เกาหลีเหนือฟอกเงินจากการโจรกรรม Binance ผ่านเหรียญมีมที่สร้างขึ้นเอง

เมื่อวันจันทร์ที่ผ่านมา บริษัทวิเคราะห์บล็อกเชน Elliptic รายงาน ว่าผู้ฟอกเงินเกาหลีเหนือกำลังสร้างโทเคนมีมที่ไร้ค่าของตนเอง และนำเงินที่ถูกขโมยจากการแฮ็ก Binance ส่งผ่านโทเคนเหล่านั้น การดำเนินการนี้ป้องกันไม่ให้เหรียญถูกโอนโดยตรงระหว่างกระเป๋าเงิน

ระหว่าง November 5 และ November 7 ผู้ปฏิบัติการได้เปิดตัวโทเคนใหม่อย่างน้อยหกโทเคนบนบล็อกเชน NEAR ได้แก่ FUK, OLCCL, MEILI, MMLI, DABI และ SINU แต่ละโทเคนจับคู่กับ NEAR ในพูลสภาพคล่องของตนเอง จากนั้นพวกเขาซื้อโทเคนเหล่านี้ด้วย NEAR ที่ถูกขโมยและขายคืนผ่านชุดกระเป๋าเงินที่แยกออกจากกัน Elliptic บันทึก NEAR ประมาณ 117,000 NEAR ซึ่งมีมูลค่าประมาณ 430,000 ดอลลาร์สหรัฐ ไหลผ่านโทเคนทั้งหกนี้

กิจกรรมนี้เป็นส่วนหนึ่งของความพยายามในวงกว้างในการฟอกเงินจากการโจรกรรม Binance เมื่อ October 29 Binance ประเมินมูลค่าการโจรกรรมไว้ที่ 6.34 พันล้านดอลลาร์สหรัฐ และ FBI ได้ เชื่อมโยง ว่าเกี่ยวข้องกับกลุ่ม TraderTraitor ของเกาหลีเหนือ การวิเคราะห์ล่าสุดของ Elliptic ระบุว่า BTC ประมาณ 3,000 BTC — มูลค่าประมาณ 225 ล้านดอลลาร์สหรัฐ — ได้ถูกย้ายไปยังที่อยู่ bitcoin ใหม่จากสินทรัพย์ที่ถูกขโมยอื่นๆ ขณะที่ NEAR ประมาณ 11.8 ล้าน NEAR หรือ 43.7 ล้านดอลลาร์สหรัฐ จากการโจรกรรมยังไม่ถูกเคลื่อนย้าย

“คนส่วนใหญ่คิดว่าโทเคนมีมเป็นเหรียญตลกราคาที่ขึ้นลงตามกระแส” ดร. ทอม ร็อบินสัน ผู้ร่วมก่อตั้งและหัวหน้านักวิทยาศาสตร์ของ Elliptic กล่าว “ผู้ฟอกเงินของเกาหลีเหนือพบว่ามีการใช้งานอื่นสำหรับพวกเขา”

กลอุบายโทเคนที่สร้างขึ้นเองทำงานอย่างไร

เทคนิคนี้ประกอบด้วยกระบวนการสี่ขั้นตอน ผู้ฟอกเงินเกาหลีเหนือสร้างโทเคนโดยใช้เครื่องมือเปิดตัวสาธารณะ, สร้างพูลสภาพคล่องที่จับคู่กับสินทรัพย์จริงเช่น NEAR หรือ stablecoin, ซื้อโทเคนใหม่ด้วยเงินที่ถูกขโมยจากชุดกระเป๋าเงินชุดหนึ่ง, แล้วขายคืนกลับเข้าพูลเดียวกันจากชุดกระเป๋าเงินที่สองซึ่งรวบรวมสินทรัพย์จริง

เนื่องจากพูลทำหน้าที่เป็นตัวกลาง เงินที่ถูกขโมยไม่เคยถูกโอนโดยตรงจากกระเป๋าเงินที่ซื้อไปยังกระเป๋าเงินที่รวบรวม สำหรับผู้สังเกตการณ์ภายนอก กระเป๋าเงินที่รวบรวมดูเหมือนเป็นนักเทรดทั่วไปที่ขายโทเคนได้กำไร

