區塊鏈分析公司Elliptic追蹤發現，從幣安竊取的資金透過NEAR區塊鏈上六個自行創建的迷因幣循環流轉，這一手法讓清洗資金的錢包看起來像是獲利的交易者。這份發表於11月9日的調查的報告，是該公司針對這起10月29日約64億美元資金流出幣安錢包竊案的最新研究。兩天後，FBI將此次攻擊歸因於北韓，並沿用在2025年Bybit竊案中使用的TraderTraitor標記。TraderTraitor是美國機構對以加密貨幣公司為目標的北韓網路組織所使用的標籤，相關活動已在多份美國政府公告中記錄。

Coindoo先前曾報導過由TRM Labs追蹤到的自行發行的TRON代幣，其中流動性池是買賣雙方之間唯一的連結。Elliptic這次針對NEAR的調查結果，則為第二條區塊鏈上六個代幣的流動性池兩側都提供了具體數字。

幾乎沒有外部交易者的六個代幣

這六個代幣各自與NEAR配對，在去中心化交易所的獨立池中發行，每個代幣的創建成本約25枚NEAR，即大約90美元。在去中心化交易所上創建代幣無需許可：用戶與新池之間沒有任何上架審核或身分驗證，價格是唯一的門檻。在這個價位下，一個代幣用完一次即可丟棄——這正是全部六個代幣的實際命運。

一個由少數錢包主導的全新代幣，本身並不足以證明存在洗錢行為。許多合法的代幣發行一開始也是如此，由創建者和一小群早期買家完成大部分交易。Elliptic的論證建立在三項只有合在一起才成立的發現之上。

第一是誰在交易。清洗網路中的錢包執行了全部六個代幣的每一筆賣出，並買入了其中五個代幣的每一單位。來自網路外部的買入僅限於FUK首日的一小筆小額買單，佔該代幣交易量不到1%。

第二是每個代幣的資金來源。六個創建者中有五個的資金來自一個在新代幣發行前2至13分鐘仍在賣出前一個代幣的錢包。一個代幣的收益支付了下一個，這意味著六者構成一條鏈，而非六筆各自獨立的押注。

第三是每個代幣壽命之短。每個代幣都在發行後三小時內首次被賣出，且至少四分之三的交易發生在單日之內。自11月8日起無一持續交易，當天下午，其中四個代幣的創建者提取了池中剩餘的流動性。

本文引用的數字均來自Elliptic。Coindoo並未獨立重現這六個池的交易紀錄。

為何賣方看起來像是贏家

這些代幣的品牌形象毫不起眼。Elliptic描述其Logo為標準的迷因幣風格——從戴粉色蝴蝶結的猴子、美國國旗前的鴨子，到蓋在馬斯克（Elon Musk）照片上的「Elon 2028 President」橫幅，而Elliptic並未將馬斯克與這些代幣連結。代幣名稱也遵循同樣的套路：FUK是一個粗俗的玩笑，SINU則借用狗系幣種常用的「-INU」結尾。錢包名稱則是一款熱門錢包應用隨機分配的，因此標籤之間也毫無關聯。

每天都有數千個新代幣出現，這正是掩護所在。按照Elliptic的解讀，一個交易新迷因幣的錢包會被視為投機者，除非有人去查它的資金來源。

一旦進行這項查核，表面上的獲利便不復存在。買入錢包由約117,000枚NEAR注資，這些NEAR從持有被竊NEAR的主錢包經中間帳戶層層轉入。隨後幾乎完全相同的金額離開了收款錢包，其中大部分被兌換成穩定幣或轉入跨鏈橋——即在不同區塊鏈之間轉移資產的服務。按Elliptic發布報告時的價格計算，總額約為430,000美元。

逐一看單一收款錢包，紀錄呈現的是一連串乾淨的出場：賣出代幣、收到NEAR。但縱觀整個網路，同一批NEAR繞了一圈又回來了，僅損失約540美元的代幣創建費及網路費用。唯一從外部進入網路的資金，是FUK首日的小額買盤。

錢包的獲利數字比較的是它的收入與支出。它無法顯示買方的資金其實來自同一個被竊錢包。而且如果賣方的代幣是透過轉帳獲得而非在池中買入，甚至可能根本沒有可扣除的買入成本。

為何洗錢者使用一個調查人員能夠追蹤的手法

每一個步驟都發生在公開的區塊鏈上，Elliptic也確實一路追蹤。據該公司表示，其目的在於拖延而非隱匿。每多一跳，調查人員就需要多花時間拆解，而洗錢本質上是一場趕在被標記之前轉移資金的競賽。每個代幣約90美元，洗錢者負擔得起大量製造、用完即棄。

這套手法並不新鮮。Elliptic最早在2025年Bybit竊案的清洗過程中觀察到自製代幣，當時至少2,400萬美元透過一個毫無價值的TRON代幣流轉。在幣安案中，該公司於11月2日識別出一個類似的TRON代幣。隔天，它發現被竊的SOL經由Solana上交易極少的既有代幣中轉，隨後兌換成USDC並經跨鏈橋轉出。TRM Labs在其自己的追蹤中也描述了相同的TRON模式。

相較於剩餘資金，NEAR的金額並不大。截至Elliptic報告發布時，約1,180萬枚NEAR（價值約4,370萬美元）仍未轉移，該公司認為這種手法成本低廉，足以承載更大量的資金。對持續關注此案的人而言，接下來的具體觀察指標是Elliptic公開封鎖名單隨新清洗地址確認而更新，以及那筆未動餘額的首次轉移。Elliptic也強調，發行工具、交易所與錢包應用本身並無過失；洗錢者只是以任何其他用戶都能使用的方式使用了它們。

相信錢包連勝紀錄前的五項檢查

錢包追蹤工具與跟單交易資訊流經常展示實現鉅額獲利的帳戶。Elliptic為合規團隊提出的警訊可直接套用，而一個區塊鏈瀏覽器就足以完成這些檢查：

1. 代幣年齡。 查明代幣合約的創建時間。發行後幾天內出現大額賣出值得進一步留意。
2. 交易者數量。 查看池的交易歷史。少數錢包幾乎包辦所有交易量，意味著真實交易對手很少。
3. 單向錢包。 留意只買入的錢包與只賣出的錢包並存。這種分裂是Elliptic的紅旗之一。
4. 新鮮注資。 追蹤主要買家的第一筆入金。在交易開始前剛獲注資的新錢包（通常為整數金額）是警訊。
5. 流動性被抽走。 查看交易停止後，創建者是否很快提取了池中剩餘的流動性。

單一警訊在迷因幣市場中很常見。同一錢包上若出現多項警訊，則在任何人複製其交易之前，必須先檢視買方一側的帳本，才能確認其獲利數字。

對交易所而言，Elliptic的建議是來自流動性池的資金不應預設為乾淨。其與幣安駭客攻擊相關錢包的公開封鎖名單隨著新地址被識別而不斷擴充，因此一筆入金即使通過了到帳時的篩查，之後仍可能被標記。Elliptic建議企業在名單每次更新時，重新審查先前已接受的存款。