Северокорейские отмыватели выпускают собственные ничего не стоящие мемкоины и проводят через них украденные средства Binance, гарантируя, что активы никогда не перемещаются напрямую с одного кошелька на другой, сообщила в понедельник блокчейн-аналитическая компания Elliptic.

С 5 по 7 ноября операторы создали как минимум шесть новых токенов в блокчейне NEAR — FUK, OLCCL, MEILI, MMLI, DABI и SINU — pairing каждый с NEAR в собственном пуле ликвидности, купили токены на украденные NEAR с одного набора кошельков и продали их обратно через второй набор. Около 117 000 NEAR, или примерно 430 000 долларов, прошли через эти шесть токенов, сообщила Elliptic.

Эта схема — лишь одна из нитей в куда более масштабном отмывании кражи у Binance от 29 октября, которую биржа оценила в 6,34 млрд долларов и которую ФБР связало с северокорейской группировкой TraderTraitor. На фоне этой общей суммы примерно 430 000 долларов, прошедшие через шесть токенов, — это капля, но она иллюстрирует характерный стиль всей операции: стоимость перемещается множеством мелких одноразовых «прыжков», а не единичными крупными переводами. Расширенное обновление Elliptic теперь указывает примерно на 3 000 BTC — около 225 млн долларов — на новых биткоин-адресах, конвертированных из других украденных активов, при этом около 11,8 млн NEAR (43,7 млн долларов) из украденного до сих пор не перемещалось.

«Большинство людей считают мем-токены шуточными монетами, цена которых растёт и падает на хайпе, — написал сооснователь и главный научный сотрудник Elliptic доктор Том Робинсон. — Северокорейские отмыватели нашли для них иное применение».

Как работает трюк с самодельными токенами

Техника представляет собой четырёхэтапный «прыжок». Отмыватели создают токен с помощью публичного инструмента запуска, открывают пул ликвидности, pairing его с реальным активом, например NEAR или стейблкоином, покупают токен на украденные средства с одного набора кошельков, а затем продают его обратно в тот же пул со второго набора кошельков, которые получают реальный актив.

Ни в какой момент украденные средства не передаются напрямую с покупающего кошелька на собирающий, поскольку между ними находится пул. Для случайного наблюдателя собирающие кошельки выглядят как обычные трейдеры, продавшие токен с прибылью. На практике каждый токен работает как односторонний тоннель: он создаётся для одного цикла отмывания и затем бросается, а не поддерживается как функционирующий рынок.

Создание каждого из шести токенов NEAR стоило около 25 NEAR — примерно 90 долларов. Все они активно торговались в течение нескольких часов на украденных NEAR, а затем были брошены. Ни один не торговался с 8 ноября, и в тот же день днём создатели четырёх из них вывели оставшуюся ликвидность. Токены также образуют цепочку: пять из шести создателей финансировались с кошелька, который непосредственно перед этим продал предыдущий токен, за два–13 минут до следующего запуска.

Elliptic впервые сообщила о таком же подходе при отмывании кражи у Bybit в феврале 2025 года, которую также связывают с TraderTraitor: тогда ничего не стоящий токен в сети Tron помог переместить как минимум 24 млн долларов. В случае с Binance компания также наблюдала эту технику в Tron, а также её близкий вариант в Solana, где использовались существующие малоликвидные токены, а не самодельные.

Тактика замедления, а не исчезновения

Мемкоины не скрывают средства — каждый шаг публичен в блокчейне. Они покупают время. Каждый дополнительный «прыжок» замедляет следователей, пока отмыватели спешат переместить деньги до того, как их пометят, а при цене около 90 долларов за токен их достаточно дёшево выбросить.

Эта тактика вписывается в более общую картину, которую Elliptic отслеживает с момента кражи: более 20 000 кошельков в 16 блокчейнах, как минимум 36 сервисов и не менее 65 000 транзакций. Binance сообщила, что атака началась с поддельного собеседования при найме и продолжалась пять месяцев до того, как монеты сдвинулись с места, а блокчейн-компании связали взлом с TraderTraitor в течение суток.

Конвертация в биткоин — более значимая история в долларовом выражении. Весь украденный SOL уже был обменян, переведён через мосты или смешан, и значительная часть маршрута XRP также ушла в биткоин. Около 2,85 млрд долларов из первоначальной добычи заморожено, и, по словам Elliptic, обналичена, вероятно, ничтожная сумма.

Машина криптокраж Северной Кореи — не новость. По оценке Elliptic, добыча режима в 2025 году превысила 2 млрд долларов за счёт эксплойта Bybit на 1,46 млрд долларов, а совокупный известный итог превысил 6 млрд долларов ещё до инцидента с Binance.

Binance поэтапно возобновила вывод средств и сообщила, что покрыла потери клиентов из собственных средств. Для следователей главный вопрос теперь — продолжат ли самодельные пулы ликвидности множиться быстрее, чем их догоняют блок-листы, и как в итоге будет отработан ещё не перемещённый NEAR.

Эта статья была впервые опубликована в Bitcoin Magazine, автор — Micah Zimmerman.