Powiązani z Koreą Północną hakerzy tworzą własne memecoiny, by zamaskować pochodzenie środków skradzionych z Binance — wynika z analizy firmy Elliptic opublikowanej 9 listopada. Na razie przez takie tokeny przeszło ok. 117 tys. NEAR, czyli około 430 tys. dolarów.
Elliptic, firma zajmująca się analizą blockchainów, opisuje technikę, którą wcześniej zaobserwowała przy praniu łupu z ataku na giełdę Bybit w 2025 roku. Tym razem dotyczy ona kradzieży z Binance z 29 października, którą Elliptic szacuje na 6,4 mld dolarów. FBI wskazało jako sprawców północnokoreańską grupę TraderTraitor. Wcześniej pisaliśmy o tym, że po ataku klienci wypłacili z giełdy netto 5,3 mld dolarów.
Sześć tokenów w sieci NEAR
Między 5 a 7 listopada napastnicy stworzyli w sieci NEAR co najmniej sześć nowych memecoinów: FUK, OLCCL, MEILI, MMLI, DABI i SINU. Każdy kosztował ok. 25 NEAR (około 90 dolarów) i został sparowany z NEAR we własnej puli płynności na zdecentralizowanej giełdzie. Jeden z tokenów miał logo z wizerunkiem Elona Muska i hasłem „Elon 2028 President”; Elliptic zastrzega, że nic nie wskazuje na jego związek z tymi tokenami.
Jak działa metoda
Jedna grupa portfeli wpłacała skradzione środki do puli i otrzymywała w zamian token. Druga grupa sprzedawała ten token z powrotem do puli i wypłacała „czyste” NEAR. Środki nie przechodzą więc bezpośrednio z portfela na portfel, a odbiorcy wyglądają jak zwykli traderzy, którzy zarobili na handlu.
Według Elliptic nikt spoza sieci hakerów praktycznie nie handlował tymi tokenami: jedyna zewnętrzna aktywność to drobne zakupy FUK w pierwszym dniu, poniżej 1% jego obrotu. Każdy token był używany od razu i porzucany; żaden z sześciu nie był notowany po 8 listopada, a twórcy czterech wycofali pozostałą płynność. Pięć z sześciu portfeli tworzących tokeny zasilono pieniędzmi z wcześniejszego tokenu, 2–13 minut przed startem kolejnego.
Do pul trafiło w sumie ok. 117 tys. NEAR, a prawie tyle samo wypłynęło z portfeli odbiorczych — w dużej części do stablecoinów lub na most międzyłańcuchowy. Ok. 11,8 mln NEAR (43,7 mln dolarów) z kradzieży nie zostało jeszcze ruszone.
Tron i Solana
Elliptic wskazuje, że podobny, bezwartościowy token pojawił się 2 listopada w sieci Tron. Dzień później skradzione SOL zamieniano w Solanie na słabo notowane tokeny, a potem na USDC i przenoszono do innych sieci. W przypadku Bybit w 2025 roku w ten sposób przepuszczono co najmniej 24 mln dolarów.
Elliptic podkreśla, że ślad pozostaje widoczny w blockchainie — metoda spowalnia śledczych, ale nie ukrywa środków. Firma radzi, by instytucje nie traktowały wpływów z puli płynności jako czystych, zwłaszcza gdy w grę wchodzą świeżo utworzone tokeny, a listę adresów powiązanych z atakiem udostępnia publicznie.
