных бирж (DEX) были задействованы в предполагаемой попытке скрыть движение украденных средств.

Elliptic и ФБР связали кражу с группировкой TraderTraitor — северокорейским киберпреступным объединением, действующим под эгидой Lazarus Group, которое американские следователи давно связывают с масштабными хищениями криптовалют. По данным компании, инцидент затронул $6,43 млрд, похищенные у Binance — крупнейшей криптобиржи мира по объему торгов, — 29 октября 2026 года и распределенные по 11 блокчейнам; Elliptic охарактеризовала произошедшее как беспрецедентный компрометация одной биржи.

Шесть тематических токенов выпущены в NEAR

С 5 по 7 ноября 2026 года в NEAR были выпущены шесть токенов: FUK, OLCCL, MEILI, MMLI, DABI и SINU. NEAR — блокчейн первого уровня, поддерживающий недорогое создание токенов. Ончейн-анализ Elliptic показал, что токены имели логотипы мультяшных животных — в том числе обезьяну с бантом, утку в флаге, шимпанзе и лису — наряду с изображением с подписью «Elon 2028 President». Выпуск каждого токена стоил примерно 25 NEAR, или около $90 на тот момент.

Как работал предполагаемый механизм отмывания

Elliptic описала схему из четырех шагов. Сначала создаются новый токен и пул ликвидности децентрализованной биржи. Затем средства, идентифицированные как украденные, поступают с одного набора кошельков для покупки токена. Отдельный набор кошельков продает токен обратно в пул для вывода активов. В результате прямая ончейн-связь между исходными средствами и кошельком вывода разрывается.

Компания отметила, что у DABI, MMLI и SINU был ровно один покупающий кошелек и один продающий кошелек — паттерн, который, по словам Elliptic, соответствует контролируемому отмыванию, а не органической торговой активности.

Вся ликвидность была выведена 8 ноября 2026 года, согласно Elliptic. Внешняя торговля по всем шести токенам составила менее 1% общего объема, что подкрепляет оценку компании: это были не спекулятивные розничные токены, а инструменты, созданные для перемещения стоимости. Через шесть токенов прошло примерно 117 000 NEAR — около $430 тысяч на тот момент.

По имеющимся данным, та же техника впервые была применена при взломе Bybit в феврале 2025 года — инциденте, входящем в число крупнейших крипто-краж в истории, — когда не менее $24 млн прошло через ничего не стоящий токен в сети Tron. Ее повторное появление при взломе Binance вслед за прецедентом Bybit указывает на самодельные мем-токены как на воспроизводимую технику отмывания, а не разовый случай — именно этот паттерн лежит в основе комплаенс-сигналов, на которые Elliptic призвала обращать внимание криптобизнес.

Активность по отмыванию выходила за пределы NEAR

Elliptic сообщила, что операции с мем-коинами в NEAR не были изолированными. Компания также задокументировала ничего не стоящий токен в Tron, использованный 2 ноября, и заявила, что 3 ноября SOL, идентифицированный как украденный, был обменен на малооборотные токены Solana, а затем продан за USDC — стейблкоин, обеспеченный долларом и выпущенный Circle, — что еще больше усложнило след по нескольким сетям.

«Еще один слой»: почему мем-коины усложняют отслеживание

Сооснователь Elliptic Том Робинсон объяснил стратегическую логику: «Мем-коины запускаются и торгуются тысячами, и большинство исчезает за считанные дни, поэтому еще один недолговечный токен с мультяшным логотипом hardly привлекает внимание. Кошелек, чья история показывает сделки с новым мем-коином, выглядит как спекулянт, а не отмыватель денег — если только кто-то не проверит, откуда пришли его средства».

Робинсон также обозначил ограничения техники: «Самодельные мем-токены — это просто еще один слой. Они не столько скрывают средства, сколько замедляют тех, кто их отслеживает». Блокчейн-транзакции остаются публично видимыми независимо от количества промежуточных активов, через которые они проходят, но каждый переход добавляет следственной работы и времени.

Elliptic сообщила, что более масштабная предполагаемая операция по отмыванию велась в таком объеме, что активность с мем-коинами выглядела лишь небольшим тестом. Отдельный отчет Elliptic об автоматизированном отмывании зафиксировал 546 переводов с одного кошелька, срабатывавшего примерно каждые 96 секунд и перемещавшего $7–11 млн в час без пауз более 31 часа. Компания выявила более 20 000 кошельков и 16 сетей, участвовавших, по ее данным, в операции, которую ФБР официально связало с TraderTraitor.

Комплаенс-сигналы

Elliptic призвала криптобизнес воспринимать паттерн с мем-коинами как комплаенс-красный флаг, указав на свежевыпущенные токены, пулы ликвидности с горсткой кошельков, кошельки, которые только покупают, в противовес кошелькам, которые только продают, и новые кошельки, пополненные непосредственно перед торговлей круглыми суммами. Компания предупредила, что средства, поступающие через пулы ликвидности, не следует считать заведомо чистыми.

Замороженные средства, усилия по возврату и рыночный контекст

Совгенеральный директор Binance Ричард Тенг подтвердил, что $2,85 млрд украденных средств были заморожены или перехвачены на момент публикации отчета Elliptic. Около $3,2 млрд на тот момент оставались неотмытыми, а усилия по возврату продолжались в нескольких юрисдикциях и сетях. Ответные действия американских властей получили публичное признание со стороны руководства биржи. Для читателей, отслеживающих судьбу оставшихся средств, наблюдаемыми ориентирами остаются уже зафиксированные: дальнейшие подтверждения заморозки или перехвата от биржи и властей, обновления скрининговых списков, таких как блоклист ниже, и ончейн-потоки, задокументированные в исследовании Elliptic.

Elliptic опубликовала бесплатный блоклист нелегитимных адресов из взлома Binance по адресу elliptic.co/binance-hack-2026-blocklist, чтобы помочь биржам, кошелькам и DeFi-протоколам проверять входящие средства. Компания не подтвердила и не опровергла, управляют ли операцией ИИ-агенты; ее оценка указывает на обычную автоматизацию с человеческим контролем, а не на автономное принятие решений ИИ.

Более широкая рыночная дестабилизация от взлома продолжала проявляться в токен-экосистемах спустя недели после первоначальной кражи: NEAR торговался по $3,62 с рыночной капитализацией около $4,75 млрд на момент исследования Elliptic. Этот случай также напоминает, что инфраструктура, созданная для легитимных запусков токенов — дешевый выпуск, публичные DEX-пулы и быстрое развертывание ликвидности, — может быть перепрофилирована в инструменты сокрытия почти бесплатно.

Пользователям, ищущим обновления по безопасности аккаунтов, следует полагаться на официальные коммуникации Binance, а не на сторонние публикации.