Северокорейские хакеры создали шесть мемкоинов в блокчейне NEAR и пропустили через них около $430 000 из средств, похищенных при взломе Binance. Ущерб от этой атаки оценивают в $6,3 млрд. Об этом сообщили аналитики блокчейн-компании Elliptic.
С 5 по 7 ноября злоумышленники выпустили в сети NEAR как минимум шесть токенов. Затем они использовали пулы ликвидности на децентрализованных биржах, чтобы переводить украденные средства между кошельками. Сами токены почти не привлекли внешних трейдеров и были заброшены вскоре после запуска.
Механика выглядела так: одна группа кошельков обменивала похищенные токены NEAR на новые мемкоины, а другая продавала эти мемкоины обратно в пулы и получала NEAR. Благодаря этому хакерам не приходилось отправлять деньги напрямую с кошелька на кошелёк. Однако транзакции остались видимыми в блокчейне, и отследить их аналитикам удалось.
В Elliptic обнаружили и другую зацепку. Пять из шести создателей токенов получили финансирование от продажи предыдущих токенов буквально за несколько минут до очередного запуска. Так мемкоины оказались связаны в единую цепочку транзакций.
Сооснователь Elliptic Том Робинсон (Tom Robinson) отметил в отчёте, что такие преступники редко ограничиваются одним приёмом. Они накладывают друг на друга множество дешёвых методов, и каждый осложняет дальнейшее расследование.
Эту же технику применяли после взлома Bybit в 2025 году, когда ущерб составил $1,5 млрд. Тогда связанные с КНДР хакеры провели не менее $24 млн через недавно созданный токен в блокчейне TRON.
На момент анализа Elliptic около 11,8 млн токенов NEAR, украденных при взломе Binance, оставались нетронутыми. Аналитики оценили их в $43,7 млн.
Мнение ИИ
С точки зрения машинного анализа данных, $430 000 составляют около 0,007% от $6,3 млрд. Мемкоины в этой схеме выглядят скорее тонким слоем маскировки, чем основным каналом вывода денег. Крупные суммы группировка Lazarus проводит через людей: ZachXBT раскрыл китайскую сеть, которая отмыла для хакеров из КНДР более $1 млрд. По данным Chainalysis, они похитили не менее $6,75 млрд, а отмывают такие суммы поэтапно.
Есть и техническое ограничение. Пул заброшенного токена мелкий, и крупный обмен в нём заметно двигает курс. Поэтому 11,8 млн нетронутых NEAR вряд ли удастся перевести через такие пулы без следа. Какой канал хакеры выберут для основной части средств?
▼ Самые интересные и важные новости на нашем канале в Telegram