Аналитическая блокчейн-компания Elliptic отследила, как средства, украденные у Binance, были проведены через шесть самостоятельно созданных мем-коинов в блокчейне NEAR по схеме, благодаря которой кошельки для отмывания выглядели прибыльными трейдерами. Результаты, опубликованные в расследовании от 9 ноября, стали новейшим отчётом компании о краже, в ходе которой около $6,4 млрд покинули кошельки Binance 29 октября. Два дня спустя ФБР возложило ответственность за атаку на КНДР, применив обозначение TraderTraitor, которое использовалось и в деле о краже у Bybit в 2025 году. TraderTraitor — это название, которое американские ведомства дают северокорейским кибергруппировкам, атакующим криптовалютные компании; эта деятельность зафиксирована в неоднократных рекомендациях правительства США.

Coindoo ранее сообщал о самостоятельно выпущенном TRON-токене, отслеженном TRM Labs, где пул ликвидности был единственной связью между покупателем и продавцом. Данные Elliptic по NEAR теперь дают числовую картину обеих сторон пула ликвидности — по шести токенам во втором блокчейне.

Шесть токенов почти без внешних трейдеров

Каждый из шести токенов был объединён в пару с NEAR в собственном пуле на децентрализованной бирже, а его создание стоило около 25 NEAR, или примерно $90. Создание на децентрализованной бирже не требует разрешений: между пользователем и новым пулом нет ни одобрения листинга, ни проверки личности, поэтому цена — единственное реальное препятствие. При такой цене токен можно использовать один раз и выбросить — именно так поступили со всеми шестью.

Новый токен, контролируемый несколькими кошельками, сам по себе не является доказательством отмывания. Многие легитимные запуски начинаются именно так: создатель и небольшая группа ранних покупателей обеспечивают большую часть торгов. Дело Elliptic опирается на три вывода, которые имеют смысл только в совокупности.

Первый — кто торговал. Кошельки сети по отмыванию совершили каждую продажу всех шести токенов и купили все единицы пяти из них. Покупки вне сети свелись к нескольким мелким покупкам FUK в первый день, составившим менее 1% объёма этого токена.

Второй — как оплачивался каждый токен. Пятеро из шести создателей были профинансированы кошельком, который продавал предыдущий токен за 2–13 минут до нового запуска. Выручка одного токена оплачивала следующий, то есть шесть токенов образуют цепочку, а не шесть отдельных ставок.

Третий — насколько недолгой была жизнь каждого токена. Каждый был впервые продан в течение трёх часов после запуска и совершил не менее трёх четвертей своих торгов в течение одного дня. Ни один не торговался после 8 ноября, и в тот же день во второй половине дня создатели четырёх токенов вывели оставшуюся ликвидность из своих пулов.

Приведённые здесь цифры принадлежат Elliptic. Coindoo не воспроизводил независимо записи транзакций шести пулов.

Почему продавцы выглядят победителями

Ничего примечательного в брендинге токенов не было. Elliptic описывает логотипы в стандартном стиле мем-коинов — от обезьяны с розовым бантом и утки на фоне флага США до баннера «Elon 2028 President» поверх изображения Илона Маска, которого Elliptic не связывает с этими токенами. Названия следуют той же привычке: FUK — грубая шутка, а SINU заимствует окончание «-INU», характерное для токенов с собачьей тематикой. Кошельки носили случайные имена, присвоенные популярным приложением для кошельков, поэтому и их названия ни на что не указывали.

Ежедневно появляются тысячи новых токенов — в этом и заключается прикрытие. По оценке Elliptic, кошелёк, торгующий свежим мем-коином, сходит за спекулянта, если никто не проверяет, откуда пришли его деньги.

При такой проверке мнимая прибыль исчезает. Покупающие кошельки были профинансированы примерно 117 000 NEAR, переданными от основного кошелька с украденными NEAR через промежуточные счета. Почти точно такая же сумма затем покинула собирающие кошельки, значительная часть была обменена на стейблкоины или отправлена на межцепочечный мост — сервис, перемещающий активы из одного блокчейна в другой. По ценам на момент публикации Elliptic это составило около $430 000.

