Северная Корея выпускает мемкоины, чтобы отмыть $6,4 млрд, украденные у Binance, — Elliptic

Те, кто отмывает деньги, украденные у Binance, нашли новый приём: они выпускают собственные мемкоины. В отчёте от 9 ноября аналитическая компания Elliptic сообщила, что связанные с Северной Кореей отмывщики с 5 по 7 ноября создали в блокчейне NEAR как минимум шесть одноразовых токенов и провели через них около 117 000 NEAR, или примерно $430 000, не отправляя средства напрямую с одного кошелька на другой.

На фоне масштаба кражи это крошечная сумма. По словам Binance, 29 октября, когда злоумышленники добрались до её систем кошельков, пострадали активы примерно на $6,34 млрд; Elliptic оценивает общий объём в $6,43 млрд и называет это крупнейшей кражей криптовалюты в истории. Но отчёт показывает, как меняются схемы отмывания и почему следователи говорят, что след по-прежнему виден в блокчейне.

Как работает трюк с мемкоинами

Запустить новый токен может кто угодно, и каждый день их появляются тысячи. По данным Elliptic, отмывщики воспользовались этим в четыре шага. Они создали токен с помощью публичного сервиса запуска, поместили его в пару с настоящими NEAR в пул ликвидности децентрализованной биржи, купили токен за украденные NEAR с одной группы кошельков, а затем продали его обратно в тот же пул со второй группы и забрали NEAR.

Поскольку посередине стоит пул, украденные деньги никогда не переходят напрямую с кошелька-покупателя на кошелёк-получатель. Для невнимательного наблюдателя кошельки-получатели выглядят как обычные трейдеры, продавшие мемкоин с прибылью. У шести токенов — FUK, OLCCL, MEILI, MMLI, DABI и SINU — даже были мультяшные логотипы, чтобы затеряться в потоке настоящих мемкоинов.

Elliptic называет три признака, которые их выдали. Все продажи всех шести токенов совершили кошельки из сети отмывания, сторонних покупателей почти не было, а количество NEAR, вошедших в каждый пул, совпало с вышедшим. С 8 ноября ни один из токенов не торговался, а днём создатели четырёх из них вывели оставшуюся ликвидность.

Где остальные деньги

Схема не новая. По словам Elliptic, самодельные токены она впервые заметила при отмывании средств, украденных у Bybit в 2025 году: тогда так было проведено не менее $24 млн в сети Tron. В деле Binance компания обнаружила тот же метод в Tron и NEAR, а также близкий вариант в Solana.

Крупные потоки идут другими путями. В обновлении, о котором The Block написал 6 ноября, Elliptic сообщила, что злоумышленники обменяли украденные альткоины примерно на $124 млн в биткоинах, около 1650 BTC, задействовав более 20 000 кошельков в 16 блокчейнах и около 65 000 транзакций. Было обменяно около $50 млн украденных XRP, в основном через THORChain, а ещё около $226 млн ждали своей очереди. По оценке Elliptic, обналичить пока, скорее всего, удалось лишь «незначительную сумму».

Эмитенты стейблкоинов среагировали быстро. В посте от 5 ноября Circle сообщила, что в координации с правоохранительными органами заморозила около $1,1 млрд в USDC, связанных с инцидентом, а ФБР приписывает атаку связанным с Северной Кореей хакерам. Circle подчеркнула, что заморозка лишь не даёт токенам двигаться, а решать, кому они принадлежат, будут суды и правоохранители.

Реакция банков и Binance

Последствия доходят и до традиционных финансов. The Paypers со ссылкой на осведомлённых людей сообщил 9 ноября, что надзорные органы ФРС и Управления контролёра денежного обращения (OCC) связались с банками и спросили, нет ли в их системах уязвимостей или необычной активности после атаки. В ФРС и OCC от комментариев отказались.

В самой Binance co-CEO компании Йи Хэ объявила в субботу, что финансовый директор Кайзер Нг уходит, чтобы заняться новым проектом, а его место займёт Джастин Йек, бывший вице-президент по финансам Airwallex. По словам Йи Хэ, план передачи дел действовал уже полгода — ещё до кражи.

Что это значит для обычных пользователей

Для новичков урок не столько о Северной Корее, сколько о базовой осторожности. Только что созданные токены почти без сторонних трейдеров — тревожный сигнал, и отчёт Elliptic напоминает, что график монеты можно «нарисовать» горсткой кошельков. Прежде чем что-то покупать, стоит спросить себя, кто ещё на самом деле этим торгует.

Это также напоминание, что ни одна биржа не застрахована от рисков. Выбирая, где покупать, посмотрите на историю безопасности биржи, включите надёжную двухфакторную аутентификацию и подумайте, не хранить ли долгосрочные сбережения в кошельке, который контролируете вы сами. Если сравниваете варианты, Coinbase — регулируемая биржа, с которой начинают многие новички, а наши гайды ниже разбирают плюсы и минусы.

За чем следить дальше

• Продолжат ли злоумышленники небольшими партиями менять эфир на биткоин, как ожидает Elliptic, прежде чем пытаться обналичить средства через OTC-брокеров.
• Судебные решения по USDC и другим токенам, замороженным после кражи.
• Новые выводы банковских регуляторов США о том, затронул ли их инцидент.
• Следующие отчёты Binance о возвращённых средствах и открытии выводов.

Новичок в криптовалюте? Прочитайте наш разбор кастодиальных кошельков и самостоятельного хранения.