Северокорейцы отмывают деньги Binance через мемкоины с Маском

Хакерская группа TraderTraitor, связанная с КНДР и подозреваемая во взломе Binance на 6,3 млрд долларов, выпускает одноразовые мемкоины и гоняет через них краденое. На картинках к токенам красуется Илон Маск под плакатом «Илон 2028 Президент».

Шесть токенов за три дня

Блокчейн-аналитики из компании Elliptic выпустили отчёт о новой уловке северокорейцев, сообщает xrust. В сети NEAR в конце прошлой недели за три дня появилось минимум шесть токенов: FUK, MEILI, SINU и другие. Оформлены они по всем канонам жанра: обезьянка с розовым бантиком, тот самый Маск на предвыборном плакате. Каждый токен стоил около 90 долларов. Через эту шестёрку прошло около 117 тысяч NEAR, сейчас это примерно 430 тысяч долларов.

Как это работает

Отмыватели создают токен и запускают его в пул ликвидности на децентрализованной бирже в паре с другим активом, например с NEAR или стейблкоином. Одна группа кошельков покупает токен на украденные деньги. Другая, тоже своя, спустя время продаёт его обратно в тот же пул и забирает парный актив. Деньги идут не напрямую от покупателей к продавцам, а через пул. Со стороны кажется, что обычные трейдеры удачно перепродали токен с прибылью.

Соучредитель Elliptic Том Робинсон объясняет, что такие токены делают на один раз. Посторонние их не покупают, а цену выставляют сами отмыватели.

Признаков «одноразовости» набралось немало. Все продажи шести токенов совершили кошельки из сети отмывания, посторонние сделки ограничились мелкими покупками FUK в первый день. Пять из шести создателей токенов получили деньги от кошелька, который за несколько минут до запуска нового токена продал предыдущий. Выручка с одного шла на следующий. Минимум три четверти торгов каждого токена уложились в один день, а с воскресенья не торгуется ни один.

Капля в море

Для масштаба: 430 тысяч долларов составляют меньше 0,01% от 6,3 млрд. Мемкоины здесь лишь один из инструментов. По оценке Elliptic, вся операция охватывает больше 20 тысяч кошельков в 16 блокчейнах и не менее 36 сервисов: кроссчейн-мосты, кредитные хранилища, пул конфиденциальности Privacy Cash.

В сети Tron аналитики нашли самодельный токен, созданный только ради отмывания. В Solana схема другая: украденные SOL меняют на уже существующие, плохо торгуемые токены. Около 7000 ETH, примерно 15 млн долларов, уже ушли в Tornado Cash. Ещё около 12 200 ETH (29 млн долларов), в основном выручка от украденных SOL, прошли через межсетевую биржу THORChain и превратились в биткоины, следом пошла большая часть украденных XRP. Именно через THORChain северокорейцы уже прогоняли около 1,2 млрд долларов после взлома Bybit.

Конечная точка, судя по всему, биткоин. Около 3000 BTC (225 млн долларов) лежат на новых адресах, около 130 BTC (10 млн) прошли через CoinJoin-транзакции, которые смешивают монеты многих пользователей и рвут связь между входом и выходом. По опыту Bybit, эфир обменяют на биткоины и обналичат через внебиржевых брокеров за несколько месяцев.

Старый трюк

Впервые Elliptic увидела мемкоины в таком качестве при отмывании денег после взлома Bybit в феврале 2025 года (1,4 млрд долларов). Тогда минимум 24 млн ушли через бесполезный токен на Tron. Мемкоины были на пике моды, Дональд Трамп запустил свой TRUMP месяцем раньше, а соучредитель CoinGecko Бобби Онг позже назвал тот момент вершиной популярности жанра.

Сами аналитики оговариваются, что метод не прячет деньги: каждый шаг записан в блокчейне и виден следователям. Он лишь замедляет тех, кто следит. Северокорейцы вообще редко ставят на один способ, им важнее набрать побольше дешёвых приёмов, каждый из которых добавляет задержку.

Что не удалось вывести

Около 3 млрд долларов TraderTraitor потерял почти сразу: Tether, Circle и другие эмитенты заморозили связанные с кражей активы. Tether заблокировал украденные USDT в Ethereum через 37 минут после их появления в кошельке злоумышленника. Отрасль за такую оперативность критикуют: выходит, она держится на том же централизованном контроле, что и обычные банки. Binance, к слову, работает и для российских пользователей, так что история касается и их.

Мемкоины давно приучили к тому, что известное имя на картинке работает как приманка. Бывшего мэра Нью-Йорка Эрика Адамса в январе обвинили в спекуляциях после того, как его токен NYC подскочил с 0,12 до почти 0,60 доллара и меньше чем за час рухнул ниже стартовой цены. Токен HAWK «девушки Hawk Tuah» разогнался до капитализации в 490 млн долларов и потерял больше 90% за несколько часов. Мемкоин LAPTOP Хантера Байдена в сентябре потерял около 98% бумажной стоимости, и по данным Bubblemaps, 80% его трейдеров остались в минусе.

Источники:

• https://gizmodo.com