Нові токени-меми в схемі відмивання коштів північнокорейських хакерів

Північнокорейські хакери застосовують нову техніку для відмивання коштів, викрадених із Binance. Згідно з аналітичною фірмою Elliptic, вони створюють власні токени-меми та використовують пули ліквідності децентралізованих бірж. Зловмисники карбують новий токен, парують його з реальним активом, наприклад NEAR або стейблкоїном, у пулі ліквідності. Одна група гаманців купує цей токен за вкрадені кошти. Потім інша група гаманців продає токени назад у пул і отримує «чисті» активи. Оскільки між гаманцями покупця та отримувача немає прямих трансферів, а стоїть пул, це ускладнює миттєве встановлення зв'язку між транзакціями. Elliptic виявив цю схему в блокчейнах Tron та NEAR, а також її варіант у Solana.

Конкретна операція на блокчейні NEAR

Найбільш наочний випадок зафіксували в блокчейні NEAR між 5 та 7 листопада. Хакери створили шість токенів: FUK, OLCCL, MEILI, MMLI, DABI та SINU. Токени мали типові для мемкоінів логотипи: мавпу з бантом, качку з прапором, шимпанзе, лисицю та зображення Ілона Маска з написом «Elon 2028 President». Створення кожного токена коштувало близько 25 монет NEAR, що на той час дорівнювало приблизно 90 доларам.

Токени активно торгувалися лише протягом декількох годин після запуску. Майже всю торгівлю здійснювали гаманці, пов'язані зі злочинною операцією. Наприклад, токени DABI, MMLI та SINU мали лише по одному гаманцю для купівлі та по одному для продажу. Загалом через ці шість токенів пройшло близько 117 тисяч монет NEAR, вартістю приблизно 430 тисяч доларів. Більшість цих коштів згодом конвертували в стейблкоїни або перевели через крос-чейн міст. П'ять із шести створених токенів профінансували коштами від продажу попередніх токенів за 2-13 хвилин до нового запуску.

Техніка лише уповільнює відстеження

Цей метод не приховує транзакційний слід у блокчейні, але значно уповільнює розслідування. Він додає додаткові шари обмінів та використання нових гаманців. Аналогічну тактику вперше застосували після хакерської атаки на Bybit у 2025 році, коли через новий токен у блокчейні TRON відмили щонайменше 24 мільйони доларів. Згідно з Elliptic, зловмисники рідко покладаються на один потужний метод, а комбінують багато дешевих технік, кожна з яких додає невелику затримку.

Велика частина викрадених коштів ще не відмита

Сума, переведена через шість токенів NEAR, становить лише невелику частину від загального обсягу викрадень. Загальна сума, викрадена з Binance, сягає мільярдів доларів. За оцінками Elliptic, понад 3 мільярди доларів у викраденій криптовалюті все ще не пройшли процес відмивання. На момент аналізу близько 8 мільйонів монет NEAR, вартістю приблизно 7 мільйонів доларів, залишалися не переміщеними зламниками. Фірма радить криптобіржам і командам з комплаєнсу не розглядати автоматично кошти, отримані з пулів ліквідності, як легітимні. До підозрілих ознак належать новостворені токени, пули з дуже обмеженим колом учасників, а також рахунки, які поповнили безпосередньо перед початком активних торгів.