Hakerzy z Binance piorą łupy za pomocą memowych kryptowalut

Ekipa, która wyprowadziła z Binance około 6,3 miliarda dolarów, zaczęła emitować memowe monety. Nikt nie ma ich kupować. Istnieją po to, by skradzione pieniądze miały gdzie się ukryć przez kilka godzin.

Historia szybko rozeszła się na platformie X, gdzie serwis StalkHQ zwrócił uwagę na wprowadzenie tych memowych monet, a szczegóły pochodzą z poniedziałkowego raportu firmy Elliptic zajmującej się analizą łańcucha bloków. Według Elliptic osoby zajmujące się praniem brudnych pieniędzy, pracujące dla północnokoreańskiej grupy TraderTraitor, stworzyły co najmniej sześć jednorazowych tokenów na platformie NEAR między 5 a 7 listopada. Na jednym z nich widnieje małpa z różową kokardką. Na innym – kaczka owinięta flagą Stanów Zjednoczonych. Jeszcze inny przedstawia Elona Muska pod napisem „Elon 2028 President”, co według Elliptic nie ma nic wspólnego z Muskiem. Wśród nazw tokenów znajdują się m.in. FUK i SINU.

Kwoty są niewielkie. Przez te sześć tokenów przepłynęło około 117 000 NEAR, czyli mniej więcej 430 000 dolarów, co stanowi mniej niż 0,01% całej zdobyczy. Na uwagę zasługuje sama metoda.

O samym ataku informowaliśmy już w momencie jego wystąpienia. W skrócie: 29 października atakujący wyprowadzili miliardy w ciągu około 20 minut, a dyrektor generalny Richard Teng stwierdził później, że atakujący wykorzystał mechanizm samozniszczenia, który po drodze usunął narzędzia i ślady. Dwa dni później FBI wskazało grupę TraderTraitor. Jest to ta sama grupa, którą biuro obarczyło winą za kradzież 1,4 miliarda dolarów z platformy Bybit w 2025 roku.

Jak bezwartościowy token służy do prania prawdziwych pieniędzy

Sztuczka jest prosta i tania. Uruchomienie każdego tokena kosztowało około 25 NEAR, czyli około 90 dolarów. Osoby zajmujące się praniem pieniędzy łączą go z prawdziwym aktywem, takim jak NEAR, w puli płynności na zdecentralizowanej giełdzie. Jeden zestaw portfeli wpłaca skradzione środki do puli i otrzymuje w zamian nowy token. Drugi zestaw portfeli sprzedaje ten token w tej samej puli i wyciąga z niej „czyste” NEAR.

Skradzione pieniądze nigdy nie przechodzą bezpośrednio z pierwszej grupy portfeli do drugiej. Pula znajduje się pomiędzy nimi, a portfele odbiorcze wyglądają jak zwykli inwestorzy, którzy sprzedali memową monetę z zyskiem. Współzałożyciel Elliptic, Tom Robinson, wyraził to jasno na X: monety są tylko przykrywką, ale każdy krok odbywa się w łańcuchu bloków, a firma Elliptic go prześledziła.

Trudno podważyć dowody firmy Elliptic wskazujące, że tokeny te nigdy nie miały prawdziwego rynku. Portfele w sieci służącej do prania pieniędzy dokonały każdej sprzedaży wszystkich sześciu tokenów i kupiły każdą jednostkę pięciu z nich. Pięciu z sześciu twórców otrzymało środki z portfela, który kilka minut wcześniej sprzedawał poprzedni token, więc każda moneta sfinansowała następną. Wszystkie sześć tokenów zostało sprzedanych w ciągu trzech godzin od premiery, a następnie wyprzedanych. Żaden z nich nie był przedmiotem obrotu od 8 listopada, a twórcy czterech z nich wycofali pozostałą płynność jeszcze tego samego popołudnia.

