Взлом Binance в Северной Корее на $6,3 млрд: новый поворот из-за мем-монет

Мем-монеты затрудняют отслеживание следов взлома Binance

Северокорейские отмыватели использовали мем-монеты и малоизвестные токены на платформах Tron, Solana и Near, пояснил 9 ноября соучредитель и главный научный сотрудник Elliptic Том Робинсон. На платформах Tron и Near использовались вновь созданные монеты; Solana опиралась на существующие активы.

Робинсон написал:

«Большинство людей считают мем-токены шуточными монетами, цены на которые растут и падают под влиянием ажиотажа. Северокорейские отмыватели нашли для них другое применение, создавая токены, которые никто больше не хочет покупать, и используя их для маскировки движения похищенных средств».

На платформе Near одна группа покупала новые монеты за украденную криптовалюту через пулы ликвидности токенов. Другие кошельки продавали монеты в те же пулы и получали почти равную выручку, разделяя адреса отправителя и получателя.

Шесть токенов, созданных в период с 5 по 7 ноября, обращали около 117 000 NEAR (430 000 долларов), при этом внешняя торговля практически отсутствовала. Каждый запуск обходился примерно в 90 долларов. Пять создателей получили финансирование от предыдущих продаж токенов незадолго до запуска новых токенов-заменителей.

31 октября Федеральное бюро расследований (ФБР) возложило ответственность за кражу на Binance в прошлом месяце на Северную Корею, определив операцию как «Tradertraitor» — спонсируемую государством северокорейскую группировку, нацеленную на криптовалютные компании.

Однако 3 ноября Северная Корея отрицала свою причастность к взлому. Ким Ё Чон, сестра лидера Северной Кореи Ким Чен Ына, назвала обвинения ФБР «серьёзной политической провокацией», направленной на подрыв репутации страны.

Кража на Binance вызвала гонку против заморозки средств

Компания Chainalysis обнаружила, что похищенные в результате атаки на Binance 29 октября активы смешались с доходами от кражи на Bitget, произошедшей в сентябре. Компания сослалась на это совпадение, приписывая кражу на Binance группе «Tradertraitor». Её оценка основывалась на активности в блокчейне, наблюдавшейся в течение нескольких часов после атаки.

Злоумышленник пытался избежать заморозки средств путем быстрой конвертации в стейблкоины, обменяв за почти 20 минут средства на сумму 325 млн долларов на эфир на сумму примерно 285 млн долларов. В отличие от стейблкоинов, эфир не подвергается заморозке по решению эмитента.

2 ноября компания Elliptic выявила бесполезный токен Tron, созданный исключительно для отмывания средств, а на следующий день похищенные средства в Solana прошли через малоликвидные токены. Ранее, после кражи на Bybit в 2025 году, Elliptic отследила по крайней мере 24 миллиона долларов, прошедших через аналогичную схему.

Объясняя многоуровневый подход, Робинсон заявил:

«Северокорейские отмыватели редко полагаются на одну-единственную технику. Вместо этого они наслаивают множество недорогих методов, каждый из которых добавляет немного больше задержки. Самодельные мем-токены — это просто ещё один такой слой».

Тысячи кошельков ведут к биткойну

К 2 ноября похищенные активы прошли через примерно 12 000 кошельков в 11 блокчейнах. Фиксированные временные интервалы и слепые повторные попытки неудачных операций без корректировки указывали на традиционную автоматизацию. Elliptic не обнаружила никаких доказательств принятия решений под управлением ИИ.

В обновлении от 7 ноября было насчитано более 20 000 кошельков, 16 блокчейнов и не менее 65 000 транзакций. Elliptic отследила конвертацию активов, включая Solana, XRP и Tron, в примерно 2 300 биткойнов, стоимость которых на тот момент составляла 175 миллионов долларов.

К 9 ноября сумма конвертированных средств достигла примерно 3 000 биткоинов на сумму 225 миллионов долларов. Elliptic также отследила поступление примерно 7 000 эфиров (на сумму около 15 миллионов долларов) в Tornado Cash — миксер, позволяющий выводить объединенные депозиты на разные адреса. По оценкам компании, вероятно, была обналичена лишь незначительная сумма.

Что касается рисков, связанных с торговыми пулами, главный научный сотрудник Elliptic предупредил:

«Кошелек, получивший средства из пула ликвидности, не следует по умолчанию считать «чистым», поскольку он может находиться всего в двух шагах от похищенных средств».