Если читать каждый собирающий кошелёк по отдельности, история выглядит как серия чистых выходов: токены проданы, NEAR получен. Если читать всю сеть целиком, те же NEAR прошли круг и вернулись, за вычетом около $540 в комиссиях за создание токенов и сетевых издержек. Единственные деньги, поступившие извне сети, — небольшие покупки FUK в первый день.

Показатель прибыли кошелька сравнивает то, что он получил, с тем, что он заплатил. Он не может показать, что покупатели на другой стороне финансировались из того же украденного кошелька. А если продавец получил токены переводом, а не покупкой в пуле, вычитаемой цены покупки может не быть вовсе.

Почему отмыватели используют приём, который могут отследить следователи

Каждый шаг находится в публичном блокчейне, и Elliptic прошёл по нему. По словам компании, цель — задержка, а не сокрытие. Каждый дополнительный переход требует от следователей времени на распутывание, а отмывание — это гонка за перемещение средств до того, как они будут помечены. При цене около $90 за токен отмыватели могут позволить себе создавать их множество и выбрасывать каждый.

Этот сценарий не нов. Elliptic впервые наблюдала самодельные токены при отмывании кражи у Bybit в 2025 году, когда не менее $24 млн прошли через ничего не стоящий TRON-токен. В деле Binance она выявила похожий TRON-токен 2 ноября. Днём позже она увидела, как украденные SOL были проведены через малоликвидные существующие токены на Solana, прежде чем быть проданными за USDC и выведенными через мост. TRM Labs описала ту же TRON-схему в собственном отслеживании.

Суммы в NEAR малы по сравнению с тем, что осталось. Около 11,8 млн NEAR на сумму примерно $43,7 млн не двигались на момент отчёта Elliptic, и компания утверждает, что этот метод достаточно дёшев, чтобы переносить куда более крупные суммы. Для следящих за делом конкретные ориентиры дальше — обновления публичного блок-листа Elliptic по мере подтверждения новых адресов отмывания и любое первое движение этого нетронутого остатка. Elliptic также подчёркивает, что инструмент запуска, биржа и приложение для кошельков не сделали ничего плохого; отмыватели использовали их так, как мог бы любой другой пользователь.

Пять проверок, прежде чем доверять серии побед кошелька

Трекеры кошельков и ленты копитрейдинга регулярно показывают счета с крупными реализованными прибылями. Предупреждающие признаки Elliptic для комплаенс-команд применимы напрямую, и для их проверки достаточно обозревателя блокчейна:

1. Возраст токена. Проверьте, когда был создан контракт токена. Крупные продажи в течение нескольких дней после запуска заслуживают более пристального внимания.
2. Число трейдеров. Откройте историю торгов пула. Несколько кошельков, обеспечивающих почти весь объём, означают мало реальных контрагентов.
3. Односторонние кошельки. Ищите кошельки, которые только покупают, рядом с кошельками, которые только продают. Такое разделение — один из тревожных сигналов Elliptic.
4. Свежее финансирование. Отследите первый депозит основных покупателей. Новые кошельки, профинансированные непосредственно перед началом торгов, часто круглыми суммами, — тревожный знак.
5. Выведенная ликвидность. Проверьте, вывел ли создатель то, что осталось в пуле, вскоре после прекращения торгов.

Один такой признак описывает значительную часть рынка мем-коинов. Несколько признаков у одного кошелька означают, что его показатель прибыли требует изучения стороны покупателей, прежде чем кто-либо скопирует его сделки.

Для бирж совет Elliptic таков: средства, поступающие из пула ликвидности, не должны по умолчанию считаться чистыми. Её публичный блок-лист кошельков, связанных со взломом Binance, растёт по мере выявления новых адресов, поэтому депозит, прошедший проверку при поступлении, может быть помечен позже. Elliptic рекомендует компаниям повторно проверять уже принятые депозиты при каждом обновлении списка.