ذكر تقرير نشرته شركة تحليل البلوك تشين Elliptic في 9 نوفمبر أن غاسلي الأموال في كوريا الشمالية أصدروا عملات ميم بأنفسهم لنقل الأموال المسروقة من Binance. وبين 5 و7 نوفمبر، أصدروا ما لا يقل عن 6 عملات جديدة على سلسلة NEAR؛ وبعد تداول نحو 117 ألف NEAR (نحو 430 ألف دولار) من الأموال المسروقة عبر هذه العملات، تخلّصوا منها.
قالت Elliptic إنه، باستثناء شبكة غسل الأموال نفسها، لم يشترِ هذه العملات أحد تقريبًا. وكان الغرض الوحيد من وجودها هو إنشاء مجموعة معاملات تفصل بين الأموال المسروقة والمحفظة التالية.
قرد بفيونكة وردية، وبطة أمام العلم الأمريكي: تكلفة كل عملة نحو 90 دولارًا
تتبع العملات الست جميعها القالب المعتاد لعملات الميم. وتشمل الشعارات التي أوردتها Elliptic قردًا يرتدي فيونكة وردية، وبطة تقف أمام العلم الأمريكي، و شمبانزي، وثعلبًا، وشارة ذهبية مشتعلة، وصورة لإيلون ماسك مصحوبة بعبارة «Elon 2028 President». وأشارت Elliptic تحديدًا إلى عدم وجود ما يدل على أي علاقة لماسك بهذه العملات.
تتبع أسماء العملات أيضًا تقاليد عملات الميم، من المزحة البذيئة FUK إلى SINU التي تقلّد لاحقة «-INU» في سلسلة Dogecoin. والعملات الست هي FUK التي أُصدرت في 5 نوفمبر، وOLCCL وMEILI وMMLI وDABI التي أُصدرت في 6 نوفمبر، وSINU التي أُصدرت في 7 نوفمبر (جميع التواريخ بالتوقيت العالمي المنسق). وتبلغ تكلفة إصدار كل عملة نحو 25 NEAR، أي نحو 90 دولارًا.
ترى Elliptic أن التمويه جزء من الأسلوب نفسه. إذ تُصدر آلاف عملات الميم يوميًا، ويختفي معظمها خلال أيام قليلة؛ لذلك لا تثير عملة قصيرة العمر تحمل شعارًا كرتونيًا إضافيًا أي انتباه. كما أن وجود تداولات لعملات ميم في سجل المحفظة يجعل صاحبها يبدو مضاربًا لا غاسل أموال، ما لم يعد أحد إلى مصدر الأموال ليتحقق منه.
الأموال المسروقة تمر عبر مجمع تداول، لذا لا تظهر على السلسلة أي تحويلات مباشرة
قسّمت Elliptic هذه الطريقة إلى أربع خطوات: أولًا، إصدار عملة جديدة باستخدام أدوات إصدار العملات المتاحة علنًا على السلسلة؛ ثم إقران العملة الجديدة بأصل حقيقي مثل NEAR أو عملة مستقرة لتكوين مجمع سيولة في منصة تداول لامركزية؛ وبعدها تشتري مجموعة من المحافظ العملة الجديدة بالأموال المسروقة؛ وأخيرًا تبيع مجموعة أخرى العملة الجديدة إلى المجمع نفسه، وتسحب الأصول الحقيقية.
خلال العملية بأكملها، لا تنتقل الأموال المسروقة مباشرةً من محفظة الشراء إلى محفظة السحب، لأن المجمع يفصل بينهما. وبالنسبة لمن لا يدقق في التفاصيل، تبدو محفظة السحب كأنها تعود لمتداول عادي باع عملاته محققًا ربحًا.
اتبعت العملات الست على NEAR المسار نفسه: إصدار أولًا، ثم تداول مكثف بالأموال المسروقة خلال ساعات، ثم التخلي عنها. ولم تُجرَ أي تداولات أخرى بهذه العملات الست بعد 8 نوفمبر، وفي عصر ذلك اليوم سحب مُصدرو أربع منها السيولة المتبقية في مجمعاتها.
جاءت أموال محافظ الشراء كلها من المحفظة الرئيسية المسروقة على NEAR، وانتقلت عبر طبقات من الحسابات الوسيطة، بإجمالي بلغ نحو 117 ألف NEAR؛ وسرعان ما خرجت كمية مماثلة تقريبًا من NEAR من محافظ السحب، وحُوّل معظمها إلى عملات مستقرة أو أُرسل عبر جسور عابرة للسلاسل. وتشير Elliptic إلى أن هذا المبلغ صغير مقارنةً ببقية الأموال المسروقة، إذ لا يزال نحو 11.8 مليون NEAR (ما يعادل نحو 43.7 مليون دولار) من العملات المسروقة دون حركة.
