朝鲜通过定制 meme 币清洗币安被盗资金

周一，区块链分析公司 Elliptic 报告称，朝鲜洗钱者正在生成自己的无价值 meme 代币，并通过它们路由从币安黑客攻击中窃取的资金。这防止了这些币直接在钱包之间移动。

11月5日至7日期间，操作者在 NEAR 区块链上推出了至少六种新代币——FUK、OLCCL、MEILI、MMLI、DABI 和 SINU。每一种都在其自己的流动性池中与 NEAR 配对。然后，他们用窃取的 NEAR 购买这些代币，并通过一组独立的钱包将其卖回。Elliptic 记录了大约117,000 NEAR（价值约430,000美元）流经这六种代币。

此活动是清洗10月29日币安被盗资金更广泛努力的一部分。该交易所将被盗金额定为63.4亿美元，FBI 已将其与朝鲜的 TraderTraitor 组织联系起来。Elliptic 的最新分析现识别出约3,000 BTC（约2.25亿美元）已从其他被盗资产转移到新的比特币地址，而来自此次盗窃的约1,180万 NEAR（即4,370万美元）仍未动。

“大多数人认为 meme 代币是玩笑币，其价格随炒作涨跌，”Elliptic 联合创始人兼首席科学家 Tom Robinson 博士说。“朝鲜的洗钱者为它们找到了不同的用途。”

自制代币骗局的运作方式

这一技术涉及一个四步过程。朝鲜洗钱者使用公开启动工具创建代币，建立将其与真实资产（如 NEAR 或稳定币）配对的流动性池，用窃取的资金从一组钱包购买新代币，然后从第二组钱包将其卖回同一池中，从而收集真实资产。

由于池充当了中介，窃取的资金从未直接从购买钱包流向收集钱包。对于外部观察者来说，收集钱包看起来像是普通交易者，他们以盈利卖出了代币。

每种 NEAR 代币的创建成本约为25 NEAR（约90美元）。它们使用窃取的 NEAR 被大量交易了几个小时，随后被废弃。自11月8日以来，它们均无交易，那天下午，其中四种代币的创建者撤回了剩余的流动性。六种代币的创建者中有五种是由一个刚刚出售了先前代币的钱包提供资金的，时间间隔在2到13分钟之间，形成了一个代币链。

Elliptic 此前记录了在清洗2025年2月 Bybit 盗窃案中使用了相同的方法（该案也被归咎于朝鲜的 TraderTraitor 组织），其中一种无价值的 Tron 代币帮助转移了至少2400万美元。在币安案件中，Elliptic 也在 Tron 上观察到了这一技术，并在 Solana 上发现了一个密切变种，该变种使用了现有的流动性较差的代币，而非自制代币。

延缓战术，而非隐身术

Meme 币并不会隐藏资金；每一步在区块链上都是公开的。它们提供的是时间。每一跳都会减缓调查人员的速度，因为洗钱者竞相在被标记之前转移资金。每个约90美元的成本使得这些代币足够便宜，可以丢弃。

这与 Elliptic 自盗窃以来追踪的更广泛模式相符：超过20,000个钱包遍布16个区块链，至少36个服务和至少65,000笔交易。币安已表示，攻击始于一次虚假的工作面试，并在任何币移动前持续了五个月。区块链公司在一天内将此次入侵与 TraderTraitor 联系起来。

转换为比特币代表了更大的财务故事。所有被盗的 SOL 已被交换、桥接或混合，大部分 XRP 路线也已进入比特币。约28.5亿美元的原初赃款已被冻结。Elliptic 表示，迄今为止可能只有微不足道的金额被套现。

朝鲜的加密货币盗窃行动并不新鲜。Elliptic 估计该政权2025年的收入超过20亿美元，主要由14.6亿美元的 Bybit 漏洞利用驱动，其累计已知总额在币安事件之前已超过60亿美元。

币安已逐步恢复提款，并表示已用自有资金覆盖客户损失。调查人员面临的挑战是，自制流动性池是否会比追查它们的黑名单增长得更快。