Elliptic: взломавшие Binance хакеры отмывают украденное через мемкоины в NEAR

Северокорейские хакеры создали шесть мемкоинов в блокчейне $NEAR и пропустили через них около $430 000 из средств, похищенных при взломе Binance. Ущерб от этой атаки оценивают в $6,3 млрд. Об этом сообщили аналитики блокчейн-компании Elliptic.

С 5 по 7 ноября злоумышленники выпустили в сети $NEAR как минимум шесть токенов. Затем они использовали пулы ликвидности на децентрализованных биржах, чтобы переводить украденные средства между кошельками. Сами токены почти не привлекли внешних трейдеров и были заброшены вскоре после запуска.

Механика выглядела так: одна группа кошельков обменивала похищенные токены $NEAR на новые мемкоины, а другая продавала эти мемкоины обратно в пулы и получала $NEAR. Благодаря этому хакерам не приходилось отправлять деньги напрямую с кошелька на кошелёк. Однако транзакции остались видимыми в блокчейне, и отследить их аналитикам удалось.

В Elliptic обнаружили и другую зацепку. Пять из шести создателей токенов получили финансирование от продажи предыдущих токенов буквально за несколько минут до очередного запуска. Так мемкоины оказались связаны в единую цепочку транзакций.

Сооснователь Elliptic Том Робинсон (Tom Robinson) отметил в отчёте, что такие преступники редко ограничиваются одним приёмом. Они накладывают друг на друга множество дешёвых методов, и каждый осложняет дальнейшее расследование.

Эту же технику применяли после взлома Bybit в 2025 году, когда ущерб составил $1,5 млрд. Тогда связанные с КНДР хакеры провели не менее $24 млн через недавно созданный токен в блокчейне TRON.

На момент анализа Elliptic около 11,8 млн токенов $NEAR, украденных при взломе Binance, оставались нетронутыми. Аналитики оценили их в $43,7 млн.

Мнение ИИ

С точки зрения машинного анализа данных, $430 000 составляют около 0,007% от $6,3 млрд. Мемкоины в этой схеме выглядят скорее тонким слоем маскировки, чем основным каналом вывода денег. Крупные суммы группировка Lazarus проводит через людей: ZachXBT раскрыл китайскую сеть, которая отмыла для хакеров из КНДР более $1 млрд. По данным Chainalysis, они похитили не менее $6,75 млрд, а отмывают такие суммы поэтапно.

Есть и техническое ограничение. Пул заброшенного токена мелкий, и крупный обмен в нём заметно двигает курс. Поэтому 11,8 млн нетронутых $NEAR вряд ли удастся перевести через такие пулы без следа. Какой канал хакеры выберут для основной части средств?