Хакери, пов'язані з Північною Кореєю, почали використовувати спеціально створені мемкоїни для приховування походження криптовалюти, викраденої під час масштабного зламу біржі Binance наприкінці жовтня. За допомогою таких токенів зловмисники намагаються замаскувати переміщення коштів під звичайні біржові операції. Про нову схему повідомила аналітична компанія Elliptic, яка відстежує транзакції з криптоактивами та досліджує їх використання у фінансових злочинах.
За даними дослідників, із 5 до 7 листопада хакери створили в блокчейні NEAR щонайменше шість мемкоїнів, через які провели близько 117 тисяч NEAR – приблизно $430 тисяч за тодішнім курсом. Особливість цих токенів полягає в тому, що вони не призначалися для справжньої торгівлі або залучення інвесторів. Зловмисники використовували їх як тимчасовий інструмент для переміщення викрадених активів між різними криптогаманцями.
Для цього створені токени додавали до пулів ліквідності на децентралізованих біржах. Один набір гаманців обмінював викрадену криптовалюту на мемкоїни, а інший продавав їх, отримуючи назад реальні цифрові активи. У результаті прямого переказу між гаманцями, пов'язаними з викраденням коштів, не відбувалося.
Зовні частина транзакцій могла виглядати як звичайна торгівля маловідомими криптовалютами. Аналітики встановили, що майже всі операції із шістьма мемкоїнами проводили гаманці, пов'язані між собою. Токени активно використовували протягом короткого часу, після чого торгівля ними припинялася.
Станом на 8 листопада жоден із шести токенів уже не торгувався. Створення кожного такого активу обходилося приблизно у $90. Невелика вартість дозволяла зловмисникам регулярно запускати нові токени та відмовлятися від попередніх після проведення необхідних операцій.
За інформацією Elliptic, подібні методи також зафіксували в мережі Tron. У Solana хакери застосували схожу схему, використовуючи вже наявні малоліквідні токени. Водночас така схема не робить викрадені кошти невидимими.
Усі транзакції залишаються в блокчейні та можуть бути відстежені. Однак додаткові операції ускладнюють аналіз руху активів і збільшують час, необхідний для виявлення пов'язаних гаманців. Цей метод не є абсолютно новим.
У 2025 році Elliptic виявила його використання після зламу криптобіржі Bybit. Тоді через спеціально створений токен у мережі Tron зловмисники перемістили щонайменше $24 млн. Що відомо про злам Binance29 жовтня 2026 року Binance зазнала масштабної кібератаки.
За оцінкою Elliptic, зловмисники викрали криптоактиви приблизно на $6,4 млрд, що стало найбільшим зламом в історії криптовалютного ринку. Федеральне бюро розслідувань США офіційно поклало відповідальність за атаку на північнокорейське хакерське угруповання TraderTraitor. У повідомленні від 31 жовтня ФБР зазначило, що викрадені активи активно конвертували в Ethereum та переміщували через децентралізовані фінансові сервіси.
У самому Binance оцінили обсяг активів, яких торкнувся інцидент, приблизно у $6,34 млрд. За інформацією біржі станом на 3 листопада, близько $2,85 млрд викрадених активів вдалося заморозити або перехопити. Компанія також заявила, що покриє фінансові наслідки атаки власним коштом.
За її даними, станом на 31 жовтня було поповнено резерви на 98% постраждалих токенних активів. Це не означає, що відповідну частку викраденої криптовалюти вдалося повернути від хакерів. Нова схема з мемкоїнами становить лише невелику частину загального руху викрадених коштів.
Проте, за оцінкою Elliptic, її використання створює додаткові труднощі для криптобірж та фінансових установ, які перевіряють походження цифрових активів. Аналітики наголошують, що надходження коштів із пулів ліквідності саме собою не гарантує їхнього законного походження. Для виявлення підозрілих операцій необхідно аналізувати також історію створення токенів і зв'язки між криптогаманцями.
За матеріалами: Elliptic, ФБР США, Binance