Хакеры, взломавшие Binance, отмывают похищенные средства с помощью мем-монет

Группа, похитившая из Binance примерно 6,3 миллиарда долларов, начала выпускать мем-монеты. Их никто не должен покупать. Они нужны лишь для того, чтобы украденные деньги можно было где-то спрятать на несколько часов.

Новость быстро распространилась в сети X, где StalkHQ обратил внимание на запуск мем-монет, а подробности приводятся в опубликованном в понедельник отчете компании Elliptic, занимающейся аналитикой блокчейна. По данным Elliptic, отмыватели денег, работающие на северокорейскую группировку TraderTraitor, создали на платформе NEAR как минимум шесть одноразовых токенов в период с 5 по 7 ноября. На одном из них изображена обезьяна в розовом бантике. На другом — утка, обернутая флагом США. На третьем — Илон Маск под баннером «Elon 2028 President», который, по словам Elliptic, не имеет никакого отношения к Маску. Среди названий — FUK и SINU.

Суммы невелики. Через эти шесть токенов прошло около 117 000 NEAR, что составляет примерно 430 000 долларов — менее 0,01% от общей суммы похищенных средств. Особое внимание стоит обратить на сам метод.

Мы уже освещали сам взлом, когда он произошёл. Вкратце: 29 октября злоумышленники вывели миллиарды за примерно 20 минут, а генеральный директор Ричард Тенг позже заявил, что злоумышленник использовал механизм самоуничтожения, который по ходу дела удалял инструменты и следы. Через два дня ФБР назвало группу TraderTraitor. Это та же самая группа, которую бюро обвинило в краже 1,4 миллиарда долларов у Bybit в 2025 году.

Как бесполезный токен «отмывает» реальные деньги

Хитрость проста и дешёва. Запуск каждого токена обходился примерно в 25 NEAR, что составляет около 90 долларов. Отмыватели объединяют его с реальным активом, таким как NEAR, в пуле ликвидности на децентрализованной бирже. Одна группа кошельков вносит похищенные средства в пул и получает взамен новый токен. Вторая группа кошельков продает этот токен в тот же пул и извлекает оттуда «чистый» NEAR.

Похищенные деньги никогда не перемещаются напрямую из первой группы кошельков во вторую. Пул находится посередине, а кошельки-получатели выглядят как обычные трейдеры, которые с прибылью продали мем-монету. Соучредитель Elliptic Том Робинсон прямо заявил в X: монеты служат прикрытием, но каждый шаг фиксируется в цепочке блоков, и Elliptic отследила его.

С доказательствами Elliptic о том, что у этих токенов никогда не было реального рынка, трудно поспорить. Кошельки в сети отмывания денег совершали каждую продажу всех шести токенов и покупали каждую единицу пяти из них. Пятеро из шести создателей получали финансирование от кошелька, который буквально за несколько минут до этого продавал предыдущий токен, так что каждая монета оплачивала следующую. Все шесть токенов были впервые проданы в течение трёх часов после запуска, а затем сброшены. С 8 ноября ни один из них не торговался, а создатели четырёх из них вывели оставшуюся ликвидность в тот же день после обеда.

Ничего нового, просто масштабнее

Северная Корея уже делала это раньше. Компания Elliptic впервые обнаружила подобную схему после взлома биржи Bybit, когда через бесполезный токен на Tron прошло не менее 24 миллионов долларов. На этот раз преступная группировка приступила к делу в течение нескольких дней. 2 ноября появился токен Tron, а 3 ноября украденные SOL были обменены на малоликвидные токены Solana, после чего проданы за USDC. Партия токенов NEAR появилась позднее на той же неделе.

Мем-монеты служат неплохой прикрытием, поскольку каждый день запускаются тысячи таких токенов, и большинство из них исчезает в течение нескольких дней. Кошелек с недавно появившимся мультяшным токеном в истории транзакций выглядит как спекулянт, а не как отмыватель денег, если только кто-то не проверит, откуда взялись эти деньги.

Побочное шоу по сравнению с основной машиной

Компания Elliptic четко заявляет, что этот уровень ничего не скрывает. Он замедляет работу следователей, а в гонке по отмыванию денег задержка и есть главная цель.

Более крупная операция выглядит иначе. По подсчётам Elliptic, в ней задействовано более 20 000 кошельков в 16 блокчейнах и как минимум 36 сервисах. В начале недели компания сообщила, что средства перемещаются на новый кошелек примерно каждые 25 секунд, и Робинсон охарактеризовал это как отмывание на автопилоте, вероятно, автоматизированное с контролем со стороны человека. Elliptic предупредила, что статические списки и разовые проверки не позволят выявить подобную сеть. Chainalysis также указала на автоматизацию, лежащую в основе отмывания.

Открыты и другие маршруты. С воскресенья в Tornado Cash поступило около 7 000 ETH, что составляет примерно 15 миллионов долларов. Около 3 000 BTC, что составляет примерно 225 миллионов долларов, сейчас находится на новых биткоин-адресах, а часть похищенных средств прошла через THORChain, о чем подкастеры уже обсуждали в контексте выводов ФБР.

Часть похищенных средств так и не успела покинуть систему. По данным ФБР, 2,85 млрд долларов были заморожены в цепочке блокчейна компаниями Tether, Circle, Ripple, Arbitrum и Optimism. TRM оценивает эту сумму ближе к 2,7 млрд долларов, а Binance — примерно в 3 млрд долларов. Elliptic также сообщила, что 11,8 млн похищенных NEAR на сумму около 43,7 млн долларов пока не перемещены.

Одно предостережение от специалистов, которые профессионально отслеживают деятельность Северной Кореи. Майкл Барнхарт из DTEX сообщил Recorded Future News, что TraderTraitor, как правило, быстро передает деньги китайским сетям по отмыванию денег, поэтому часть того, что аналитики видят в цепочке блоков, может быть связана с деятельностью этих сетей. Elliptic по-прежнему относит активность с мем-монетами к Северной Корее.

На что следует обратить внимание командам по обеспечению нормативно-правового соответствия

Elliptic советует перестать по умолчанию считать средства в пулах ликвидности «чистыми». Кошелек, пополненный через своп, может находиться всего в двух шагах от украденных денег. Предупреждающими признаками являются токен, созданный в последние несколько дней; пул, в котором участвует лишь небольшое количество трейдеров; кошельки, которые только покупают или только продают; а также новые кошельки, пополненные круглыми суммами незадолго до начала торгов. Компания также публикует бесплатный черный список адресов, связанных с взломом Binance, и заявляет, что постоянно его обновляет.

На данный момент следует отслеживать именно эти нетронутые 11,8 млн NEAR.