區塊鏈分析公司Elliptic發現，在64.3億美元的幣安駭客案中，涉案駭客使用了一種罕見的洗錢手法：駭客不直接在錢包之間轉移贓款，而是自行鑄造迷因幣，透過去中心化交易所（DEX）的流動性池進行交易，之後便將這些代幣完全棄置。

FBI將此攻擊事件歸因於北韓的TraderTraitor組織，這是美國當局用來指稱針對加密貨幣產業的北韓國家支持網路行動者的名稱。根據Elliptic的分析，新鑄造的代幣充當了持有贓款的錢包與最終收取款項的地址之間的犧牲性緩衝層。這種手法在鏈上仍可被發現，但會拖慢調查人員的速度，並使合規審查更加複雜。

六種迷因幣轉移了117,000枚被竊NEAR

根據Elliptic的調查，這個於11月5日至11月11日期間建立的洗錢網路，在NEAR區塊鏈上至少發行了六種代幣：FUK、OLCCL、MEILI、MMLI、DABI和SINU。該公司估計，約有117,000枚NEAR（價值約43萬美元）透過與這些代幣相關的流動性池處理。每枚代幣的創建成本約為90美元，相較於所轉移的金額，這一中介層的建置成本相當低廉。

這些代幣幾乎沒有任何真實的市場交易。Elliptic判定，所有六種代幣的全部賣出交易，以及幾乎所有的買入交易，均由疑似參與洗錢行動的錢包完成。大多數代幣在數小時內即被拋售清倉，且自11月8日起（即Elliptic發布分析的隔天）便再無任何交易活動。

拋棄式代幣路徑的運作方式

這種手法在被竊加密貨幣與最終收取款項的錢包之間插入了一個洗錢層。首先，攻擊者創建一個新代幣，並在DEX流動性池中將其與NEAR等既有資產配對。接著，一個錢包中的被竊NEAR被用來購買這枚剛鑄造的代幣。隨後，另一個錢包將該代幣賣回流動性池並提取NEAR。

如此一來，贓款資產從未直接從第一個錢包轉移至收取款項的地址。表面上看，收款錢包似乎只是透過交易一種冷門迷因幣獲得資金——由於DEX允許任何錢包在無需中介審核的情況下交易新發行的代幣，這類地址在相關模式被識別之前，可以被視為普通的迷因幣交易者。

然而，區塊鏈上的軌跡仍然清晰可見。Elliptic表示，這種策略為調查人員製造了阻礙，但並未使贓款無法追蹤。

幣安駭客案贓款洗白橫跨多條鏈

NEAR上的活動只是圍繞幣安駭客案的龐大洗錢行動的一個環節。Elliptic已追蹤贓款流向超過20,000個錢包、遍及16條區塊鏈、涉及至少36個服務以及約65,000筆交易。該公司報告指出，約有30億美元存放在其認定與贓款相關的地址中。

類似的代幣手法也已經在其他區塊鏈系統上被採用，例如Tron和Solana。Elliptic還將這種手法與2025年的Bybit駭客案聯繫起來，據稱與北韓相關的竊賊在該案中透過Tron網路上發行的一種虛假代幣轉移了超過2,400萬美元。這種手法在不同事件和鏈上反覆出現，已成為審查工具可以偵測的可識別模式，而被追蹤的約30億美元贓款未來若有任何轉移，在鏈上仍將清晰可見。

對加密貨幣合規團隊而言，一個新的警示訊號已經出現：資金從一個剛上線且交易量極低的去中心化交易所流動性池流入系統。這一訊號來自Elliptic用來追蹤整個行動的同一份公開鏈上數據——那些為切斷錢包對錢包直接聯繫而鑄造的代幣，如今同時也成為自動化監控可篩查的標記。