Хакеры из КНДР создали мем-коины для отмывания украденных у Binance средств
Северокорейские хакеры выпустили мем-коины для отмывания криптовалют, похищенных при взломе Binance на $6,4 млрд. Через шесть токенов они перевели около $430 000, выяснили аналитики Elliptic.
Так злоумышленники разрывали прямую связь между адресами с украденными средствами и кошельками, куда деньги в итоге поступали. Для этого они задействовали ничего не стоящие монеты и пулы ликвидности децентрализованных бирж.
По данным исследователей, с 5 по 7 ноября в сети NEAR появились шесть мем-коинов: FUK, OLCCL, MEILI, MMLI, DABI и SINU. Внешне они ничем не отличались от обычных спекулятивных монет: животные на логотипах, шуточные названия и даже портрет Илона Маска.
Запуск каждого актива обошелся примерно в 25 NEAR, или $90.
Как работает схема
Для каждого мем-коина злоумышленники открывали пул ликвидности в паре с NEAR. Одни подконтрольные адреса покупали в нем токены за похищенную криптовалюту, а другие сбывали токены в тот же пул и забирали NEAR.
В итоге деньги приходили на новые кошельки не напрямую с адресов, связанных со взломом, а как выручка от операций на децентрализованной бирже.
Аналитики установили, что почти все сделки с шестью монетами совершили кошельки из одной сети. Сторонние пользователи лишь несколько раз купили FUK в первый день — менее 1% от всего его оборота.
Каждый токен задействовали ненадолго. Первые сделки проходили в течение трех часов после выпуска, а основная активность укладывалась в один день. К 8 ноября торги всеми шестью монетами прекратились. Из четырех пулов злоумышленники забрали оставшуюся ликвидность.
Всего через схему прошло около 117 000 NEAR ($430 000). Почти столько же вскоре ушло с адресов получателей — в основном через обмен на стейблкоины или кроссчейн-мосты.
Около 11,8 млн NEAR ($43,7 млн) из похищенного к моменту публикации отчета оставались без движения.
Метод уже использовали при взломе Bybit
Специалисты Elliptic впервые описала эту схему, когда отслеживала отмывание средств, похищенных у Bybit в 2025 году. Тогда хакеры выпустили токен в сети Tron, создали для него пул ликвидности в паре со стейблкоином и прогнали через него не менее $24 млн.
После атаки на Binance тот же прием применили 2 ноября — снова в Tron. Днем позже злоумышленники перешли к Solana, но вместо создания новых монет воспользовались уже существующими малоликвидными токенами.
Исследователи подчеркнули, что такая тактика не обеспечивает анонимности: каждая транзакция записана в блокчейне, и ее можно отследить. Однако лишние переводы замедляют расследование и дают хакерам время, пока средства не пометят как связанные со взломом.
Масштабы отмывания средств
В отдельном отчете Elliptic оценила объем похищенного у Binance в $6,43 млрд. Для перемещения этих средств хакеры задействовали более 20 000 кошельков в 16 блокчейнах и как минимум 36 сервисов, проведя свыше 65 000 транзакций.
По состоянию на 7 ноября на связанных со взломом адресах оставалось около $3,1 млрд, преимущественно в Ethereum и биткоине. Еще $2,85 млрд заморозили или изъяли. Исследователи отметили, что злоумышленники успели обналичить лишь незначительную часть украденного.
Напомним, в начале ноября сбой в THORChain замедлил отмывание похищенных у Binance средств. Протокол приостановил работу в десяти блокчейнах из-за ошибки при реорганизации блока Ethereum.