To nic nowego, tylko na większą skalę

Korea Północna robiła to już wcześniej. Firma Elliptic po raz pierwszy to zauważyła po włamaniu do Bybit, kiedy to co najmniej 24 miliony dolarów przepłynęło przez bezwartościowy token na Tronie. Tym razem ekipa dotarła do tego w ciągu kilku dni. Token Tron pojawił się 2 listopada, a 3 listopada skradzione SOL zostały zamienione na rzadko notowane tokeny Solana, a następnie sprzedane za USDC. Partia NEAR pojawiła się pod koniec tygodnia.

Monety memowe stanowią przyzwoitą przykrywkę, ponieważ codziennie pojawiają się tysiące nowych, a większość z nich znika w ciągu kilku dni. Portfel z nowym tokenem z motywem kreskówkowym w historii wygląda jak konto spekulanta, a nie osoby zajmującej się praniem pieniędzy, chyba że ktoś sprawdzi, skąd pochodzą środki.

Dodatek do głównego mechanizmu

Elliptic jasno stwierdza, że ta warstwa niczego nie ukrywa. Spowalnia ona pracę śledczych, a w wyścigu o pranie pieniędzy chodzi właśnie o opóźnienie.

Większa operacja wygląda inaczej. Dane firmy Elliptic obejmują obecnie ponad 20 000 portfeli w 16 łańcuchach bloków i co najmniej 36 usługach. Na początku tygodnia firma poinformowała, że środki przeskakiwały do nowego portfela mniej więcej co 25 sekund, a Robinson opisał to jako pranie pieniędzy na autopilocie, prawdopodobnie zautomatyzowane, ale pod nadzorem człowieka. Elliptic ostrzegło, że statyczne listy i jednorazowe kontrole nie wykryją takiej grupy. Chainalysis również zwróciło uwagę na automatyzację stojącą za praniem pieniędzy.

Istnieją również inne drogi. Od niedzieli do Tornado Cash trafiło około 7 000 ETH, czyli około 15 milionów dolarów. Około 3 000 BTC, czyli około 225 milionów dolarów, znajduje się obecnie na nowych adresach bitcoinowych, a część skradzionych środków przepłynęła przez THORChain, co podcasterzy omawiali już w kontekście ustaleń FBI dotyczących przypisania odpowiedzialności.

Część łupu nigdy nie miała szansy na wykorzystanie. FBI twierdzi, że 2,85 miliarda dolarów zostało zamrożonych w łańcuchu bloków przez Tether, Circle, Ripple, Arbitrum i Optimism. TRM szacuje tę kwotę na około 2,7 mld dolarów, a Binance podaje kwotę około 3 mld dolarów. Elliptic poinformowało również, że 11,8 mln skradzionych tokenów NEAR, o wartości około 43,7 mln dolarów, nie zostało jeszcze przeniesionych.

Jedno zastrzeżenie ze strony osób, które zawodowo śledzą działania Korei Północnej. Michael Barnhart z DTEX powiedział serwisowi Recorded Future News, że TraderTraitor zazwyczaj szybko przekazuje pieniądze chińskim sieciom prania brudnych pieniędzy, więc część tego, co analitycy widzą w łańcuchu bloków, może wynikać z działalności tych sieci. Elliptic nadal klasyfikuje aktywność związaną z memowymi monetami jako pochodzącą z Korei Północnej.

Na co powinny zwrócić uwagę zespoły ds. zgodności

Rada firmy Elliptic brzmi: należy przestać traktować środki z pul płynności jako domyślnie „czyste”. Portfel zasilony poprzez swap może znajdować się zaledwie dwa kroki od skradzionych pieniędzy. Sygnałami ostrzegawczymi są: token utworzony w ciągu ostatnich kilku dni, pula z zaledwie garstką inwestorów, portfele, które wyłącznie kupują lub wyłącznie sprzedają, oraz nowe portfele zasilone kwotami okrągłymi na krótko przed rozpoczęciem handlu. Firma publikuje również bezpłatną listę blokowanych adresów związanych z włamaniem do Binance i zapewnia, że jest ona na bieżąco aktualizowana.

Na razie liczbą, na którą należy zwrócić uwagę, jest ta nietknięta kwota 11,8 mln NEAR.