Хакеры Binance отмывают добычу через самодельные мемкоины в сети NEAR: что выяснила Elliptic

Хакеры, похитившие около $6,3 млрд у Binance, начали отмывать добычу через самодельные мемкоины. По данным аналитической компании Elliptic, на которые ссылается CoinDesk, злоумышленники создали шесть токенов в сети NEAR и прогнали через них примерно 117 000 NEAR — около $430 000 по текущему курсу. Цель схемы — выдать краденые средства за обычную торговую прибыль.

Сумма на фоне всего взлома небольшая, но сам приём показателен: он затрудняет отслеживание денег и в будущем может встретиться в цепочках, через которые к обычным пользователям приходят «грязные» монеты.

Как работала схема

Все шесть токенов появились в период с 5 по 7 ноября. Каждый из них был сведён в пару с NEAR в отдельном пуле ликвидности на децентрализованной бирже (какой именно, в материале не уточняется). Дальше всё было просто: одна группа кошельков покупала мемкоины за украденные NEAR, а другая продавала те же мемкоины обратно за NEAR. Напрямую между этими кошельками деньги не переводились, поэтому со стороны движение выглядело как прибыль от удачной спекуляции, а не как вывод похищенного.

По оценке Elliptic, почти весь объём торгов приходился на кошельки, связанные со схемой: доля сторонних покупателей в одном из токенов не дотягивала даже до 1%. Сооснователь и главный научный сотрудник Elliptic Том Робинсон описал это так: «Отмывщики создали шесть таких криптотокенов и торговали ими только сами с собой». К 8 ноября торговля всеми шестью токенами прекратилась.

Названия и оформление были типичными для мемкоинов: «собачье» окончание inu, грубые шутки, а один токен использовал изображение Илона Маска с баннером «Elon 2028 President». В Elliptic подчёркивают, что никаких указаний на связь Маска с этими токенами нет.

Кто стоит за взломом и куда уходят деньги

Взлом Binance произошёл 29 октября и стал крупнейшей кражей в истории криптоиндустрии. ФБР связало атаку с северокорейской группировкой TraderTraitor. Ранее биржа сообщала, что атака началась с фальшивого собеседования, через которое злоумышленники получили доступ к компьютерам сотрудников.

Мемкоины — не единственный канал отмывания. Хакеры также используют протокол THORChain, чтобы обменивать украденные активы на биткоин, который, в отличие от USDT или USDC, не может заморозить централизованный эмитент. Именно поэтому в первые часы после взлома злоумышленники спешили избавиться от стейблкоинов.

Похожий приём с мемкоинами Elliptic уже фиксировала после взлома Bybit в 2025 году. Тогда, как и сейчас, схема не стирает след полностью: все сделки остаются в блокчейне, и аналитики могут восстановить маршрут средств. Однако каждое такое «переупаковывание» добавляет работы расследователям и замедляет реакцию бирж и эмитентов.

Что пока неизвестно

В публикации нет комментариев Binance, команды NEAR или децентрализованной биржи, на которой торговались токены. Также не сообщается, удалось ли заморозить или вернуть какую-то часть средств, прошедших через мемкоины. Основная часть похищенного по-прежнему перемещается по разным сетям, и аналитические компании продолжают публиковать новые находки.