朝鲜黑客利用自制“模因币”清洗比安科（Binance）被盗资金

朝鲜黑客正在创建自己的“模因币”（Meme Coins），以转移从比安科（Binance）黑客攻击中窃取的资金。攻击者利用新发行的代币和去中心化交易所（DEX）的流动性池，在不同钱包之间转移资金，从而避免进行直接转账。

Elliott 在 Tron、NEAR 以及 Solana 网络上发现了类似的操作手法。该流程主要包括：创建一个代币，将其与 NEAR 或稳定币等合法加密货币配对，并添加到去中心化交易所的流动性池中。随后，攻击者使用一组钱包将盗窃来的资金用于购买新创建的代币；另一组独立的钱包则将这些代币卖回池中，换回原始加密货币。这种操作使得流动性池成为钱包之间的缓冲层，增加了追踪资金流入与流出关联的难度。

历史案例与最新发现

Elliptic 表示，他们最初是在追踪 2025 年 Bybit 被盗资金时识别出这一手法的。在那起案件中，朝鲜洗钱者创建了一个毫无价值的代币，并通过流动性池转移了至少 2400 万美元。不久之后，同样的手法出现在 Binance 盗窃案后。

11 月 2 日，Elliptic 在 Tron 网络上发现了一个看似专门为洗钱而推出的新代币。次日，被盗的 Solana (SOL) 被交换为包装代币及交易量极低的代币，随后转换为 USDC 并转移到其他区块链。而在 NEAR 网络上的活动则为该方法提供了最清晰的证据。

具体操作细节

11 月 5 日至 7 日期间，攻击者创建了六个名为 FUK、OLCCL、MEILI、MMLI、DABI 和 SINU 的代币。每个代币都在单独的流动性池中与 NEAR 配对。创建一个代币的成本约为 25 个 NEAR（约合 90 美元）。随后，这六个代币被用于转移约 117,000 个 NEAR，价值约为 43 万美元。Elliptic 指出，购买这些代币的钱包资金来源均为被盗的 NEAR。

几乎相同数量的资金随后通过不同的钱包流出，其中大部分被转换为稳定币或通过跨链桥转移。交易模式显示，这些代币并未由普通投资者进行交易。参与洗钱的钱包处理了几乎所有的买卖活动。其中三个代币 DABI、MMLI 和 SINU 各自仅有一个买入钱包和一个卖出钱包。这些代币在推出初期交易量巨大，随后便被弃用。自 11 月 8 日以来，这六个代币均未再记录到任何交易活动。

Elliptic 还发现，先前推出的代币所得收益被用于资助新代币的创建，从而将这六个代币的操作串联起来。尽管这种方法并没有从区块链上移除交易痕迹，调查人员仍可追踪资金流向，但额外的兑换步骤和钱包地址使得追踪过程更加耗时。

成本效益与潜在风险

由于每个代币的创建成本仅为 90 美元左右，攻击者可以轻松地使用不同的代币重复这一过程。通过这六个 NEAR 代币转移的 43 万美元仅代表被盗资金的一小部分。Elliptic 估计，仍有约 1180 万个 NEAR（价值约 4370 万美元）尚未被转移。

该公司还警告加密交易所和合规团队，不要自动将从流动性池收到的资金视为合法资金。新创建的代币、参与钱包极少的流动性池，以及在交易前不久才获得资金的账户，都可能表明存在洗钱活动。