Северокорейские отмыватели денег потратили три дня на прошлой неделе, создавая и уничтожая собственные мем-коины на блокчейне NEAR, чтобы переместить средства, украденные у Binance 29 октября, сообщает Elliptic в обновлении. Шесть токенов — FUK, OLCCL, MEILI, MMLI, DABI и SINU — были созданы в период с 5 по 7 ноября и использованы для перевода примерно 117 000 NEAR (около $430 000) через сеть. ФБР приписывает взлом Binance группировке TraderTraitor.
Как работали монеты NEAR
Каждый токен был создан примерно за 25 NEAR, или около $90 — достаточно дешево, чтобы их сжечь. Создатели добавляли каждый токен в пару с NEAR в собственный пул ликвидности, покупая на украденные NEAR, а затем продавали обратно через второй набор кошельков. Торговля была интенсивной в течение нескольких часов, а затем прекратилась. Ни один из шести токенов не торговался с 8 ноября. Днем того же дня создатели четырех токенов вывели оставшуюся ликвидность.
Цепочка кошельков показывает, что это не шесть независимых проектов. Пять из шести создателей были профинансированы кошельком, который только что продал предыдущий токен, за две–тринадцать минут до запуска следующего. Это цепь, а не портфель.
Elliptic уже видела это раньше
Elliptic впервые зафиксировала метод самодельных токенов во время кражи у Bybit в феврале 2025 года, также приписываемой TraderTraitor, когда бесполезный токен на Tron помог переместить как минимум $24 млн. В случае Binance фирма сообщает, что также наблюдала эту технику на Tron и близкий вариант на Solana — там используются существующие малоликвидные токены, а не только что созданные.
Масштаб отслеживания больше, чем предполагают шесть монет NEAR. Elliptic заявляет, что отследила более 20 000 кошельков в 16 блокчейнах, как минимум 36 сервисов и не менее 65 000 транзакций с момента кражи.
Куда ушли остальные деньги
Основная часть отмывания уже давно вышла за пределы NEAR. В обновлении Elliptic говорится, что примерно 3000 BTC (около $225 млн) находятся на новых биткоин-адресах, конвертированных из других украденных активов. Все украденные SOL уже обменяны, переведены через мосты или смешаны, и значительная часть маршрута XRP попала в биткоин. Около 11,8 млн NEAR стоимостью $43,7 млн все еще не перемещены.
Binance оценила кражу в $6,34 млрд и поэтапно возобновила вывод средств, заявив, что покрыла убытки клиентов из собственных средств. Около $2,85 млрд из первоначальной добычи заморожено. Блокчейн-фирмы связали взлом с TraderTraitor в течение дня, хотя Binance заявила, что атака началась с фальшивого собеседования и длилась пять месяцев, прежде чем какие-либо монеты были перемещены.
Малый вывод, длинный хвост
Несмотря на все объемы, Elliptic говорит, что на данный момент, вероятно, обналичена незначительная часть украденных средств. Фирма оценила общий объем криптовалют, украденных Северной Кореей в 2025 году, более чем в $2 млрд, что обусловлено эксплойтом Bybit на $1,46 млрд, а совокупный известный итог превышает $6 млрд еще до атаки на Binance.
Ближайший вопрос заключается в том, станут ли примерно 11,8 млн NEAR, остающиеся на месте, следующей партией одноразовых токенов, или отмыватели переместят их совсем в другое место. Отслеживание кошельков Elliptic пока не показало движения.
