Северокорейские хакеры создали собственные мемкоины для отмывания средств, похищенных в результате взлома Binance на $6,3 млрд, используя имитацию торговой активности, чтобы незаконная выручка выглядела как легальная торговая прибыль.

Согласно анализу блокчейн-аналитической компании Elliptic, хакеры переместили примерно 117 тысяч токенов $NEAR — на сумму около $430 тысяч — через шесть мемкоинов, созданных с 5 по 7 ноября.

На одном из токенов было изображение Илона Маска под баннером "Elon 2028 President", однако Elliptic заявила, что нет никаких данных о связи Маска с этими токенами. Их названия следовали привычным мемкоин-конвенциям, включая грубую шутку и суффикс "inu", обычно используемый в мемкоинах с собачьей тематикой — детали, помогавшие токенам выглядеть как обычные запуски мемкоинов.

Схема работала следующим образом: каждый мемкоин pairing добавлялся в паре с $NEAR в собственный пул ликвидности на децентрализованной бирже. Затем хакеры использовали один набор кошельков для покупки мемкоинов на украденные $NEAR, а другой набор — для продажи тех же мемкоинов обратно за $NEAR. В результате средства никогда не переходили напрямую с одного кошелька на другой, и деньги выглядели как результат прибыльной торговли, а не взлома. Это различие важно для следователей, чьи методы отслеживания обычно следуют за прямыми переводами между адресами — путь, которого этот метод намеренно избегает.

"Отмыватели создали шесть таких криптотокенов и торговали ими только между собой. Это делает украденные средства похожими на торговую выручку", — рассказал сооснователь и главный научный сотрудник Elliptic Том Робинсон в интервью CoinDesk.

Elliptic установила, что почти вся торговля велась с кошельков, связанных с операцией по отмыванию, при этом на сторонних покупателей пришлось менее 1% объёма торгов одного из токенов. Торговля по всем шести токенам прекратилась к 8 ноября.

ФБР возложило ответственность за кражу в Binance 29 октября на северокорейскую группировку TraderTraitor. Хакеры также использовали THORChain для конвертации похищенных активов в биткоин, который не может быть заморожен централизованным эмитентом, что делает пулы мемкоинов одним из этапов более длинной цепочки отмывания. Около $430 тысяч, проведённых через шесть токенов, — лишь малая часть украденных $6,3 млрд.

Elliptic выявила похожий метод отмывания на основе мемкоинов после взлома Bybit в 2025 году и заявила, что новые сделки усложняют отслеживание украденных средств, но не стирают их след. Теперь, когда метод задокументирован в двух крупных ограблениях бирж, а след сохраняется, сам паттерн отмывания — самостоятельно созданные токены, торговля с самими собой и сгруппированные кошельки — даёт следователям дополнительные ориентиры в попытках отследить, куда движутся украденные средства.