區塊鏈分析公司Elliptic週一報告指出，北韓洗錢者正自行鑄造毫無價值的迷因幣，並將幣安被竊資金透過這些代幣轉移，確保資產不會直接從一個錢包移動到另一個錢包。

11月5日至7日間，操作者在NEAR區塊鏈上至少鑄造了六種新代幣——FUK、OLCCL、MEILI、MMLI、DABI和SINU——分別為每個代幣建立與NEAR配對的專屬流動性池，用一組錢包中的被竊NEAR買入這些代幣，再透過第二組錢包賣出。約117,000枚NEAR（約43萬美元）流經這六種代幣，Elliptic寫道。

這一手法只是10月29日幣安失竊案更龐大洗錢行動中的一條線索，幣安估計損失達63.4億美元，FBI已將此案歸因於北韓的TraderTraitor組織。相較於總額，流經這六種代幣的約43萬美元只是一小部分——但這體現了整個行動的鮮明特徵：資金透過多次小型、用後即棄的跳轉推進，而非單筆大額轉移。Elliptic的更廣泛更新顯示，目前已有約3,000枚BTC（約2.25億美元）由其他被竊資產轉換至新的比特幣地址，而失竊資金中約1,180萬枚NEAR（4,370萬美元）仍未移動。

「大多數人認為迷因代幣是價格隨市場炒作起落的玩笑幣，」Elliptic共同創辦人兼首席科學家Tom Robinson博士寫道。「北韓的洗錢者為它們找到了不同的用途。」

自製代幣手法如何運作

這項技術是一個四步跳轉。洗錢者用公開的發行工具創建代幣，開設與NEAR或穩定幣等真實資產配對的流動性池，用一組錢包中的被竊資金買入該代幣，再從負責收取真實資產的第二組錢包將代幣賣回同一個流動性池。

被竊資金在任何時候都不會直接從買入錢包轉移至收款錢包，因為中間隔著流動性池。在旁觀者眼中，收款錢包就像是賣代幣獲利的普通交易者。實際上，每個代幣都如同一條單向隧道：為單次洗錢流程而創建，隨後即被棄置，而非作為運轉中的市場維持下去。

六種NEAR代幣每個的創建成本約為25枚NEAR——即約90美元。所有代幣都在數小時內用被竊NEAR大量交易，然後被棄置。自11月8日以來均無交易紀錄，當天下午其中四種代幣的創建者撤走了剩餘的流動性。這些代幣還形成一條鏈：六位創建者中有五位由一個剛售出前一種代幣的錢包提供資金，時間點在下次發行前的2至13分鐘之間。

Elliptic首次報告同樣手法是在2025年2月Bybit失竊案的洗錢過程中，該案同樣被歸因於TraderTraitor，當時一種毫無價值的Tron代幣協助轉移了至少2,400萬美元。在幣安案中，該公司也在Tron上觀察到相同技術，以及在Solana上使用現成低流動性代幣（而非自製代幣）的近似變體。

是拖延戰術，而非憑空消失

迷因幣並不能隱匿資金——每一步在鏈上都是公開的。它們換來的是時間。每一次額外跳轉都會拖慢調查人員，而洗錢者則搶在被標記之前移動資金，且每個代幣約90美元的成本低到可以隨意丟棄。

這一戰術符合Elliptic自失竊案以來追蹤到的更大模式：16條區塊鏈上超過20,000個錢包、至少36個服務以及至少65,000筆交易。幣安表示，這次攻擊始於一場假的求職面試，並在任何代幣轉移前運作了五個月；區塊鏈公司在一天內就將此事件與TraderTraitor聯繫起來。

兌換成比特幣才是金額更大的重頭戲。所有被竊的SOL都已完成兌換、跨鏈或混幣，大部分XRP路徑的資金也已流入比特幣。Elliptic表示，原始贓款中約28.5億美元已被凍結，而實際變現的金額可能微乎其微。

北韓的加密貨幣竊取機器並非新鮮事。Elliptic估計該政權2025年的竊取所得超過20億美元，主要來自14.6億美元的Bybit攻擊事件，且早在幣安事件之前，其已知累計總額就已超過60億美元。

幣安已分階段重新開放提款，並表示已動用自有資金彌補客戶損失。對調查人員而言，當前的考驗在於：自製流動性池的增殖速度是否會持續快於封鎖名單的追趕速度——以及尚未移動的NEAR最終將如何被處理。

本文最初發表於Bitcoin Magazine，作者為Micah Zimmerman。