区块链分析公司Elliptic周一报告称，朝鲜洗钱者正在铸造自己的毫无价值迷因币，并将币安被盗资金通过这些代币转移，确保资产从不在钱包之间直接流动。

11月5日至7日期间，操作者在NEAR区块链上创建了至少六种新代币——FUK、OLCCL、MEILI、MMLI、DABI和SINU——每种代币都在专用流动性池中与NEAR配对，从一组钱包用被盗的NEAR买入这些代币，再通过第二组钱包卖出。Elliptic写道，约117,000枚NEAR（约合43万美元）通过这六种代币流转。

这一手法是10月29日币安被盗案更大规模洗钱行动中的一个环节，该交易所估计损失为63.4亿美元，FBI已将此次攻击归因于朝鲜的TraderTraitor组织。与这一总额相比，通过这六种代币流转的约43万美元只是九牛一毛——但它体现了整个行动的典型风格：以大量小额、一次性的跳跃推进价值，而非单笔大额转账。Elliptic的更全面更新显示，目前约有3,000枚BTC（约2.25亿美元）已由其他被盗资产转换并存入新的比特币地址，而被盗资产中约1,180万枚NEAR（4,370万美元）仍未移动。

Elliptic联合创始人兼首席科学家Tom Robinson博士写道："大多数人认为迷因代币是价格随炒作涨跌的玩笑币，但朝鲜的洗钱者为它们找到了另一种用途。"

自制代币手法的运作方式

这一技术是一个四步跳跃。洗钱者使用公开的发币工具创建代币，开设一个将其与NEAR或稳定币等真实资产配对的流动性池，用一组钱包中的被盗资金买入该代币，然后从收集真实资产的第二组钱包将其卖回同一个池。

被盗资金从不会直接从买入钱包转移到收集钱包，因为流动性池位于两者之间。在粗略观察者眼中，收集钱包就像在代币上获利卖出的普通交易者。实际上，每种代币都充当一条单向通道：为单次洗钱而创建，随后即被弃用，而非作为正常运作的市场加以维护。

六种NEAR代币的创建成本各约为25枚NEAR——约合90美元。所有代币都在数小时内使用被盗NEAR进行了大量交易，随后被弃用。自11月8日以来没有任何一种再进行交易，当天下午其中四种代币的创建者撤走了剩余的流动性。这些代币还形成了一条链条：六个创建者中有五个由一个刚刚卖出先前代币的钱包提供资金，时间在下次发行前两至十三分钟之间。

Elliptic首次报告这一手法是在2025年2月Bybit被盗案的洗钱过程中，该案同样被归因于TraderTraitor组织，当时一种毫无价值的Tron代币帮助转移了至少2,400万美元。在币安案件中，该公司还在Tron上观察到同样的技术，并在Solana上观察到一种相近的变体，后者使用的是现有的交易量稀少的代币而非自制代币。

是拖延战术，而非隐身术

这些迷因币并不能隐藏资金——每一步都在链上公开可见。它们换来的是时间。每一次额外的跳跃都会拖慢调查人员的进度，而洗钱者则在资金被标记之前争分夺秒地转移资金，且每种代币约90美元的成本低到可以随意丢弃。

这一战术符合Elliptic自案发以来追踪到的更大模式：16条区块链上的超过20,000个钱包、至少36个服务和至少65,000笔交易。币安表示，攻击始于一次虚假的求职面试，并在任何代币移动之前运行了五个月；区块链公司在一天之内就将此次入侵与TraderTraitor联系起来。

转换为比特币是金额更大的部分。所有被盗的SOL已被兑换、跨链或混币，大部分XRP路径也已流入比特币。Elliptic表示，原始赃款中约28.5亿美元已被冻结，而到目前为止实际兑现的金额可能微乎其微。

朝鲜的加密货币盗窃机器并不新鲜。Elliptic估计该政权2025年的窃取金额超过20亿美元，主要由14.6亿美元的Bybit攻击事件推动，其已知累计总额在币安事件之前就已超过60亿美元。

币安已分阶段重新开放提现，并表示已用自有资金弥补了客户损失。对调查人员而言，现在的考验是自制流动性池的繁衍速度是否会持续快于封禁名单的追赶速度——以及尚未移动的NEAR最终将如何被消化。

本文最初发表于 Bitcoin Magazine，作者为 Micah Zimmerman。