Хакеры из КНДР использовали мемкоины для отмывания средств после взлома Binance

Что произошло

Между 5 и 7 ноября хакеры создали как минимум шесть токенов в сети NEAR и направляли через них украденные средства. Для перемещения криптовалюты между кошельками они использовали пулы ликвидности на децентрализованных биржах.

Сначала одна группа кошельков обменивала украденные токены NEAR на новые мемкоины, после чего другая группа продавала мемкоины обратно в пулы за NEAR. Такой подход позволял обходиться без прямых переводов между кошельками, хотя операции оставались отслеживаемыми в блокчейне.

Как была выстроена схема

По данным Elliptic, пять из шести создателей токенов получили финансирование за счёт доходов от предыдущих продаж за две—13 минут до следующего запуска. Это связало токены в последовательную цепочку транзакций.

Новые активы почти не привлекли внешних трейдеров и вскоре после запуска были заброшены.

Контекст

Elliptic сообщила, что аналогичный способ отмывания средств применялся после взлома Bybit на $1,5 млрд в 2025 году. Тогда связанные с КНДР участники перевели как минимум $24 млн через новый токен в сети TRON.

На момент анализа Elliptic около 11,8 млн украденных во время взлома Binance токенов NEAR оставались неподвижными. Компания оценила их в $43,7 млн.