区块链分析公司Elliptic发现了64.3亿美元Binance被盗事件背后的黑客所使用的一种罕见洗钱手法：攻击者没有在钱包之间直接转移被盗资产，而是铸造了自己的迷因币，并通过去中心化交易所（DEX）流动性池进行交易，随后彻底抛弃这些代币。

美国联邦调查局（FBI）将此次入侵归因于朝鲜的TraderTraitor组织，这是美国当局对针对加密货币行业的朝鲜国家级网络行为体的称呼。根据Elliptic的分析，新创建的代币充当了持有被盗加密货币的钱包与最终接收收益的地址之间的牺牲性缓冲层。该技术在链上仍可被发现，但它会拖慢调查人员的进度，并使合规筛查更加复杂。

六种迷因币转移了117,000枚被盗NEAR

据Elliptic称，该洗钱网络于11月5日至11月11日期间建立，在NEAR区块链上铸造了至少六种代币：FUK、OLCCL、MEILI、MMLI、DABI和SINU。该公司估计，约117,000枚NEAR（价值约43万美元）通过与这些代币相关的流动性池进行了处理。创建每个代币的成本约为90美元，相对于被转移的金额而言，这一中间层的搭建成本十分低廉。

这些代币几乎没有真实的市场交易。Elliptic认定，看似属于洗钱操作的钱包完成了全部六种代币的所有卖出以及几乎所有买入。大部分代币在数小时内被抛售清空，自11月8日（即Elliptic发布分析报告的次日）以来再无任何交易活动。

一次性代币路径的运作方式

该方案在被盗加密货币与最终收取收益的钱包之间插入了一个洗钱层。首先，攻击者创建一个新代币，并在DEX流动性池中将其与NEAR等成熟资产配对。然后，一个钱包中持有的被盗NEAR被用来购买刚铸造的代币。随后，另一个钱包将该代币卖回流动性池并取出NEAR。

这样一来，被盗资产从不会直接从第一个钱包转移到收取收益的地址。从表面上看，接收钱包似乎只是通过交易一种冷门迷因币获得了资金——而且由于DEX允许任何钱包在无需中介审查的情况下交易新发行代币，此类地址在规律本身被发现之前可以伪装成普通的迷因币交易者。

不过，区块链上的痕迹仍然可见。Elliptic表示，这一策略为调查人员制造了阻碍，而不是让被盗资金无法追踪。

Binance被盗事件的洗钱活动横跨多条链

NEAR上的活动只是围绕Binance被盗事件的更大规模洗钱行动的一个组成部分。Elliptic已通过超过20,000个钱包、16条区块链、至少36项服务和约65,000笔交易追踪了被盗资金。该公司报告称，其认为与被盗资金相关的地址中约有30亿美元。

类似的基于代币的手法也在其他区块链系统上被实施，例如Tron和Solana。Elliptic还将该技术与2025年的Bybit被盗事件联系起来，据称与朝鲜有关的窃贼在该事件中通过Tron网络上发行的一种虚假代币转移了超过2,400万美元。该手法在不同事件和链上反复出现，已成为一种可被识别的模式，筛查工具可以据此进行检测，而任何未来对约30亿美元已追踪资金的转移都将在链上保持可见。

对加密货币合规团队而言，一个新的危险信号已经出现：资金从一个刚刚上线、交易量极低的去中心化交易所流动性池进入系统。这一信号来自Elliptic用于追踪该操作的同一批公开链上数据——为切断钱包与钱包之间的直接联系而铸造的代币，如今同时也成为自动化监控可以筛查的标记。