Отмывальщики, связанные с КНДР, потратили примерно по $90 на каждый, чтобы создать шесть мемкоинов в блокчейне NEAR, и использовали их для перемещения средств, украденных 29 октября в результате взлома криптобиржи Binance, по данным аналитической компании Elliptic. Операция опиралась на самостоятельно запущенные токены и пулы ликвидности, чтобы разорвать ончейн-связь между украденными депозитами и кошельками, их получившими.

По данным Elliptic, около 117 000 NEAR стоимостью примерно $430 000 прошли через токены с 5 по 7 ноября. Компания подробно описала операцию по отмыванию в отчёте, опубликованном в понедельник.

Схема повторяет тактику, которую связанные с КНДР группировки неоднократно применяли после крупных взломов бирж, прогоняя средства через собственные токены, децентрализованные биржи и несколько блокчейнов, чтобы скрыть их происхождение.

Шесть токенов — FUK, OLCCL, MEILI, MMLI, DABI и SINU — обошлись примерно в 25 NEAR каждый при запуске с помощью публичного инструмента создания токенов в сети первого уровня. Они несли мультяшную мемкоин-графику: на одном изображена обезьяна с розовым бантом, на другом — утка на фоне американского флага, а на третьем — Илон Маск под баннером «Elon 2028 President». Elliptic отметила, что нет никаких данных о связи Маска с этими токенами.

Как пулы скрывали след

Отмывальщики paired каждый новый токен с NEAR в собственном пуле ликвидности — хранилище из двух активов на децентрализованной бирже, против которого может торговать любой желающий. Одна группа кошельков использовала украденные NEAR для покупки нового токена из пула, а вторая группа затем продавала токен обратно и выводила NEAR. Поскольку посередине находился пул, ни один перевод напрямую не связывал две группы кошельков. Маршрут опирается на структурную особенность децентрализованных финансов: в отличие от регулируемых централизованных площадок, децентрализованные биржи не требуют проверки личности (KYC) или создания учётных записей, поэтому кошельки могут прогонять ценность через пул, не раскрывая себя.

«Они существуют только для того, чтобы поставить пул между украденными средствами и следующим кошельком», — написала Elliptic в посте в X.

North Korea’s launderers are creating their own meme coins to move funds stolen from Binance. Between November 5 and 7, they launched at least six tokens on NEAR, dressed up with meme-coin logos such as a monkey in a pink bow and a duck in front of a US flag. Stolen NEAR went… — Elliptic (@elliptic) November 9, 2026

По данным Elliptic, торговые данные показали, что токены не имели иной цели, кроме отмывания. Связанные с операцией кошельки разместили все ордера на продажу по всем шести токенам и все ордера на покупку — по пяти из них. Единственным исключением стало небольшое количество покупок FUK в день запуска, составившее ничтожную долю торгов этого токена.

Токены также были связаны в цепочку. В пяти случаях кошелёк, финансировавший создателя нового токена, продавал предыдущий токен всего за 2–13 минут до следующего запуска.

Метод, впервые замеченный при взломе Bybit

Elliptic сообщила, что впервые обнаружила эту технику после того, как Bybit потерял $1,5 млрд в результате взлома в 2025 году — крупнейшей кражи криптовалюты в истории, — когда отмывальщики использовали ничего не стоящий токен Tron для перемещения не менее $24 млн. В случае с Binance похожий токен Tron появился 2 ноября, а через день украденные SOL прошли через существующие токены Solana с низкой торговой активностью.

Маршрут через NEAR охватывает менее 0,01% из примерно $6,3 млрд, похищенных у Binance. ФБР возложило ответственность за кражу на связанную с КНДР хакерскую группировку TraderTraitor, которую американские ведомства связывают с группой Lazarus. Представители США и эксперты ООН неоднократно называли масштабные кражи криптовалюты источником дохода для программ вооружений этой страны, находящейся под санкциями.

По данным Elliptic, около 3 000 биткоинов стоимостью примерно $225 млн попали на новые биткоин-адреса после конвертации из других украденных активов. Около 11,8 млн NEAR стоимостью $43,7 млн пока не сдвинулись с места.

«Эта техника замедляет расследование, а не скрывает средства», — написал сооснователь Elliptic Том Робинсон. Он добавил, что отмывальщики из КНДР «наслаивают множество дешёвых приёмов, каждый из которых добавляет немного задержки».

За несколько дней до появления токенов Джонти, основатель Pangolin Intelligence, заявил в подкасте Unchained, что подобные сети перемещают средства между кошельками, «по сути, чтобы ускользнуть от взгляда программ мониторинга транзакций».

Elliptic призвала комплаенс-команды не считать средства, выходящие из пула ликвидности, чистыми по умолчанию. Тревожные признаки включают токены, которым всего несколько дней, пулы с малым числом трейдеров и кошельки, которые только покупают или только продают. Компания рекомендовала применять дополнительную проверку к депозитам, отслеженным до пулов с такими характеристиками.

Ни один из шести токенов NEAR не торговался с 8 ноября. В тот же день во второй половине дня четверо создателей токенов вывели средства, всё ещё находившиеся в их пулах, по данным Elliptic. Это оставляет примерно $43,7 млн в «спящем» NEAR и недавно консолидированный биткоин как самые явные ориентиры для аналитиков, отслеживающих дальнейшие шаги — и, согласно задокументированному Elliptic мультичейн-паттерну, новая волна самостоятельно запущенных токенов на другой сети станет сигналом того, что кампания перешла в новую фазу.