Лондреисты из КНДР нашли новое применение любимым шутливым токенам интернета: отмыванию части рекордных 6,4 млрд долларов, украденных у Binance.

Вместо того чтобы переводить средства напрямую от вора получателю, группы выпускают собственные мемкоины и обменивают украденные активы через пулы ликвидности децентрализованных бирж, сообщается в отчёте блокчейн-аналитической компании Elliptic. Этот приём разрывает прямую ончейн-связь между кошельком вора и кошельком, собирающим доход. Это также показывает, как отмывание денег адаптируется к самой структуре децентрализованных финансов, где по задумке выпустить токен и создать торговый пул может кто угодно.

Как работает схема

Лондреисты выпускают совершенно новый токен и добавляют его в пул ликвидности в паре с реальным активом, например NEAR или стейблкоином. Они вносят украденные средства в пул через один набор кошельков для покупки токена, а затем продают его через отдельный набор кошельков, выводя активы, выглядящие чистыми.

Поскольку посередине находится пул, украденные средства не переходят напрямую с покупающего кошелька на собирающий, и кошельки-получатели выглядят как обычные трейдеры, фиксирующие прибыль на мемкоине. Такой маскировке легче сработать на рынках мемкоинов, где резкие всплески торговли вокруг свежевыпущенных токенов — обычное явление, а не тревожный сигнал.

По данным Elliptic, в исследовании, приписываемом сооснователю Тому Робинсону, лондреисты применили эту тактику на Tron и Near, а на Solana был замечен близкий её вариант.

Шесть одноразовых токенов на Near

Самый показательный пример появился на Near. С 5 по 7 ноября лондреисты выпустили как минимум шесть собственных токенов, каждый из которых был обеспечен NEAR в отдельном пуле. Монеты несли привычную атрибутику мемкоинов: мультяшные логотипы обезьяны с бантом, утки в флаге, шимпанзе и лисы. На одной даже был изображён Элон Маск с надписью «Elon 2028 President», хотя сам он к токенам отношения не имеет. Названия варьировались от грубых (FUK) до обыгрывающих догкоины (SINU).

Создание каждого токена стоило около 25 NEAR — примерно 90 долларов — мера того, как мало препятствий создают пермиссионные блокчейны на пути выпуска фирменного токена. Все шесть прошли одинаковый путь: запуск, активная торговля в течение нескольких часов на украденном NEAR, затем заброшенность — остаток ликвидности вывели из пулов 8 ноября.

Всего через шесть токенов прошло около 117 000 NEAR, или примерно 430 000 долларов, прежде чем большая часть средств ушла в стейблкоины или через межсетевой мост.

Отслеживаемо, но медленнее

Пока суммы скромны — напоминание о том, что основная часть добычи всё ещё лежит на блокчейне. Elliptic ранее установила, что более 3 млрд долларов украденной криптовалюты ещё не отмыто, и что лондреисты создавали новый кошелёк примерно каждые 25 секунд, перемещая средства с машинной скоростью.

Ключевой момент: трюк с мемкоинами на самом деле не прячет деньги. Elliptic подчеркнула, что след остаётся полностью отслеживаемым на блокчейне; манёвр лишь замедляет расследователей, выигрывая время в, по сути, гонке за перемещение средств до того, как их пометят. Это один из многих дешёвых одноразовых слоёв, которые лондреисты из КНДР выстраивают друг на друге.

Elliptic впервые заметила эту тактику в прошлом году при отслеживании кражи 1,5 млрд долларов у Bybit, которая также была приписана группе TraderTraitor, стоящей за взломом Binance.

Для комплаенс-команд компания предупредила, что средства, поступающие из пула ликвидности, не следует считать чистыми, особенно если задействованы недавно выпущенные токены и небольшое число торговых кошельков. Поскольку основная часть рекордной добычи ещё предстоит к перемещению, это предупреждение фактически даёт биржам и командам мониторинга конкретный паттерн для наблюдения: депозиты, которые ведут к недавно созданным токенам и узкому кластеру торговых кошельков.