Хакеры, связанные с Северной Кореей, используют недавно созданные мем-токены и пулы ликвидности децентрализованных бирж (DEX) для перемещения криптовалюты, похищенной в результате взлома Binance на сумму около 6,4 млрд долларов, сообщает блокчейн-аналитическая компания Elliptic.

С 5 по 7 ноября операция провела примерно 117 000 NEAR на сумму около 430 000 долларов через не менее шести токенов, созданных специально для этой цели. Мем-токены, которые обычно существуют для торговли и интересов сообщества, а не ради какой-либо реальной функциональности, могут выпускаться с минимальными затратами, что делает их удобным одноразовым инструментом для подобной маршрутизации. Этот метод добавляет уровни сложности в отслеживание транзакций, не удаляя блокчейн-историю средств.

Шесть мем-токенов NEAR, задействованных в схеме отмывания

В расследовании от 9 ноября Elliptic выявила шесть мем-токенов, созданных с 5 по 7 ноября: FUK, OLCCL, MEILI, MMLI, DABI и SINU. Каждый токен был объединён в пару с NEAR в отдельном пуле ликвидности — резерве из двух токенов в смарт-контракте на децентрализованной бирже, позволяющем совершать автоматические обмены без классического стакана заявок — что позволило злоумышленникам обменять похищенный NEAR на только что выпущенные токены, а затем конвертировать эти токены обратно в NEAR через другие кошельки. По оценке Elliptic, создание каждого токена стоило примерно 25 NEAR, или около 90 долларов.

Аналитическая компания отследила около 117 000 NEAR на сумму примерно 430 000 долларов через шесть пулов токенов. Выяснилось, что кошельки, связанные с операцией, контролировали почти всю активность по покупке и продаже, и реальные внешние доказательства спроса практически отсутствовали. Токены использовались вскоре после создания, а затем были оставлены; создатели четырёх из них вывели оставшуюся ликвидность из пулов 8 ноября. В расследовании Elliptic подробно описаны данные, полученные из блокчейна.

Пулы ликвидности усложняют отслеживание похищенной криптовалюты

Метод заключается в размещении нового токена между кошельками, получающими похищенные средства, и кошельками, собирающими активы после обменов. Одна группа кошельков обменивает похищенный NEAR на новый токен, а другая группа продаёт этот токен через пул, получая NEAR. В результате средства никогда не перемещаются напрямую между покупающими и собирающими кошельками, что затрудняет интерпретацию цепочки транзакций.

Однако этот метод не стирает запись в блокчейне и не делает средства неотслеживаемыми. Elliptic сообщила, что транзакции остаются видимыми, но каждый дополнительный обмен и кошелёк увеличивает объём работы для следователей и комплаенс-команд. Компания также предупредила, что криптовалютным компаниям не следует автоматически считать средства, полученные из пулов ликвидности, легитимными, особенно когда речь идёт о недавно созданных токенах и необычной торговой активности.

Расследование кражи из Binance выявило более масштабную операцию по отмыванию

Активность в NEAR — часть гораздо более масштабной операции по перемещению активов, похищенных в результате инцидента в Binance 29 октября. Elliptic оценила ущерб примерно в 6,43 млрд долларов и сообщила, что операция по отмыванию затронула более 20 000 кошельков в 16 блокчейнах, а также как минимум 36 сервисов и 65 000 транзакций. По данным расследования Elliptic, ФБР связало атаку с северокорейской группировкой TraderTraitor. TraderTraitor — это обозначение, которое власти США используют для связанных с Северной Кореей кибер-группировок, стоящих за кражами криптовалюты в индустрии.

По состоянию на обновление от 7 ноября Elliptic сообщила, что около 2,85 млрд долларов были заморожены или изъяты, а примерно 3,13 млрд долларов оставались на адресах, связанных с кражей. Компания также выявила более раннюю активность по отмыванию с использованием Tron и Solana, что показывает, что злоумышленники применяли несколько блокчейнов и методов проведения транзакций. Расследование взлома Binance от Elliptic отслеживает перемещение похищенных активов.

Прецедент Bybit вызывает обеспокоенность у криптовалютных комплаенс-команд

Elliptic сообщила, что ранее наблюдала схожую технику при отмывании средств, похищенных в результате взлома Bybit в 2025 году. В том случае злоумышленники создали «мусорный» токен на Tron и использовали пул ликвидности со стейблкоином для перемещения не менее 24 млн долларов. Повторение инцидента указывает на то, что создание временных токенов и перевод средств через пулы DEX стали ещё одним методом в арсенале отмывания, приписываемом связанным с Северной Кореей злоумышленникам.

Полученные выводы вызывают обеспокоенность у бирж, платформ децентрализованных финансов и комплаенс-провайдеров, отслеживающих подозрительные криптовалютные депозиты. Проверки только кошелька-отправителя может быть недостаточно, когда активы поступают через пул ликвидности, поскольку предшествующие обмены могут скрыть связь с нелегальной активностью от поверхностной проверки.

По данным Elliptic, операция в NEAR затронула около 430 000 долларов, при этом около 11,8 млн NEAR на сумму около 43,7 млн долларов на момент отчёта оставались нетронутыми. Дальнейшее перемещение этих средств может предоставить следователям дополнительные доказательства операции.