TLDR
一次性代币如何掩盖资金来源
流动性池存款需加强审查
Binance黑客事件调查仍在继续
Elliptic追踪发现，约11.7万枚被盗NEAR通过六个一次性Meme币进行转移。据Elliptic称，每个代币的创建成本约为90美元。攻击者利用分散式流动性池间接转移被盗资产。其中，一个代币的交易量中，外部买家占比不足1%。Elliptic指出，自11月8日起，这六个代币已无进一步交易活动。
一次性代币如何掩盖资金来源
Elliptic于11月9日发布的分析报告显示，朝鲜黑客利用一次性Meme币对从Binance窃取的资金进行了路由处理。这一手法使得接收来自去中心化流动性池资金的机构面临更高的筛查风险。
Elliptic在分析中追踪了价值43万美元（约合11.7万枚NEAR）的被盗资金，其路径涉及六个代币。每个代币的创建成本约为25枚NEAR（约合90美元）。该公司表示，尽管增加了交易步骤，但资金转移仍具有可追溯性。
Elliptic发现，在11月5日至7日期间，洗钱钱包在NEAR网络上启动了六个代币。每个代币都与NEAR配对，存入独立的去中心化交易所流动性池中。一组钱包使用被盗的NEAR购买这些代币；另一组钱包则卖出相同的代币以回收NEAR，从而在两组钱包之间没有留下直接的转账记录。
Elliptic指出，这种模式可能使接收资金的钱包看起来像是盈利的交易者。然而，链上数据将买家、卖家和代币创建者与同一笔被盗资金联系起来。五个代币的创建者在几分钟到十几分钟前，收到了来自卖出早期代币的钱包的资金支持。此外，其中一个代币的外部买家交易量占比不到1%，而其余五个代币根本没有外部买家。
截至11月8日，所有六个代币均停止交易。当日下午，四个发行方撤回了剩余的流动性。Elliptic在其报告的时间快照中指出，仍有约1,180万枚被盗NEAR未被移动。
为何需加强对流动性池存款的审查
Elliptic警告称，不应自动将从流动性池中出现的资金标记为“干净”或合规。近期创建的代币、集中的交易行为以及单一用途的钱包都是潜在的警示信号。
这种方法并未完全隐藏链上的每笔移动，而是增加了追踪工作量，同时被盗资产仍在跨网络转移。Elliptic记录了2025年Bybit遭劫持后的相关策略：至少2,400万美元通过Tron网络上一个毫无价值的代币进行转移。针对Binance事件，Elliptic观察到在11月2日出现了另一个自制Tron代币。次日，攻击者通过将被盗SOL转入现有交易稀薄的代币中进行路由。
Binance黑客事件调查仍在继续
FBI将10月29日的盗窃案归咎于朝鲜的“TraderTraitor”组织，平壤方面否认对此负责。此前有报道指出，攻击者在入侵员工设备后，访问了Binance的钱包基础设施。FBI的归因分析及被盗加密货币的早期流动情况也已被单独报道。
Binance于11月3日表示，此次事故影响金额约为63.4亿美元。公司报告称，约28.5亿美元被冻结或拦截，受影响资产的98%已得到补充。值得注意的是，这些补充资金来源于Binance自身，而非追回的被盗款项。
