据区块链分析公司Elliptic称，与朝鲜有关的攻击者正利用新创建的迷因代币和去中心化交易所（DEX）流动性池，转移在价值约64亿美元的币安黑客事件中被盗的加密货币。

11月5日至7日期间，该行动通过至少六个专门为此次活动创建的代币，转移了约117,000枚NEAR，价值约43万美元。迷因代币通常仅用于交易和社区兴趣而非任何实际用途，发行成本极低，使其成为这类资金转移的便捷一次性工具。该技术为交易追踪增加了复杂性，但并未抹除资金在链上的历史记录。

六个NEAR迷因代币被映射到洗钱流程中

在11月9日的一项调查中，Elliptic识别出11月5日至7日期间创建的六个迷因代币：FUK、OLCCL、MEILI、MMLI、DABI和SINU。每个代币均在独立的流动性池中与NEAR配对——流动性池是去中心化交易所上由两种代币组成的智能合约储备，可在没有传统订单簿的情况下实现自动兑换——攻击者借此将被盗的NEAR兑换为新发行的代币，随后再通过其他钱包将这些代币换回NEAR。据Elliptic估计，创建每个代币的成本约为25枚NEAR，即约90美元。

这家分析公司追踪到约117,000枚NEAR（价值约43万美元）流经这六个代币池。调查发现，与该行动相关的钱包控制了几乎所有的买卖活动，几乎没有真实外部需求的迹象。这些代币在创建后不久即被使用，随后遭到弃用，其中四个代币的创建者于11月8日撤回了池中剩余的流动性。Elliptic的调查详细说明了这些链上发现。

流动性池加大被盗加密货币的追踪难度

该技术的原理是在接收被盗资金的钱包与完成兑换后收集资产的钱包之间，放置一个新创建的代币。一组钱包将被盗的NEAR兑换为新代币，另一组钱包则通过流动性池出售该代币以换取NEAR。这样一来，资金从未在买入钱包与收集钱包之间直接转移，使交易轨迹更加难以解读。

然而，该方法并不会抹除区块链记录，也不会使资金无法追踪。Elliptic表示，交易仍然可见，但每一次额外的兑换和钱包操作都会为调查人员和合规团队增加更多工作量。该公司还警告称，加密货币企业不应自动将通过流动性池收到的资金视为合法，尤其是涉及新创建的代币和异常交易模式时。

币安盗窃案调查揭示更大规模的洗钱行动

NEAR上的活动是转移10月29日币安事件被盗资产的更大规模行动的一部分。据Elliptic估计，此次被盗金额约为64.3亿美元，洗钱行动已涉及16条区块链上的超过20,000个钱包，以及至少36个服务和65,000笔交易。据Elliptic的调查，美国联邦调查局（FBI）将此次攻击归因于朝鲜的TraderTraitor组织。TraderTraitor是美国当局用于指称针对加密货币行业实施盗窃、与朝鲜有关的网络攻击者的名称。

截至其11月7日的更新，Elliptic报告称约28.5亿美元已被冻结或查封，而约31.3亿美元仍留在与盗窃案相关的地址中。该公司还发现了此前涉及Tron和Solana的洗钱活动，表明攻击者使用了多条区块链和多种交易方法。Elliptic的币安黑客事件调查追踪了被盗资产的流向。

Bybit先例引发加密合规团队的担忧

Elliptic表示，此前在2025年Bybit被盗资金洗钱过程中曾观察到类似技术。在该案例中，攻击者在Tron上创建了一个无人需要的代币，并利用稳定币流动性池转移了至少2,400万美元。这一重复出现的手段表明，创建临时代币并通过DEX流动性池转移资金，已成为与朝鲜有关的攻击者洗钱手册中的又一种方法。

这些发现令监控可疑加密货币入金的交易所、去中心化金融平台和合规服务商感到担忧。当资产通过流动性池到达时，仅筛查发送资金的钱包可能并不足够，因为前置的兑换操作可以通过基础审查掩盖与非法活动的关联。

Elliptic表示，NEAR上的行动涉及约43万美元，而截至其报告发布时，约1,180万枚NEAR（价值约4,370万美元）仍未移动。这些资金的进一步流动可能为调查人员提供有关该行动的更多证据。