Північнокорейські хакери, які стоять за нещодавнім зламом Binance, вдаються до дедалі винахідливіших методів відмивання вкрадених коштів. Зокрема, аналітична компанія Elliptic виявила, що зловмисники створили шість власних мемкоїнів для приховування близько 430 000 доларів США, отриманих від атаки.
Ключові моменти:
- Elliptic зафіксувала створення шести одноразових мемкоїнів на блокчейні NEAR для відмивання коштів після зламу Binance.
- Між 5 та 7 листопада через пули ліквідності цих токенів пройшло близько 430 000 доларів США в криптовалюті NEAR.
- Створені всього за 90 доларів США кожен, ці токени майже не викликали інтересу у покупців поза колом самих хакерів.
- Подібна схема вже дозволила відмити щонайменше 24 мільйони доларів США після зламу Bybit.
Як мемкоїни допомагають приховати сліди?
Північнокорейські хакери використовують прості пули ліквідності для відмивання коштів, ускладнюючи відстеження свого “сліду”. Пул ліквідності — це, по суті, спільний резерв, де дві криптовалюти обмінюються безпосередньо, без посередників.
У цьому випадку пул містить криптовалюту NEAR та мемкоїни, створені спеціально для цієї операції, які ніхто інший не бажає купувати. Схема відмивання коштів виглядає так: спочатку один гаманець купує мемкоїн за вкрадені NEAR, а потім інший гаманець перепродає його в пулі, отримуючи натомість “чисті” NEAR.
Важливо, що вкрадені кошти жодного разу не переказуються безпосередньо з одного гаманця на інший. Пул слугує своєрідним “шлюзом”, а кінцевий гаманець отримувача виглядає як звичайний трейдер, який успішно продав свій токен. Для зовнішніх спостерігачів, наприклад, платіжної платформи, яка прийме NEAR з такого пулу, це виглядатиме як звичайна транзакція від клієнта, який продав мемкоїн з прибутком.
Шість створених мемкоїнів мають вигадливі назви та логотипи, зокрема “FUK”, “SINU”, а також токен з зображенням Ілона Маска під назвою “Elon 2028 President”.
Вартість створення кожного такого токена становить близько 25 NEAR, або приблизно 90 доларів США. Це дозволяє хакерам масово створювати їх і позбуватися після використання.
Аналітики Elliptic також зазначають, що майже весь обсяг транзакцій цих шести мемкоїнів здійснювався між гаманцями, що належать до групи зловмисників. У п’яти з шести випадків вони становили 100% торгового обсягу.
Єдині зовнішні покупки стосувалися токена FUK і становили менше 1% його обсягу в перший день. Кожен мемкоїн активно торгувався протягом кількох годин після запуску, а потім був остаточно покинутий. Ланцюжок виглядає замкненим: п’ять із шести токенів були оплачені гаманцем, який продавав попередній токен лише за кілька хвилин до цього, фактично фінансуючи створення наступного.
Крапля в морі 6,4 мільярдів доларів
Після зламу Bybit у 2025 році та сама група хакерів відмила щонайменше 24 мільйони доларів США через безцінний токен на блокчейні Tron.
У випадку з Binance, ця тенденція набирає обертів: вже 2 листопада було виявлено подібний токен на Tron, а наступного дня — його варіант на Solana. ФБР також вимагало від THORChain заблокувати 242 мільйони доларів, відмитих через Tron.
Elliptic пояснює, що ця техніка спрямована не на повне приховування коштів, а на уповільнення процесу їх відстеження. Кожен етап транзакцій залишається записаним у публічному блокчейні, доступному для перегляду.
З 6,4 мільярдів доларів, викрадених з Binance, ці мемкоїни становлять лише невелику частину. Водночас близько 11,8 мільйонів NEAR, або 43,7 мільйони доларів, ще не були використані.
Використані інструменти для запуску токенів, торгові платформи та гаманці не порушували жодних правил, оскільки хакери використовували їх так само, як і будь-які інші користувачі.
Висновок для платформ: гаманець, кошти якого надійшли з пулу ліквідності, не є “чистим” за замовчуванням, попереджає Elliptic, і може бути лише за два кроки від крадених коштів.
При вартості 90 доларів за мемкоїн, шари відмивання коштів будуть продовжувати нашаровуватися, щоразу вимагаючи від слідчих більше часу. Решта здобичі, ймовірно, чекає на відмивання за допомогою штучного інтелекту, по одному одноразовому токену за раз.
Оригінал статті: journalducoin.com