عائدات العملة السابقة تدفع رسوم إصدار العملة التالية
أوردت Elliptic ثلاثة أدلة على أن هذه العملات أُنشئت لغسل الأموال فحسب. أولًا، لم يتداول بها أي طرف خارجي: كل عملية بيع للعملات الست جاءت من شبكة غسل الأموال، كما اشترت الشبكة كل عملة من خمس منها. أما التعاملات الخارجية الوحيدة فكانت بضع عمليات شراء صغيرة لعملة FUK في يومها الأول، لم تتجاوز 1% من حجم التداول. ولم يكن لكل من DABI وMMLI وSINU سوى محفظة واحدة للشراء وأخرى للبيع.
ثانيًا، ترتبط العملات بعضها ببعض كسلسلة. ففي خمس من العملات الست، جاءت أموال المُصدر من محفظة كانت تبيع العملة السابقة، وذلك قبل إصدار العملة الجديدة بدقيقتين إلى 13 دقيقة؛ أي إن عائدات غسل الأموال من العملة السابقة استُخدمت لدفع رسوم إصدار العملة التالية.
ثالثًا، تُستخدم العملات ثم يُتخلّص منها. ظهرت أول عملية بيع لكل عملة خلال 3 ساعات من إصدارها، واكتمل ما لا يقل عن ثلاثة أرباع التداولات خلال يوم واحد، كما تطابقت كميات NEAR الداخلة إلى كل عملة مع الكميات الخارجة منها.
استُخدمت الطريقة نفسها في قضية Bybit، وظهرت في قضيتي Binance على Tron وSolana
رصدت Elliptic هذه الطريقة للمرة الأولى أثناء غسل الأموال في قضية اختراق Bybit عام 2025. ونُسبت قضية Bybit وحادثة Binance في أكتوبر إلى مجموعة القراصنة الكورية الشمالية TraderTraitor. حينها أصدر غاسلو الأموال على Tron رمزًا بلا قيمة، وأقرنوه بعملة مستقرة لتكوين مجمع تداول، ثم سحبوا الأموال عبر محافظ جديدة، ناقلين ما لا يقل عن 24 مليون دولار.
وبعد أيام قليلة من وقوع حادثة Binance، ظهرت الطريقة نفسها مرة أخرى. وتقول Elliptic إنها عثرت في 2 نوفمبر على رمز بلا قيمة أُصدر على Tron خصيصًا لغسل الأموال؛ وفي اليوم التالي، جرى تداول SOL المسروقة على Solana مقابل رموز مغلفة ورموز ضعيفة التداول، ثم بيعها مقابل USDC ونقلها إلى سلاسل أخرى. استُخدمت على Solana رموز قائمة بدلًا من عملات مُصدرة ذاتيًا، لكن الغاية كانت واحدة: إدخال أصل قليل التداول بين الأموال المسروقة والمحفظة التالية.
هذا هو التحليل الثاني الذي تنشره Elliptic بشأن مسار الأموال المسروقة من Binance. وأشار التقرير السابق إلى أن كوريا الشمالية أنشأت 12 ألف محفظة خلال 4 أيام لتوزيع الأموال. كما واجه المهاجمون مشكلة أثناء بيع الرموز، إذ باعوا نحو 5 ملايين دولار من PROM في مجمع شبه خالٍ من السيولة، ولم يحصلوا في المقابل إلا على نحو 71 دولارًا.
Elliptic: لا تفترض أن الأموال الواردة من مجمعات التداول نظيفة
تؤكد Elliptic أن كل خطوة من هذه الطريقة موثقة علنًا على البلوك تشين، لذا لا يزال بإمكان المحققين تتبعها. فهي لا تخفي الأموال، بل تبطئ عملية التتبع؛ إذ يسابق غاسلو الأموال الزمن قبل وسم الأموال، وتبلغ تكلفة إصدار كل عملة على NEAR نحو 90 دولارًا فقط، ما يتيح لهم إصدارها بكميات كبيرة واستخدامها مرة واحدة ثم التخلص منها.
تحذّر Elliptic فرق الامتثال لدى منصات التداول وغيرها من الجهات العاملة في القطاع من اعتبار المحافظ التي تتلقى أموالًا من مجمعات السيولة نظيفة؛ فقد لا تفصلها عن الأموال المسروقة سوى عمليتي مبادلة. وتشمل المؤشرات التحذيرية التي أوردها التقرير: أن تكون العملة قد أُصدرت خلال الأيام القليلة الماضية، وأن يقتصر التداول في المجمع على عدد قليل من المحافظ، وأن تشتري بعض المحافظ فقط دون أن تبيع فيما تبيع أخرى فقط دون أن تشتري، إضافة إلى أن تبدأ المحافظ الجديدة التداول بعد وقت قصير من إيداع الأموال، وأن تكون مبالغ الإيداع غالبًا أرقامًا صحيحة.
للاطلاع على التفاصيل الكاملة لاختراق Binance والتقدم المحرز في التعويض، يُرجى مراجعة صفحة مركز حوادث اختراق Binance.