โทเคน NEAR แต่ละตัวในหกโทเคนมีต้นทุนประมาณ 25 NEAR หรือประมาณ 90 ดอลลาร์สหรัฐในการสร้าง พวกมันถูกเทรดอย่างหนักเป็นเวลาหลายชั่วโมงโดยใช้ NEAR ที่ถูกขโมยแล้วถูกทิ้งร้าง ไม่มีโทเคนใดถูกเทรดตั้งแต่วันที่ November 8, และในช่วงบ่ายของวันนั้น ผู้สร้างของสี่ในหกโทเคนได้ถอนสภาพคล่องที่เหลือ ห้าในหกผู้สร้างโทเคนได้รับเงินทุนจากกระเป๋าเงินที่เพิ่งขายโทเคนก่อนหน้านี้ ระหว่างสองถึง 13 นาทีก่อนการเปิดตัวครั้งต่อไป, ทำให้เกิดเป็นห่วงโซ่ของโทเคน

ก่อนหน้านี้ Elliptic บันทึก วิธีการเดียวกันนี้ในการฟอกเงินจากการโจรกรรม Bybit ใน February 2025 ซึ่งโทษกลุ่ม TraderTraitor ของเกาหลีเหนือเช่นกัน โดยโทเคน Tron ที่ไร้ค่าช่วยย้ายเงินอย่างน้อย 24 ล้านดอลลาร์สหรัฐ ในกรณีของ Binance, Elliptic สังเกตว่าเทคนิคดังกล่าวบน Tron และรูปแบบที่ใกล้เคียงบน Solana ที่ใช้โทเคนที่มีการซื้อขายน้อยอยู่แล้วแทนที่จะสร้างเอง

กลยุทธ์ทำให้ช้าลง ไม่ใช่การทำให้หายไป

เหรียญมีมไม่ได้ปิดบังเงิน ทุกขั้นตอนเปิดเผยบนบล็อกเชน สิ่งที่พวกมันให้คือเวลา การกระโดดแต่ละครั้งเพิ่มเติมทำให้ผู้สอบสวนช้าลง ในขณะที่ผู้ฟอกเงินแข่งกับเวลาเพื่อย้ายเงินก่อนที่พวกเขาจะถูกแฟล็ก ที่ราคาประมาณ 90 ดอลลาร์สหรัฐต่อตัว โทเคนมีราคาถูกพอที่จะทิ้ง

สิ่งนี้สอดคล้องกับรูปแบบที่กว้างขึ้นที่ Elliptic ได้ ติดตาม นับตั้งแต่การโจรกรรม: กระเป๋าเงินมากกว่า 20,000 ใบใน 16 บล็อกเชน, บริการอย่างน้อย 36 รายการ และธุรกรรมอย่างน้อย 65,000 รายการ Binance ได้ ระบุ ว่าการโจมตีเริ่มต้นด้วยการสัมภาษณ์งานปลอมและดำเนินไปเป็นเวลาห้าเดือนก่อนที่เหรียญใดถูกย้าย บริษัทบล็อกเชน เชื่อมโยง การเจาะระบบกับ TraderTraitor ภายในหนึ่งวัน

การแปลงเป็น bitcoin เป็นตัวแทนของเรื่องราวทางการเงินที่ใหญ่กว่า SOL ที่ถูกขโมยทั้งหมดถูกสวอป, บริดจ์ หรือมิกซ์แล้ว และส่วนใหญ่ของเส้นทาง XRP ก็ได้ เปลี่ยนเป็น bitcoin แล้ว ประมาณ 2.85 พันล้านดอลลาร์สหรัฐของของที่ถูกขโมยเดิมถูกแช่แข็ง Elliptic กล่าวว่ามีจำนวนเล็กน้อยที่อาจถูกถอนเป็นเงินสดจนถึงตอนนี้

ปฏิบัติการขโมยคริปโทของเกาหลีเหนือไม่ใช่เรื่องใหม่ Elliptic ประเมินว่าการเก็บเกี่ยวของระบอบใน 2025 อยู่ที่มากกว่า 2 พันล้านดอลลาร์สหรัฐ โดยได้รับแรงขับจากช่องโหว่ Bybit มูลค่า 1.46 พันล้านดอลลาร์สหรัฐ โดยยอดรวมที่ทราบทั้งหมดเกินกว่า 6 พันล้านดอลลาร์สหรัฐก่อนเหตุการณ์ Binance

Binance ได้ กลับมาเปิดการถอนอย่างค่อยเป็นค่อยไป และกล่าวว่าบริษัทครอบคลุมความขาดทุนของลูกค้าจากเงินทุนของตัวเอง ความท้าทายสำหรับผู้สอบสวนคือว่าพูลสภาพคล่องที่สร้างขึ้นเองจะเพิ่มจำนวนอย่างรวดเร็วจนแซงหน้าบล็อคลิสต์ที่ตามทันพวกมันหรือไม่