Elliptic: хакеры КНДР создали шесть мемкоинов и отмыли через них около 117 000 NEAR после взлома Binance

Как устроена схема

Elliptic описывает четыре шага. Сначала с помощью публичного сервиса запуска токенов создаётся новый токен. Затем на децентрализованной бирже открывается пул ликвидности, где этот токен стоит в паре с реальным активом, например NEAR или стейблкоином. Первая группа кошельков вносит в пул украденные средства и получает новый токен. Вторая группа продаёт токен обратно в тот же пул и забирает реальный актив.

Украденные деньги ни разу не идут напрямую от кошелька-покупателя к кошельку-получателю: между ними стоит пул. Со стороны получатели выглядят как обычные трейдеры, удачно продавшие мемкоин.

Впервые Elliptic заметила этот приём при отмывании средств, украденных у Bybit в 2025 году. Ту кражу, как и октябрьский взлом Binance 2026 года, приписывают северокорейской группе TraderTraitor. Тогда через бесполезный токен в сети Tron, спаренный со стейблкоином, прошло не менее $24 млн.

Шесть токенов в сети NEAR

Источник: Elliptic. Время SGT пересчитано нами.

Создание каждого токена обошлось примерно в 25 NEAR, около $90. Логотипы скопированы с типичных мемкоинов: обезьяна с розовым бантом, утка на фоне флага США, шимпанзе, лиса, горящий золотой значок и фотография Илона Маска под баннером «Elon 2028 President». Elliptic отдельно оговаривает, что связи Маска с этими токенами не предполагается.

Компания приводит три признака того, что токены создавались только для отмывания:

• Все продажи всех шести токенов и все покупки пяти из них совершили кошельки сети отмывания. Посторонние покупатели сделали лишь несколько мелких покупок FUK в первый день, меньше 1% его объёма. У DABI, MMLI и SINU было по одному кошельку-покупателю и по одному кошельку-продавцу.
• Пять из шести создателей токенов получили деньги с кошелька, который за 2–13 минут до запуска нового токена ещё продавал предыдущий. Выручка одного токена оплачивала следующий.
• Первая продажа каждого токена произошла в течение трёх часов после запуска, не менее трёх четвертей торгов пришлись на одни сутки, а количество NEAR на входе совпало с количеством на выходе.

Днём 8 ноября создатели четырёх токенов вывели из пулов оставшуюся ликвидность. По данным Elliptic, основная часть NEAR с кошельков-получателей ушла в стейблкоины или на кроссчейн-мост.

Tron и Solana

NEAR остаётся самым наглядным примером, но не единственный. 2 ноября Elliptic обнаружила в сети Tron бесполезный токен, созданный исключительно для отмывания средств Binance. На следующий день украденные SOL обменяли в Solana на малоликвидные обёрнутые токены, затем продали за USDC и вывели в другие сети. В Solana использовались уже существующие токены, а не самодельные, но задача была та же: поставить малоизвестный актив между украденными деньгами и следующим кошельком.

Odaily и PANews в понедельник вечером привели те же цифры. Оба издания ссылаются на Elliptic, поэтому подтверждают сам факт публикации, а не дают независимый подсчёт.

Схема замедляет расследование, но не прячет деньги

Каждый шаг записан в публичном блокчейне. По словам Elliptic, приём «замедляет следователей, а не скрывает средства». Каждый лишний переход требует времени на разбор, а отмывание похоже на гонку: нужно успеть перевести деньги, пока адреса не помечены. Токен в NEAR стоит около $90, поэтому его можно использовать один раз и выбросить. Elliptic называет самодельные токены ещё одним дешёвым слоем поверх других.

Это совпадает с тем, что мы видели за последнюю неделю: обмены через THORChain, конвертация XRP в основном в биткоин, теперь самодельные токены. Ни один маршрут не стирает след в блокчейне, но каждый даёт отмывателям время.

