Elliptic отследила перемещение примерно 117 000 NEAR (около 430 000 долларов) через шесть недавно созданных мемкоинов в блокчейне NEAR в период с 5 по 7 ноября.

Этот метод направляет украденные средства через пулы ликвидности DEX, чтобы избежать прямых переводов между кошельками. Его уже использовали после взлома Bybit в 2025 году, чтобы переместить не менее 24 миллионов долларов.

На одном из токенов было изображение Илона Маска под баннером «Илон — президент в 2028 году»; Elliptic заявила, что связи с Маском нет.

Кража с Binance 29 октября остаётся крупнейшим криптовалютным взломом за всю историю: ущерб составил около 6,4 миллиарда долларов. ФБР приписало её группе TraderTraitor из Северной Кореи.

Компания Elliptic, специализирующаяся на блокчейн-аналитике, обнаружила новый уровень запутывания следов при отмывании средств, похищенных в результате крупнейшего в истории взлома Binance на сумму 6,4 млрд долларов: связанные с Северной Кореей злоумышленники создали шесть одноразовых мемкоинов, чтобы перемещать украденные токены NEAR.

Согласно опубликованному в понедельник анализу Elliptic, около 117 000 NEAR, стоивших на тот момент примерно 430 000 долларов, прошли через шесть токенов, созданных в период с 5 по 7 ноября. Токены под названиями FUK, OLCCL, MEILI, MMLI, DABI и SINU стоили около 25 NEAR (примерно 90 долларов) каждый при запуске и были объединены с NEAR в собственных пулах ликвидности децентрализованных бирж. The Block сообщил, что у токенов были маскоты-животные, в том числе обезьяна с розовым бантом и утка на фоне флага США; один из токенов также содержал изображение Илона Маска.

Схема работает так: одна группа кошельков покупает мемкоины за украденные NEAR, а другая продаёт те же токены обратно в пул и получает NEAR. Как отметила Elliptic: «Украденные средства ни разу не перемещаются напрямую с кошелька, совершающего покупку, на кошелёк, получающий средства, поскольку между ними находится пул». Это создаёт видимость обычной торговой активности. Почти весь объём торгов обеспечивали собственные кошельки отмывающих средства, а на внешних покупателей приходилось менее 1% торгов как минимум одним токеном. К 8 ноября активность прекратилась, а в тот же день из четырёх пулов вывели ликвидность.

Этот подход повторяет тактику, которую Elliptic впервые задокументировала при отмывании средств, похищенных в результате взлома Bybit в феврале 2025 года: тогда было перемещено не менее 24 млн долларов. Подобная активность наблюдалась в сети Tron 2 ноября, а на следующий день — в Solana. CoinDesk процитировал сооснователя Elliptic Тома Робинсона: «Они создали шесть таких криптотокенов и торговали ими только между собой. Так украденные средства выглядят как доходы от торговли».

Сам взлом Binance произошёл 29 октября: злоумышленники вывели активы из нескольких блокчейнов. Компании, занимающиеся аналитикой, включая Elliptic, Chainalysis и TRM Labs, назвали его крупнейшей кражей криптовалюты за всю историю. ФБР возложило ответственность за кражу на группу TraderTraitor. Хотя операции с мемкоинами составляют лишь небольшую часть всей похищенной суммы, они показывают, как связанные с государствами злоумышленники продолжают применять многоуровневые и недорогие методы в блокчейне, усложняя отслеживание средств. Это происходит даже на фоне координации бирж, эмитентов стейблкоинов и аналитических компаний: им уже удалось заморозить около 2,85 млрд долларов из похищенных средств.

Для трейдеров и специалистов по комплаенсу эта ситуация подчёркивает сохраняющиеся риски, связанные с инфраструктурой горячих кошельков, и постоянно расширяющийся арсенал изощрённых злоумышленников. Elliptic утверждает, что отследить движение средств в блокчейне по-прежнему возможно, и продолжает обновлять общедоступные списки связанных адресов. Binance заявила, что возмещает потери пользователей из резервов компании и поэтапно восстанавливает возможность вывода средств.