据区块链分析公司Elliptic称，与朝鲜相关的洗钱者以每个约90美元的成本在NEAR区块链上发行了六种Meme币，并用它们转移加密货币交易所币安10月29日被盗的资金。此次操作依靠自行发行的代币和流动性池，切断了被盗资金链上与接收钱包之间的关联。

Elliptic表示，11月5日至11月7日期间，约117,000枚NEAR(价值约43万美元)通过这些代币流转。该公司在周一发布的报告中详细披露了这一洗钱操作。

该方案与朝鲜关联组织在大型交易所遭攻击后反复采用的策略如出一辙：通过自行创建的代币、去中心化交易所和多条链转移资金，以掩盖资金来源。

这六种代币——FUK、OLCCL、MEILI、MMLI、DABI和SINU——通过该layer-one网络上的一个公开代币创建工具发行，每种成本约25枚NEAR。它们带有卡通风格的Meme币图案：一枚显示戴粉色蝴蝶结的猴子，另一枚显示站在美国国旗前的鸭子，第三枚则显示埃隆·马斯克站在“Elon 2028 President”横幅之下。Elliptic指出，没有任何迹象表明马斯克与这些代币有任何关联。

流动性池如何掩盖踪迹

洗钱者为每种新代币配备NEAR,建立了各自的流动性池——流动性池是去中心化交易所上一份由两种资产组成的资金池，任何人都可以与之交易。一组钱包用被盗的NEAR从池中买入新代币，另一组钱包随后将代币卖回并取出NEAR。由于流动性池位于中间环节，没有任何一笔转账直接将两组钱包联系起来。该路线利用了去中心化金融的结构性特点：与受监管的中心化平台不同，去中心化交易所不设“了解你的客户”(KYC)核查或账户要求，钱包无需表明身份即可通过池子循环转移价值。

“它们存在的唯一目的，就是在被盗资金和下一个钱包之间隔一个池子，”Elliptic在一篇X帖子中写道。

朝鲜的洗钱者正在创建自己的Meme币，以转移从币安窃取的资金。11月5日至7日期间，他们在NEAR上发行了至少六种代币，配以粉色蝴蝶结猴子、美国国旗前的鸭子等Meme币标志。被盗的NEAR流向…… — Elliptic (@elliptic) 2026年11月9日

据Elliptic称，交易数据显示这些代币除了洗钱之外别无用途。与该操作关联的钱包包揽了全部六种代币的每一笔卖单，以及其中五种代币的每一笔买单。唯一的例外是发行当天少量对FUK的购买，仅占该代币交易活动的极小部分。

这些代币还以链式方式相互关联。在五个案例中，为新代币创建者提供资金的钱包，在下次发行前的2至13分钟内一直在出售上一枚代币。

首见于Bybit事件的手法

Elliptic表示，该手法首次出现在Bybit 2025年失窃15亿美元之后——这是有记录以来规模最大的加密货币盗窃案，当时洗钱者使用一种毫无价值的Tron代币转移了至少2400万美元。在币安一案中，类似的Tron代币于11月2日出现；一天后，被盗的SOL通过交易量稀少的既有Solana代币转移。

NEAR路线仅覆盖币安被盗约63亿美元中的不到0.01%。FBI已将此次窃案归因于朝鲜的TraderTraitor黑客组织，美国各机构将该组织与拉撒路集团(Lazarus Group)相关联。美国官员和联合国专家多次指出，大规模加密货币盗窃是这一受制裁国家武器计划的收入来源。

Elliptic称，约3000枚比特币(价值约2.25亿美元)已从其他被盗资产转换后落入新的比特币地址。约1180万枚NEAR(价值4370万美元)尚未移动。

“这种手法不是隐藏资金，而是拖慢调查人员的速度，”Elliptic联合创始人Tom Robinson写道。他补充说，朝鲜的洗钱者“叠加了许多低成本手法，每一种都会增加一点拖延”。

在代币出现前几天，Pangolin Intelligence创始人Jonty在Unchained节目中表示，这类网络在钱包之间转移资金，“本质上是为了躲避交易监控软件的眼睛”。

Elliptic敦促合规团队不要默认将来自流动性池的资金视为干净资金。警示信号包括仅有几天历史的代币、交易者寥寥的池子，以及只买不卖或只卖不买的钱包。该公司建议对可追溯至具有上述特征的池子的入金进行额外审查。

自11月8日以来，这六种NEAR代币均无交易。据Elliptic称，当天下午，四位代币创建者撤走了仍留在各自池中的资金。这使得约4370万美元处于休眠状态的NEAR和新近归集的比特币，成为分析人士追踪后续动向最清晰的标记——而且，根据Elliptic记录的多链模式，其他地方若再次出现一批自行发行的代币，将标志着这一行动进入了新阶段。