Elliptic 披露：朝鲜黑客自建 6 个 Meme 币清洗币安被盗资金，约 11.7 万枚 NEAR 已转移

手法分四步

Elliptic 把过程拆成四步。先用链上公开的发币工具创建一个新代币；再在去中心化交易所开一个流动性池，把新代币和 NEAR 或稳定币这样的真实资产配对；然后用第一组钱包把被盗资金买入池子，换出新代币；最后由第二组钱包把代币卖回同一个池子，取出真实资产。

说白了，被盗资金从来没有从"买入钱包"直接转到"收款钱包"，中间隔着一个池子。外人看收款钱包，只会觉得这是一个卖 Meme 币赚了钱的交易者。

Elliptic 说，它最早在 2025 年 Bybit 被盗资金的洗钱过程中看到这种做法。Bybit 案和 2026 年 10 月的币安案都被归到朝鲜黑客组织 TraderTraitor 名下。当时洗钱者在 Tron 上建了一个毫无价值的代币，与稳定币配对，至少转移了 2,400 万美元。

6 个 NEAR 代币

来源：Elliptic；新加坡时间为我们换算。

每个代币的创建成本约 25 枚 NEAR，约 90 美元。图标完全照搬常见 Meme 币风格：戴粉色蝴蝶结的猴子、站在美国国旗前的鸭子、黑猩猩、狐狸、燃烧的金色徽章，还有一张马斯克的照片配上"Elon 2028 President"横幅。Elliptic 特别说明，没有迹象表明马斯克与这些代币有任何关系。

Elliptic 给出三条证据，说明这些代币只为洗钱而生：

• 6 个代币的全部卖单、其中 5 个代币的全部买单，都来自洗钱网络的钱包。外部买家只在 FUK 上线第一天买过几小笔，不到其成交量的 1%。DABI、MMLI、SINU 各自只有一个买入钱包和一个卖出钱包。
• 6 个代币的创建者中有 5 个，资金来自一个在新代币上线前 2 到 13 分钟还在卖上一个代币的钱包。也就是说，前一个代币的收益支付了下一个代币的创建费用，代币串成一条链。
• 每个代币上线后 3 小时内就出现第一笔卖出，至少四分之三的交易在一天内完成；进入池子的被盗 NEAR 与流出的 NEAR 数量相符。

11 月 8 日下午，其中 4 个代币的创建者撤走了池子里剩余的流动性。Elliptic 说，从收款钱包流出的 NEAR 大多换成了稳定币，或者转进了跨链桥。

Tron 和 Solana 上也有

NEAR 只是看得最清楚的一例。Elliptic 说，11 月 2 日它发现了一个专为洗币安资金而建的 Tron 代币。第二天，被盗 SOL 在 Solana 上被换成交易稀少的封装代币，再卖成 USDC，转到其他链。Solana 上用的是已有代币，不是自建的，但目的一样：在被盗资金和下一个钱包之间塞进一个冷门资产。

Odaily 与 PANews 周一晚间报道了同样的数字。两家都引用 Elliptic，所以它们证实的是 Elliptic 发布了这些内容，而不是另做了一次独立统计。

能拖慢追查，藏不住钱

每一步都记录在公开链上。Elliptic 的原话是，这种手法"拖慢调查者，而不是把资金藏起来"。多一跳，追查者就要多花时间；洗钱本质上是赶在地址被标记之前把钱转走。NEAR 上每个代币只要 90 美元左右，用一次就可以扔。Elliptic 认为，这只是朝鲜洗钱者叠加的又一层廉价手段。

这和我们过去一周看到的情况一致：先是经 THORChain 兑换，再是 XRP 大多换成比特币，现在是自建代币。没有哪条路能抹掉链上痕迹，但每条路都替洗钱者争取了时间。

1,180 万枚未动 NEAR 对 NEAR 交易者意味着什么

Elliptic 统计，仍有约 1,180 万枚被盗 NEAR 没有转移，它估值 4,370 万美元。新加坡时间 11 月 10 日 00:50，币安公开行情显示 NEAR 报 3.596 美元，24 小时跌 1.67%；同一时间 OKX 报 3.597 美元，Bitget 报 3.594 美元。按币安价格计算，这批 NEAR 约值 4,240 万美元（1,180 万 × 3.596，我们的计算）。

做个对比：截至这次读数的 24 小时里，币安 NEARUSDT 现货成交 2,726 万枚 NEAR。未动的被盗 NEAR 约相当于这一个市场一天成交量的 43%（11.8 ÷ 27.26）。我们不是说它一定会被卖出，更不是说会在哪家交易所卖出，Elliptic 也没有做任何预测。但这是一笔数量已知的被盗币，持有者已经表现出想把 NEAR 换成稳定币的意图。

永续合约资金费率也没有显示哪一边特别拥挤。同一时间，Bitget 的 NEAR-USDT 资金费率为每 8 小时 0.0075%，OKX 为 0.0084%，接近中性。你可以在我们的资金费率页面和其他币种对比。

买新 Meme 币、或收到兑换所得时要查什么

Elliptic 这几条警示是写给合规团队的，但普通人买刚上线的新币时也能拿来自查：

• 代币是最近几天才创建的；
• 池子里只有寥寥几个钱包在交易；
• 有的钱包只买，有的钱包只卖；
• 新钱包在开始交易前不久才收到资金，金额常常是整数。

四条全中的代币不是交易机会。它的价格由创建者说了算，流动性随时可能被撤走，就像 11 月 8 日那 6 个池子里的 4 个一样。

第二点关系到从去中心化交易所把钱转进中心化交易所的人。Elliptic 建议机构不只看"谁付的款"，还要问"池子里进去的是什么"；用它公开的币安被盗地址名单筛查；名单扩大后，对已经入账的充值也要重新检查。我们的理解是：如果你的充值来自与被标记池子有关的兑换所得，即使已经到账，也可能被拉去复核。经常在链上兑换的人，最好留好自己的兑换记录。

还有一条提醒，适用于所有关注此事的人：任何声称发放"币安被盗补偿"的消息都要当成可疑信息。账户相关操作只通过币安官方 App 和官网确认，私信发来的领取链接不要点。我们的币安交易所页面整理了官方入口。

我们无法确认的

• 是否有交易所冻结了经过这 6 个 NEAR 代币的资金，Elliptic 没有说明。
• 兑换后的 NEAR 进入了哪座跨链桥，Elliptic 没有点名。
• CoinDesk 和 The Block 的相关页面本次拒绝了我们的读取，因此本文直接依据 Elliptic 原文。
• 64 亿美元中有多少经过 Tron 上的自建代币，Elliptic 只给出了 NEAR 的数字。

快速问答

有多少被盗资金经过了这些 Meme 币？

11 月 5 日至 7 日，约 11.7 万枚 NEAR 经过 NEAR 链上的 6 个代币，按 Elliptic 的价格约合 43 万美元。

这些 Meme 币还在交易吗？

没有。Elliptic 说 6 个代币自 11 月 8 日起都没有成交，其中 4 个的创建者当天下午撤走了池子里剩余的流动性。

这样能把被盗资金藏起来吗？

不能。每一步都在链上可见。Elliptic 认为这种手法只是拖慢调查，而且代币成本很低，用完即弃。

还有多少被盗 NEAR 没有动？

约 1,180 万枚，Elliptic 估值 4,370 万美元。按新加坡时间 11 月 10 日 00:50 币安 3.596 美元的价格，约合 4,240 万美元。