Аналитическая компания Elliptic сообщила в понедельник, что северокорейские хакеры использовали одноразовые мемкоины для перевода средств, украденных у Binance, — метод, который, по ее словам, повышает риски комплаенс-проверки для компаний, получающих средства из децентрализованных пулов ликвидности.

В анализе от 9 ноября Elliptic отследила 117 000 NEAR (нативный токен блокчейна первого уровня NEAR) на сумму 430 000 долларов через шесть токенов. Создание каждого токена стоило примерно 25 NEAR, или 90 долларов. Компания заявила, что переводы оставались отслеживаемыми несмотря на дополнительные шаги транзакций.

Как одноразовые токены скрыли происхождение средств

По данным Elliptic, с 5 по 7 ноября кошельки по отмыванию средств запустили шесть токенов в сети NEAR. Каждый из них был объединен в пару с NEAR в отдельном пуле ликвидности децентрализованной биржи, где сделки расчетляются за счет объединенных резервов, а не между именованными контрагентами. Одна группа кошельков купила токены, используя украденные NEAR, а другая продала те же токены, чтобы вернуть средства, не оставив прямых переводов между двумя группами кошельков.

Elliptic сообщила, что такая схема могла сделать принимающие кошельки похожими на прибыльных трейдеров. Однако данные сети связали покупателей, продавцов и создателей токенов с теми же украденными средствами. По данным компании, пять создателей токенов получили финансирование от кошельков, продавших более ранние токены всего за две-тринадцать минут до этого. Внешние кошельки обеспечили менее 1% объема торгов по одному из токенов, а остальные пять вообще не имели внешних покупателей.

Все шесть токенов прекратили торговлю к 8 ноября, и четыре эмитента в тот же день во второй половине дня изъяли оставшуюся ликвидность. Elliptic выявила около 11,8 млн украденных NEAR, остававшихся неподвижными на момент зафиксированного в отчете снимка данных, что делает этот остаток самым явным маркером для всех, кто отслеживает дело, поскольку, как установила компания, метод сохранял отслеживаемость переводов в блокчейне.

Почему депозиты из пулов ликвидности требуют более тщательной проверки

Elliptic предупредила, что средства, поступающие из пулов ликвидности, не должны автоматически получать чистую классификацию. Поскольку объединенные рынки проводят каждый обмен через общие резервы, непосредственным источником депозита в блокчейне является сам пул, а не участник по другую сторону сделки. Компания назвала недавно созданные токены, концентрированную торговлю и кошельки с единственной целью потенциальными признаками предупреждения.

По словам компании, этот подход не скрыл все движения в блокчейне. Вместо этого он создал дополнительную работу по отслеживанию, в то время как украденные активы продолжали пересекать сети.

Elliptic задокументировала схожую тактику после взлома Bybit в 2025 году, одного из крупнейших криптовалютных краж в истории, сообщив, что через никчемный токен в сети Tron прошло не менее 24 млн долларов. В случае с Binance компания зафиксировала еще один самодельный токен Tron 2 ноября, а на следующий день злоумышленники провели украденные SOL через существующие токены с низкой ликвидностью.

Расследование взлома Binance продолжается

ФБР возложило ответственность за кражу 29 октября на северокорейскую операцию TraderTraitor — связанный с государством хакерский кластер, который американские ведомства связывали с более ранними кражами с криптобирж. Пхень отрицает свою причастность.

Как ранее сообщал Blockonomi, злоумышленники получили доступ к инфраструктуре кошельков Binance после взлома устройств сотрудников. Отдельный отчет Blockonomi освещал выводы ФБР и раннее движение украденной криптовалюты.

Binance сообщила 3 ноября, что инцидент затронул около 6,34 млрд долларов. По ее данным, около 2,85 млрд долларов были заморожены или перехвачены, а 98% затронутых активов восстановлены. Эти замены были профинансированы самой Binance, а не за счет возвращенных похищенных средств.