نُشر هذا المقال: كوريا الشمالية تغسل أموال Binance المسروقة عبر عملات ميم أصدرتها بنفسها؛ 6 عملات على NEAR مرّرت 430 ألف دولار ثم جرى التخلي عنها لأول مرة في 。
【تحليل إضافي】
【رأيي وتحليلي الإضافي】
يكشف هذا النمط من غسل الأموال، القائم على «عملات الميم المُصدرة ذاتيًا + مجمعات السيولة في منصات التداول اللامركزية (DEX)»، عن تطور تكتيكات مجموعات القرصنة، التي تستغل انخفاض تكلفة إصدار العملات على سلاسل الكتل العامة وغياب الحاجة إلى إذن لاستخدام منصات DEX. وبالمقارنة مع أدوات خلط العملات التقليدية، مثل Tornado Cash، التي تواجه حملة تنظيمية صارمة، فإن إنشاء مجمعات تداول لعملات ميم على سلاسل منخفضة التكلفة مثل NEAR وSolana وTron لا يقتصر على خفض التكلفة إلى حد كبير (نحو 90 دولارًا للعملية الواحدة)، بل يتيح أيضًا تمويه غسل الأموال على أنه تداول متكرر من مستثمري التجزئة، ما يطيل كثيرًا الفترة المتاحة لاكتشاف النشاط على السلسلة وتعقبه. وهذا يشير إلى أن البنية التحتية للتمويل اللامركزي تُستخدم كسلاح من قبل القراصنة على نحو متزايد، وأن الصراع بين اللامركزية والامتثال لمكافحة غسل الأموال (AML) سيزداد حدة.
【تأثير السوق】
- **سوق العملات المشفرة (من مائل للهبوط إلى محايد):**
- **NEAR / SOL / TRX (محايد يميل إلى الهبوط):** يُظهر التقرير أن نحو 43.7 مليون دولار من الأموال المسروقة على NEAR لم تتحرك بعد. وإذا كثّف القراصنة لاحقًا تسييلها عبر الجسور العابرة للسلاسل ومنصات DEX، فقد تتعرض رموز هذه السلاسل لضغوط بيع مستمرة. كما أن زيادة أنشطة غسل الأموال غير المعتادة على السلسلة قد تدفع الجهات التنظيمية إلى تشديد تدقيقها في أنظمتها البيئية.
- **BNB / منظومة Binance (مائل للهبوط):** قد يؤدي نجاح غسل الأموال المسروقة ونقلها عبر السلاسل إلى إضعاف ثقة السوق في أمن أصول منصات التداول المركزية وقدرتها على إدارة المخاطر. وإذا واجهت المنصة لاحقًا مساءلة تنظيمية، فقد يشكل ذلك ضغطًا على سعر BNB.
- **سوقا الأسهم الأمريكية والتايوانية (محايد يميل إلى الهبوط):**
قد تؤدي هذه الحادثة إلى تشديد وزارة الخزانة الأمريكية (OFAC) وهيئة الأوراق المالية والبورصات (SEC) الرقابة على التمويل اللامركزي والبروتوكولات العابرة للسلاسل. وإذا تصاعدت الحملة التنظيمية، فقد تتأثر على المدى القصير أسهم شركات العملات المشفرة في السوق الأمريكية، مثل Coinbase وMicroStrategy، وأسهم شركات البلوك تشين وأجهزة التعدين في السوق التايوانية، مثل Gigabyte وMSI، بموجة عزوف المستثمرين عن المخاطرة، ما قد يؤدي إلى تصحيح مؤقت في تقييماتها.
【ما يجب مراقبته لاحقًا】
1. راقب مسارات حركة نحو 11.8 مليون NEAR المتبقية من الأموال المسروقة، وما إذا كانت منصات التداول الكبرى والجهات المعنية بالامتثال ستتمكن من تجميد الأموال في محافظ السحب والجسور العابرة للسلاسل المرتبطة بشبكة غسل الأموال هذه في الوقت المناسب.
2. راقب ما إذا كانت منصات DEX الرئيسية وأدوات تحليل البلوك تشين ستطرح آليات إنذار فورية لإدارة المخاطر على السلسلة، تستهدف الأنماط غير المعتادة مثل «إنشاء مجمع جديد، وتداول مركّز، وسحب السيولة سريعًا».
【تنبيه بشأن المخاطر】
ينبغي للمستثمرين الحذر من فخاخ السيولة في عملات الميم منخفضة القيمة السوقية، وتجنب التداول الأعمى بالعملات التي تشهد تحركات غير اعتيادية على السلسلة. وإذا فرضت الجهات التنظيمية في أوروبا والولايات المتحدة لاحقًا سياسات عقابية على بروتوكولات التمويل اللامركزي بسبب حوادث غسل الأموال، فقد يواجه سوق العملات المشفرة مخاطر تشديد السيولة على نطاق واسع وتقلبات حادة.