Хакеры КНДР создают мемкоины для отмывания средств со взлома Binance
Хакеры, связанные с Северной Кореей, начали использовать специально созданные мемкоины для сокрытия происхождения криптовалюты, похищенной во время масштабного взлома биржи Binance в конце октября. С помощью таких токенов злоумышленники пытаются замаскировать перемещение средств под обычные биржевые операции.
О новой схеме сообщила аналитическая компания Elliptic, которая отслеживает транзакции с криптоактивами и исследует их использование в финансовых преступлениях.
По данным исследователей, с 5 по 7 ноября хакеры создали в блокчейне NEAR как минимум шесть мемкоинов, через которые провели около 117 тысяч NEAR - примерно $430 тысяч по тогдашнему курсу.
Особенность этих токенов заключается в том, что они не предназначались для реальной торговли или привлечения инвесторов. Злоумышленники использовали их как временный инструмент для перемещения похищенных активов между разными криптокошельками.
Для этого созданные токены добавляли в пулы ликвидности на децентрализованных биржах. Один набор кошельков обменивал похищенную криптовалюту на мемкоины, а другой продавал их, получая обратно реальные цифровые активы.
В результате прямого перевода между кошельками, связанными с похищением средств, не происходило. Внешне часть транзакций могла выглядеть как обычная торговля малоизвестными криптовалютами.
Аналитики установили, что почти все операции с шестью мемкоинами проводили кошельки, связанные между собой. Токены активно использовали в течение короткого времени, после чего торговля ими прекращалась. По состоянию на 8 ноября ни один из шести токенов уже не торговался.
Создание каждого такого актива обходилось примерно в $90. Небольшая стоимость позволяла злоумышленникам регулярно запускать новые токены и отказываться от предыдущих после проведения необходимых операций.
По информации Elliptic, подобные методы также зафиксировали в сети Tron. В Solana хакеры применили похожую схему, используя уже существующие малоликвидные токены.
В то же время такая схема не делает похищенные средства невидимыми. Все транзакции остаются в блокчейне и могут быть отслежены. Однако дополнительные операции усложняют анализ движения активов и увеличивают время, необходимое для выявления связанных кошельков.
Этот метод не является абсолютно новым. В 2025 году Elliptic обнаружила его использование после взлома криптобиржи Bybit. Тогда через специально созданный токен в сети Tron злоумышленники переместили как минимум $24 млн.
Что известно о взломе Binance
29 октября 2026 года Binance подверглась масштабной кибератаке. По оценке Elliptic, злоумышленники похитили криптоактивы примерно на $6,4 млрд, что стало крупнейшим взломом в истории криптовалютного рынка.
Федеральное бюро расследований США официально возложило ответственность за атаку на северокорейскую хакерскую группировку TraderTraitor. В сообщении от 31 октября ФБР отметило, что похищенные активы активно конвертировали в Ethereum и перемещали через децентрализованные финансовые сервисы.
В самом Binance оценили объем активов, которых коснулся инцидент, примерно в $6,34 млрд. По информации биржи по состоянию на 3 ноября, около $2,85 млрд похищенных активов удалось заморозить или перехватить.
Компания также заявила, что покроет финансовые последствия атаки за свой счет. По ее данным, по состоянию на 31 октября было пополнено резервы на 98% пострадавших токенных активов. Это не означает, что соответствующую долю похищенной криптовалюты удалось вернуть от хакеров.
Новая схема с мемкоинами составляет лишь небольшую часть общего движения похищенных средств. Однако, по оценке Elliptic, ее использование создает дополнительные трудности для криптобирж и финансовых учреждений, которые проверяют происхождение цифровых активов.
Аналитики подчеркивают, что поступление средств из пулов ликвидности само по себе не гарантирует их законного происхождения. Для выявления подозрительных операций необходимо анализировать также историю создания токенов и связи между криптокошельками.