Северокорейские хакеры нашли новое применение бесполезным мемкоинам: с их помощью они перемещают украденную криптовалюту, не связывая напрямую кошелёк с награбленным с кошельком, на который она поступает. При взломе Binance на сумму 6,3 миллиарда долларов около 430 000 долларов в украденных токенах NEAR прошли через шесть созданных хакерами токенов.
Вот как хакеры используют этот метод для отмывания криптовалюты. Они прибегали к такой тактике и раньше, в том числе во время взлома Bybit.
Северная Корея нашла новый способ отмывать украденную криптовалюту
По данным аналитической блокчейн-компании Elliptic, TraderTraitor — северокорейская хакерская группа, связанная с Lazarus Group, — использует недолговечные мемкоины, чтобы перемещать украденную криптовалюту и скрывать следы. Теперь группа применяет этот метод для отмывания части из 6,3 миллиарда долларов, похищенных при взломе Binance 29 октября 2026 года.
Отмывающие деньги северокорейцы создают собственные мемкоины, чтобы перемещать средства, украденные с Binance.
С 5 по 7 ноября они запустили на NEAR как минимум шесть токенов, украсив их логотипами мемкоинов — например, обезьяной с розовым бантом и уткой на фоне флага США. Украденные NEAR отправлялись…
— Elliptic (@elliptic) 9 ноября 2026 года
С 5 по 7 ноября хакеры создали шесть токенов в блокчейне NEAR: FUK, OLCCL, MEILI, MMLI, DABI и SINU. Создание каждого токена стоило всего 25 NEAR, или около 90 долларов.
Затем они создали пулы ликвидности, объединив токены с NEAR на децентрализованной бирже. Через эти токены прошло около 117 000 NEAR стоимостью примерно 430 000 долларов. Позже часть средств конвертировали в стейблкоины или перевели в другие блокчейны.
Эта деятельность примечательна тем, что почти все сделки совершались с кошельков, связанных с хакерами. Торговля также прекратилась вскоре после того, как токены выполнили свою задачу. Это указывает на то, что токены создали специально для перемещения украденных средств, а не для запуска обычных проектов с мемкоинами.
Четыре шага стратегии Северной Кореи с мемкоинами
Шаг 1. Создать ничего не стоящий токен
Хакеры создают новый мемкоин с помощью общедоступного инструмента для выпуска токенов. Запуск каждого токена обходится всего в небольшое количество NEAR.
Шаг 2. Создать пул ликвидности
Они объединяют новый токен с настоящей криптовалютой на децентрализованной бирже.
Шаг 3. Провести украденную криптовалюту через токен
Кошелёк с украденной криптовалютой покупает новый мемкоин, а другой кошелёк продаёт его обратно через тот же пул ликвидности.
Шаг 4. Переместить возвращённые средства
На кошелёк-получатель возвращается исходная криптовалюта, которую затем можно обменять на стейблкоины или перевести в другие блокчейны.
Почему эта стратегия затрудняет отслеживание криптовалюты
Этот метод не делает украденные средства невидимыми. Все транзакции остаются записанными в блокчейне, поэтому следователи могут отследить их перемещение. Однако каждый дополнительный обмен увеличивает объём работы следователей
Северная Корея и раньше применяла похожий подход. После взлома Bybit в 2025 году Elliptic выявила перемещение как минимум 24 миллионов долларов через ничего не стоящий токен, созданный в сети Tron.
Даже случай с Binance показывает, как связанные с Северной Кореей хакеры используют недорогие методы в сетях Tron, Solana и NEAR, чтобы перемещать украденные средства и затруднять расследования.