Хакери, які зламали Binance, відмивають викрадені кошти за допомогою мем-монет

Угруповання, яке вивело з Binance приблизно 6,3 млрд доларів, почало випускати мем-монети. Їх ніхто не має наміру купувати. Вони існують лише для того, щоб вкрадені гроші мали де сховатися на кілька годин.

Ця історія швидко поширилася в мережі X, де StalkHQ звернув увагу на запуск мем-монет, а деталі наводяться у понеділковому звіті аналітичної компанії Elliptic, що спеціалізується на блокчейні. За даними Elliptic, відмивальники, які працюють на північнокорейську групу TraderTraitor, створили щонайменше шість одноразових токенів на платформі NEAR у період з 5 по 7 листопада. На одному зображено мавпу з рожевим бантиком. На іншому — качку, загорнуту в американський прапор. На ще одному — Ілон Маск під банером «Elon 2028 President», що, за словами Elliptic, не має жодного стосунку до Маска. Серед назв — FUK та SINU.

Суми невеликі. Через ці шість токенів пройшло близько 117 000 NEAR, що становить приблизно 430 000 доларів — це менше ніж 0,01% від загальної суми викрадених коштів. Уваги заслуговує саме сам метод.

Ми вже розповідали про сам злом, коли він стався. Коротко: 29 жовтня зловмисники вивели мільярди за приблизно 20 хвилин, а генеральний директор Річард Тенг пізніше заявив, що зловмисник використав механізм самознищення, який знищив інструменти та сліди під час операції. Через два дні ФБР назвало групу TraderTraitor. Це та сама група, яку бюро звинуватило у крадіжці 1,4 млрд доларів з Bybit у 2025 році.

Як нікчемний токен «відмиває» справжні гроші

Хитрість проста і дешева. Запуск кожного токена коштував приблизно 25 NEAR, або близько 90 доларів. Відмивачі поєднують його з реальним активом, таким як NEAR, у пулі ліквідності на децентралізованій біржі. Одна група гаманців вносить вкрадені кошти в пул і отримує натомість новий токен. Друга група гаманців продає цей токен у той самий пул і вилучає звідти «чисті» NEAR.

Вкрадені гроші ніколи не переходять безпосередньо з першої групи гаманців до другої. Між ними стоїть пул, а гаманці-одержувачі виглядають як звичайні трейдери, які з прибутком продали мем-монету. Співзасновник Elliptic Том Робінсон чітко висловився в X: монети є лише прикриттям, але кожен крок відбувається в ланцюжку, і Elliptic відстежила його.

Докази Elliptic про те, що ці токени ніколи не мали реального ринку, важко заперечити. Гаманці в мережі відмивання здійснили всі продажі всіх шести токенів і викупили кожну одиницю п’яти з них. П’ять із шести творців отримували фінансування від гаманця, який за кілька хвилин до того продавав попередній токен, тож кожна монета оплачувала наступну. Усі шість токенів були спочатку продані протягом трьох годин після запуску, а потім скинуті на ринок. Жоден із них не торгувався з 8 листопада, а творці чотирьох із них вивели залишки ліквідності того ж дня в другій половині дня.

Це не новина, просто масштаб більший

Північна Корея вже робила це раніше. Компанія Elliptic вперше помітила це після хакерської атаки на Bybit, коли через безвартісний токен на Tron пройшло щонайменше 24 мільйони доларів. Цього разу зловмисники встигли це зробити за лічені дні. 2 листопада з’явився токен Tron, а 3 листопада вкрадені SOL були обміняні на малоліквідні токени Solana, після чого продані за USDC. Партія NEAR з’явилася пізніше того ж тижня.

Мем-монети слугують непоганим прикриттям, оскільки щодня з’являються тисячі таких монет, а більшість з них зникає за лічені дні. Гаманець з новим мультяшним токеном у історії виглядає як спекулянт, а не як відмивач грошей, якщо тільки хтось не перевірить, звідки взялися ці кошти.

Додаткова функція до основної системи

Компанія Elliptic чітко зазначає, що цей рівень нічого не приховує. Він уповільнює роботу слідчих, а в гонці з відмивання грошей головне — саме затримка.

Більша операція виглядає інакше. За підрахунками Elliptic, зараз вона охоплює понад 20 000 гаманців у 16 блокчейнах та щонайменше 36 сервісах. На початку тижня компанія повідомила, що кошти перекидаються на новий гаманець приблизно кожні 25 секунд, і Робінсон описав це як відмивання на автопілоті, ймовірно, автоматизоване під наглядом людини. Elliptic попередила, що статичні списки та разові перевірки не виявлять такого кластера. Chainalysis також вказала на автоматизацію, що стоїть за відмиванням.

Існують й інші шляхи. З неділі в Tornado Cash надійшло близько 7 000 ETH, що становить приблизно 15 мільйонів доларів. Близько 3 000 BTC, що становить приблизно 225 мільйонів доларів, зараз знаходяться на нових біткойн-адресах, а частина вкрадених коштів пройшла через THORChain, про що подкастери вже дискутували в контексті висновків ФБР щодо авторства.

Частина викрадених коштів так і не була використана. За даними ФБР, 2,85 млрд доларів було заморожено в ланцюжку компаніями Tether, Circle, Ripple, Arbitrum та Optimism. TRM оцінює цю суму ближче до 2,7 млрд доларів, а Binance — приблизно в 3 млрд доларів. Elliptic також повідомила, що 11,8 млн вкрадених NEAR на суму близько 43,7 млн доларів ще не були переміщені.

Одне застереження від тих, хто професійно відстежує Північну Корею. Майкл Барнхарт із DTEX повідомив Recorded Future News, що TraderTraitor, як правило, швидко передає гроші китайським мережам з відмивання коштів, тому частина того, що аналітики бачать у блокчейні, може бути результатом діяльності цих мереж. Elliptic все ще відносить активність з мем-монетами до Північної Кореї.

На що слід звертати увагу командам з комплаєнсу

Elliptic радить перестати за замовчуванням вважати кошти в пулах ліквідності «чистими». Гаманець, поповнений через своп, може бути лише на два кроки від вкрадених коштів. Ознаками ризику є токен, створений протягом останніх кількох днів; пул, у якому бере участь лише кілька трейдерів; гаманці, які лише купують або лише продають; а також нові гаманці, поповнені круглими сумами незадовго до початку торгів. Компанія також публікує безкоштовний чорний список адрес, пов’язаних із злом Binance, і заявляє, що постійно його оновлює.

Наразі слід стежити за тими 11,8 мільйонами NEAR, які досі не були використані.