Северокорейские отмыватели прячут деньги от взлома Binance в одноразовых мем-монетах

Северокорейские отмыватели начали использовать одноразовые мем-монеты, чтобы замаскировать доходы от взлома Binance на сумму около 6,3 млрд долларов ≈ 18,9 млрд BYN. Компания Elliptic выявила эту схему на трёх блокчейнах: Tron, Solana и Near. По её данным, такие токены дёшевы в создании и легко воспроизводятся, поэтому отслеживать похищенные активы становится труднее.

Как работают токены-однодневки

Том Робинсон, соучредитель и главный научный сотрудник Elliptic, пояснил 9 ноября, что на Tron и Near отмыватели запускали новые монеты, а Solana использовалась для уже существующих активов. На Near одна группа кошельков покупала свежие монеты за украденную криптовалюту через пулы ликвидности. Другие кошельки продавали монеты обратно в те же пулы и получали почти равную выручку, при этом адреса отправителя и получателя были разделены.

Шесть токенов, созданных с 5 по 7 ноября, обращались на сумму около 117 000 NEAR (430 000 долларов ≈ 1,29 млн BYN), при почти полном отсутствии внешней торговли. Запуск каждого обходился примерно в 90 долларов ≈ 270 BYN. Пять создателей получили финансирование от предыдущих продаж токенов незадолго до запуска новых.

Робинсон объяснил подход так: «Северокорейские отмыватели редко полагаются на одну-единственную технику. Вместо этого они наслаивают множество недорогих методов, каждый из которых добавляет немного больше задержки. Самодельные мем-токены — это просто ещё один такой слой».

Кто стоит за операцией

31 октября ФБР возложило ответственность за кражу с Binance на Северную Корею, назвав операцию «Tradertraitor» и описав её как спонсируемую государством группировку, нацеленную на криптовалютные компании. 3 ноября Северная Корея отвергла причастность. Ким Ё Чон, сестра лидера Ким Чен Ына, назвала обвинения ФБР «серьёзной политической провокацией», направленной на подрыв репутации страны.

Гонка с заморозкой средств

Chainalysis обнаружила, что средства, похищенные у Binance 29 октября, смешались с доходами от кражи на Bitget в сентябре, и приписала взлом группе «Tradertraitor». Её оценка опиралась на активность в блокчейне в первые часы после атаки. Злоумышленник пытался избежать заморозки и быстро конвертировал средства: за почти 20 минут активы на 325 млн долларов ≈ 974 млн BYN были обменены на стейблкоины и затем на эфир примерно на 285 млн долларов ≈ 854 млн BYN. Эфир, в отличие от стейблкоинов, эмитент заморозить не может.

Ранее Elliptic отследила схему с похожим бесполезным токеном в сети Tron 2 ноября, а на следующий день похищенные средства в Solana прошли через малоликвидные токены. После кражи на Bybit в 2025 году аналогичной схемой прошло не менее 24 млн долларов ≈ 71,9 млн BYN.

Тысячи кошельков и путь к биткоину

К 2 ноября похищенные активы прошли через примерно 12 000 кошельков в 11 блокчейнах. Фиксированные временные интервалы и повторные попытки неудачных операций без корректировки указывали на обычную автоматизацию. Признаков решений под управлением ИИ Elliptic не нашла.

В обновлении от 7 ноября Elliptic насчитала более 20 000 кошельков, 16 блокчейнов и не менее 65 000 транзакций. Конвертация активов, включая Solana, XRP и Tron, дала около 2300 биткоинов стоимостью 175 млн долларов на тот момент. К 9 ноября сумма достигла примерно 3000 биткоинов на 225 млн долларов.

Elliptic также зафиксировала поступление около 7000 эфиров (примерно 15 млн долларов) в Tornado Cash, миксер, который распределяет объединённые депозиты по разным адресам. По оценке компании, обналичена, вероятно, лишь незначительная часть средств. Робинсон предупредил, что кошелёк, получивший деньги из пула ликвидности, нельзя считать «чистым» по умолчанию: он может находиться всего в двух шагах от похищенных средств.