区块链分析公司Elliptic追踪到从币安窃取的资金如何在NEAR区块链上经由六个自建迷因币循环流转，这一手法使洗钱钱包看起来像盈利的交易者。这项11月9日的调查发布的发现，是该公司关于此次盗窃案的最新报告；10月29日约64亿美元流出币安钱包。两天后，FBI将此次攻击归因于朝鲜，使用的TraderTraitor代号同样适用于2025年Bybit盗窃案。TraderTraitor是美国机构对针对加密货币公司的朝鲜网络组织的称呼，美国政府通报中多次记录了这类活动。

Coindoo此前报道过TRM Labs追踪到的自铸TRON代币，其中流动性池是买卖双方之间的唯一联系。Elliptic的NEAR发现如今对一个流动性池的两侧、在另一条区块链上的六个代币给出了具体数字。

几乎没有外部交易者的六个代币

这六个代币各自与NEAR配对，在去中心化交易所的独立流动性池中创建，成本约为25枚NEAR，即大约90美元。在去中心化交易所上创建代币无需许可：用户与新池之间没有上市审批或身份核验，价格是唯一的实际门槛。以这个价格，一个代币可以使用一次便丢弃——六个代币正是如此。

一个由少数钱包主导的全新代币本身并不构成洗钱的证据。许多合法项目启动时也是如此，由创建者和一小群早期买家完成大部分交易。Elliptic的结论建立在三项只有结合起来才有意义的发现之上。

第一是谁在交易。洗钱网络中的钱包执行了六个代币的每一笔卖出，并买入了其中五个代币的每一单位。来自网络外部的买入仅限于FUK上线首日的少量小额购买，占该代币交易量不足1%。

第二是每个代币的资金来源。六个创建者中的五个由一个在新区块上线前2到13分钟还在卖出先前代币的钱包出资。一个代币的收益支付下一个代币的成本，因此六个代币构成一条链，而非六次独立的押注。

第三是每个代币的存续时间之短。每一个都在上线三小时内完成首次卖出，并至少在一天内完成四分之三的交易。自11月8日以来均无交易，当天下午其中四个代币的创建者撤走了池中剩余的流动性。

本文引用的数据均为Elliptic的数据。Coindoo未独立复现这六个池的交易记录。

为什么卖家看起来像赢家

这些代币的品牌形象毫无特别之处。Elliptic描述其标志为标准的迷因币风格——从戴粉色蝴蝶结的猴子、美国国旗前的鸭子，到Elon Musk图像上方写着"Elon 2028 President"的横幅，Elliptic并未将Musk本人与这些代币联系起来。名称也如出一辙：FUK是粗俗的玩笑，SINU借用了狗狗主题代币的"-INU"后缀。这些钱包使用的是一款流行钱包应用随机分配的名称，因此其标签同样没有关联意义。

每天都有数千个新代币出现，这正是掩护。按Elliptic的解读，交易新鲜迷因币的钱包会被当作投机者，除非有人核查其资金来源。

核查之后，表面的利润便消失了。买入钱包获得了约11.7万枚NEAR的资金，这些资金由持有被盗NEAR的主钱包经由中间账户层层转拨。随后几乎完全相同的金额离开了归集钱包，其中大部分被兑换为稳定币或发送至跨链桥——即在不同区块链之间转移资产的服务。按Elliptic发布时的价格计算，约合43万美元。

逐个查看归集钱包，记录像是一连串干净的退出：卖出代币，收到NEAR。而在网络层面看，同一批NEAR绕了一圈又回到原点，只减去了约540美元的代币创建费用和网络成本。唯一来自网络外部的资金是首日少量买入FUK的资金。

钱包的盈利数字比较的是其收到与支出的金额。它无法显示另一侧的买家是否由同一个被盗钱包出资。如果卖家通过转账获得代币而非在池中买入，甚至可能根本没有可扣除的买入成本。

为什么洗钱者使用一种调查者可以追踪的伎俩

每一步都发生在公开区块链上，Elliptic也据此进行了追踪。据该公司称，其目的在于拖延而非隐匿。每多一跳都会耗费调查人员拆解的时间，而洗钱就是一场在被标记前转移资金的竞赛。每个代币约90美元的成本，使洗钱者可以大量创建并随意丢弃。

这一手法并不新鲜。Elliptic首次发现自制代币是在2025年Bybit盗窃案的洗钱过程中，当时至少2400万美元经由一个毫无价值的TRON代币流转。在币安案中，该公司于11月2日识别出一个类似的TRON代币。一天后，其发现被盗的SOL经由Solana上交易稀少的现有代币流转，随后兑换为USDC并跨链转出。TRM Labs在其追踪中也描述了同样的TRON模式。

与剩余赃款相比，NEAR的金额并不算大。截至Elliptic的报告，约1180万枚NEAR（价值约4370万美元）仍未移动，该公司认为这一技术成本低廉，足以转移更大金额。对关注此案的人而言，此后的具体观察点是：随着新洗钱地址被确认，Elliptic公开黑名单的更新，以及那笔未动余额的任何首次移动。Elliptic还强调，代币发行工具、交易所和钱包应用本身没有过错；洗钱者只是像任何其他用户一样使用了它们。

在信任一个钱包的连胜纪录前的五项检查

钱包追踪器和跟单信息流经常展示已实现巨额收益的账户。Elliptic为合规团队提出的警示信号可以直接沿用，而且只需一个区块浏览器即可完成：

1. 代币年龄。 查看代币合约的创建时间。上线数天内的大额卖出值得进一步关注。
2. 交易者数量。 打开池的交易历史。少数钱包完成几乎全部交易量意味着真实对手方很少。
3. 单向钱包。 留意只买入的钱包与只卖出的钱包并存的情形。这种分离是Elliptic的危险信号之一。
4. 新近注资。 追踪主要买家的第一笔入金。在交易开始前才获得注资、且往往是整数金额的新钱包是一个警示信号。
5. 流动性撤走。 查看创建者是否在交易停止后不久撤走了池中剩余的流动性。

单一信号在迷因币市场中很常见。同一钱包上出现多个信号，则意味着在任何人复制其交易之前，必须先核查账本的买方一侧。

对于交易所，Elliptic的建议是，来自流动性池的资金不应默认视为干净资金。其与币安被盗案相关钱包的公开黑名单随新地址的确认而不断扩充，因此在到账时通过筛查的存款之后仍可能被标记。Elliptic要求企业在名单每次更新时重新核查其已接收的存款。