Что значат 11,8 млн неподвижных NEAR

По подсчёту Elliptic, около 11,8 млн украденных NEAR ещё не перемещались; компания оценивает их в $43,7 млн. 10 ноября в 00:50 по сингапурскому времени (9 ноября, 19:50 МСК) NEAR стоил $3,596 по публичным рыночным данным Binance, минус 1,67% за сутки; на OKX $3,597, на Bitget $3,594. По цене Binance эти монеты стоят около $42,4 млн (11,8 млн × $3,596, наш расчёт).

Для масштаба: спотовый рынок NEARUSDT на Binance за 24 часа до этого замера проторговал 27,26 млн NEAR. Неподвижный остаток равен примерно 43% суточного объёма одного этого рынка (11,8 ÷ 27,26). Мы не утверждаем, что эти монеты будут проданы, тем более на какой-то конкретной бирже, и Elliptic прогнозов не даёт. Но это известный объём украденных монет, владельцы которых уже показали, что хотят превращать NEAR в стейблкоины.

Ставка финансирования по бессрочным контрактам не показывает перекоса ни в одну сторону. В то же время ставка по NEAR-USDT составляла 0,0075% за 8 часов на Bitget и 0,0084% на OKX, почти нейтрально. Сравнить с другими монетами можно на нашей странице ставок финансирования.

Что проверить, если вы покупаете новые мемкоины

Свои признаки Elliptic адресует комплаенс-отделам, но по ним может проверить себя любой, кто покупает только что выпущенный токен:

• токен создан в последние несколько дней;
• в его пуле торгует лишь горстка кошельков;
• одни кошельки только покупают, другие только продают;
• новые кошельки получили деньги незадолго до начала торгов, часто круглыми суммами.

Токен, подходящий под все четыре признака, не стоит считать торговой возможностью. Его цену задают создатели, а ликвидность может исчезнуть, как это случилось в четырёх из шести пулов 8 ноября.

Второй момент касается тех, кто переводит средства с децентрализованной биржи на централизованную. Elliptic советует компаниям спрашивать, что попало в пул, а не только кто заплатил, сверяться с её публичным списком адресов, связанных со взломом Binance, и по мере его пополнения перепроверять уже зачисленные депозиты. По нашей оценке, депозит из выручки от обмена через помеченный пул могут отправить на проверку даже после зачисления. Если вы торгуете на DEX, сохраняйте историю своих обменов.

И ещё одно, для всех, кто следит за этой историей: любые сообщения о «компенсации от Binance» за взлом стоит считать подозрительными. Действия со счётом подтверждайте только в официальном приложении и на сайте биржи и не открывайте ссылки на выплаты из личных сообщений.

Что мы не смогли подтвердить

• Заморозила ли какая-либо биржа средства, прошедшие через шесть токенов NEAR. Elliptic этого не сообщает.
• На какой кроссчейн-мост ушли NEAR после обменов. Elliptic мост не называет.
• Страницы CoinDesk и The Block об этом отчёте не открылись для нашего сервиса, поэтому мы опирались на текст Elliptic.
• Какая часть из $6,4 млрд прошла через самодельные токены в Tron. Цифру Elliptic даёт только для NEAR.

Быстрые ответы

Сколько украденных средств прошло через мемкоины?

Около 117 000 NEAR, примерно $430 000 по оценке Elliptic, через шесть токенов в сети NEAR с 5 по 7 ноября.

Эти токены ещё торгуются?

Нет. По данным Elliptic, ни один из шести не торгуется с 8 ноября, а создатели четырёх в тот же день вывели остаток ликвидности.

Удаётся ли так скрыть украденное?

Нет. Каждый шаг виден в блокчейне. Elliptic считает, что схема лишь замедляет расследование, а токены настолько дёшевы, что их выбрасывают после одного использования.

Сколько украденных NEAR ещё не перемещалось?

Около 11,8 млн NEAR, которые Elliptic оценивает в $43,7 млн. По цене Binance $3,596 на 00:50 SGT 10 ноября это около $42,4 млн.