Компания Elliptic, специализирующаяся на анализе блокчейна, в опубликованном вчера (9 ноября) отчёте сообщила, что в ходе взлома Binance в конце октября, когда было похищено криптоактивов примерно на 6,4 млрд долларов, применили относительно новый способ отмывания денег. Северокорейские отмыватели сами выпускали мемкоины, которые почти никто не покупал, и переводили через пулы ликвидности похищенные средства.
Северокорейские хакеры создали собственные мемкоины, чтобы не переводить похищенные средства напрямую
По данным Elliptic, эти мемкоины выпускались для разового использования, а их цену определяли сами отмыватели. Посторонние почти не покупали такие токены. Далее отмывание происходило следующим образом:
Во время операции сначала с помощью общедоступного инструмента для выпуска токенов создавали новый токен, объединяли его в пару с реальным активом — например, NEAR или стейблкоином — и открывали пул ликвидности на децентрализованной бирже.
Одна группа кошельков покупает токены на украденные деньги, а другая продаёт токены обратно в тот же пул и выводит реальные активы.
Таким образом, украденные средства не переводятся напрямую с кошельков, совершивших покупку, на кошельки-получатели. Последние выглядят как обычные трейдеры, заработавшие на продаже токенов.
Elliptic отмечает, что каждый день появляются тысячи мемкоинов, большинство из которых быстро забывают. Ещё один недолговечный токен вряд ли привлечёт внимание, а кошелёк с историей торговли мемкоинами легко принять за спекулянта.
Схема распространилась с Tron на NEAR
По данным Elliptic, этот метод впервые применили во время взлома Bybit в 2025 году: тогда отмыватели выпустили в сети Tron бесполезные токены и перевели не менее 24 млн долларов. И тот инцидент, и нынешний взлом Binance связывают с TraderTraitor — предположительно, эта группа входит в состав Lazarus Group.
2 ноября в сети Tron также обнаружили аналогичные токены, а 3 ноября украденные SOL обменяли на уже существующие токены с низкой ликвидностью — с той же целью.
Транзакции в сети NEAR также позволяют подробно проследить действия северокорейских отмывателей.
По подсчётам Elliptic, с 5 по 7 ноября появилось не менее шести мемкоинов: FUK, OLCCL, MEILI, MMLI, DABI и SINU. Создание каждого обошлось примерно в 90 долларов. Кошельки, использовавшиеся для покупки, получили в общей сложности около 117 000 NEAR, похищенных средств на сумму примерно 430 000 долларов. Вскоре почти такая же сумма ушла с кошельков-получателей: большую часть обменяли на стейблкоины или перевели через кроссчейн-мосты.
Elliptic считает, что эти токены создавались специально для отмывания денег: все продажи и почти все покупки совершались с кошельков отмывающей сети, а продажа каждого токена начиналась в течение трёх часов после его запуска.
Следы отмывания можно отследить: отрасли нужно пересмотреть подходы
Elliptic отмечает, что все этапы остаются в блокчейне. Этот метод лишь замедляет расследование, но путь движения средств по-прежнему можно отследить.
Прежде чем попасть в кошельки-получатели, украденные средства проходят через токены и пулы ликвидности, совершая несколько лишних переходов. Следователям приходится разбирать цепочку по звеньям, чтобы подтвердить, что деньги на кошельках-получателях на самом деле были украдены. Отмывание денег — это гонка со временем: если перевести средства до того, как их пометят как украденные, их проще обналичить. Поэтому замедление расследования выгодно отмывателям.
Пока через мемкоины прошло ограниченное количество средств, однако около 11,8 млн украденных NEAR (примерно 43,7 млн долларов) ещё не перемещены. Для хакеров этот метод обходится недорого и может быть использован для перевода гораздо более крупных сумм.
Elliptic рекомендует специалистам по соблюдению нормативных требований не считать средства из пулов ликвидности заведомо чистыми, особенно если речь идёт о недавно созданных токенах. Настораживающие признаки — сделки в пуле лишь с нескольких кошельков и поступление средств на новые кошельки незадолго до транзакции. Компании также могут сверяться с опубликованным Elliptic чёрным списком адресов, связанных со взломом Binance, и повторно проверять уже полученные средства по мере расширения списка.
В отчёте также говорится, что северокорейские отмыватели обычно сочетают несколько недорогих методов, и создание собственных мемкоинов — лишь один из них.
Кроме того, хотя ФБР США и несколько компаний в сфере кибербезопасности связывают взлом Binance с хакерской группой, созданной в Северной Корее, сестра лидера страны Ким Чен Ына и высокопоставленная представительница Трудовой партии Ким Ё Чжон отрицает это. Она также подчеркнула, что Пхеньяну незачем садиться за стол переговоров с США, пока те не откажутся от враждебной политики в отношении Северной Кореи.
Читайте также:
Отслеживание отмывания денег после взлома Binance: новый кошелёк создаётся каждые 25 секунд, задействованы 11 блокчейнов, доказательств участия ИИ пока нет
Как отмывали деньги после взлома Binance: появилась невиданная ранее схема — токены на 5 млн долларов удалось продать всего за 71 доллар
Статья «Северокорейские хакеры, укравшие у Binance 6,4 млрд долларов, отмывают деньги с помощью никому не интересных мемкоинов: все шесть токенов использовались в преступлении» впервые опубликована в издании «Криптогород».