کره شمالی برای پول‌شویی میلیون‌ها دلار از هک ۶٫۴ میلیارد دلاری بایننس، میم‌ کوین‌های جعلی می‌سازد

شش میم‌ کوین که روی نیر پروتکل ایجاد شدند، به هکرهای کره شمالی کمک کردند وجوه سرقت‌شده را جابه‌جا کنند؛ آن هم تقریباً بدون هیچ فعالیت معاملاتی واقعی. به گفته شرکت تحلیل بلاکچین Elliptic، هکرهای کره شمالی برای جابه‌جایی دارایی‌های سرقت‌شده از هک بایننس، میم‌کوین‌های خودشان را ایجاد می‌کنند. مهاجمان با استفاده از توکن‌هایی که به‌تازگی عرضه شده‌اند و استخرهای نقدینگی صرافی‌های غیرمتمرکز، وجوه را میان کیف‌پول‌ها جابه‌جا می‌کنند، بی‌آن‌که انتقال مستقیمی انجام دهند.

شیوه پول‌شویی بایننس

Elliptic این فعالیت را در ترون و NEAR شناسایی کرد و از روشی مشابه در سولانا نیز خبر داد. این فرایند شامل ایجاد یک توکن، جفت‌کردن آن با رمزارزی معتبر مانند NEAR یا یک استیبل ‌کوین و افزودنش به استخر نقدینگی در یک صرافی غیرمتمرکز است.

سپس مهاجمان با گروهی از کیف‌پول‌ها، توکن تازه‌ساخته‌شده را با وجوه سرقت‌شده می‌خرند. گروه دیگری از کیف‌پول‌ها آن توکن‌ها را دوباره به استخر می‌فروشد و رمزارز اولیه را دریافت می‌کند. به این ترتیب، استخر نقدینگی میان کیف‌پول‌ها قرار می‌گیرد و پیوند فوری میان وجوه ورودی به استخر و وجوه خروجی از آن دشوارتر می‌شود.

در این رابطه بخوانید‌ : کیف پول قرارداد هوشمند چیست؟

این شرکت تحلیل بلاکچین گفت نخستین بار هنگام ردیابی وجوه سرقت‌شده از Bybit در سال ۲۰۲۵، این روش را شناسایی کرد. در آن مورد، پول‌شویان کره شمالی توکنی بی‌ارزش روی ترون ایجاد کردند و دست‌کم ۲۴ میلیون دلار را از طریق یک استخر نقدینگی جابه‌جا کردند. همین روش اندکی پس از سرقت از بایننس نیز دوباره دیده شد.

در ۲ نوامبر، Elliptic توکنی را در ترون شناسایی کرد که به‌تازگی ایجاد شده بود و به نظر می‌رسید مشخصاً برای پول‌شویی عرضه شده باشد. روز بعد، سولانای سرقت‌شده (SOL) با توکن‌های رَپ‌شده مبادله شد و سپس به USDC تبدیل و به بلاکچین‌های دیگر منتقل شد. فعالیت در شبکه NEAR روشن‌ترین شواهد این روش را فراهم کرد.

مهاجمان بین ۵ تا ۷ نوامبر شش توکن با نام‌های FUK، OLCCL، MEILI، MMLI، DABI و SINU ایجاد کردند. هرکدام از این توکن‌ها در یک استخر نقدینگی جداگانه با NEAR جفت شدند. ایجاد یک توکن حدود ۲۵ واحد NEAR، معادل تقریباً ۹۰ دلار، هزینه داشت. سپس از این شش توکن برای جابه‌جایی حدود ۱۱۷ هزار واحد NEAR، به ارزش تقریبی ۴۳۰ هزار دلار، استفاده شد. به گفته Elliptic، کیف‌پول‌هایی که این توکن‌ها را می‌خریدند، وجوه خود را از NEARهای سرقت‌شده دریافت کرده بودند.

تقریباً به همان میزان، بعداً از طریق کیف‌پول‌های جداگانه خارج شد و بخش زیادی از آن به استیبل‌کوین تبدیل یا از طریق یک پل میان‌زنجیره‌ای منتقل شد. الگوهای تراکنش همچنین نشان دادند که سرمایه‌گذاران عادی این توکن‌ها را معامله نمی‌کردند. کیف‌پول‌های مرتبط با عملیات پول‌شویی تقریباً تمام خریدوفروش‌ها را انجام دادند. سه توکن DABI، MMLI و SINU هرکدام فقط یک کیف‌پول خریدار و یک کیف‌پول فروشنده داشتند. این توکن‌ها اندکی پس از عرضه، به‌شدت معامله شدند و سپس رها شدند. از ۸ نوامبر به این سو، هیچ‌یک از این شش توکن فعالیت معاملاتی دیگری ثبت نکرده‌اند.

وجوه همچنان قابل‌ردیابی‌اند

Elliptic همچنین دریافت که عواید توکن‌هایی که پیش‌تر عرضه شده بودند، برای تأمین هزینه ایجاد توکن‌های جدیدتر به کار رفتند؛ موضوعی که ارتباط میان شش توکن این عملیات را نشان می‌دهد. این روش رد تراکنش‌ها را از روی بلاکچین پاک نمی‌کند. بازرسان همچنان می‌توانند وجوه را ردیابی کنند، اما مبادله‌های اضافی و کیف‌پول‌های بیشتر، این فرایند را زمان‌برتر می‌کنند.

هزینه ایجاد توکن‌های جدید، حدود ۹۰ دلار برای هر توکن است. این موضوع به مهاجمان امکان می‌دهد فرایند را با توکن‌های مختلف تکرار کنند. ۴۳۰ هزار دلاری که از طریق شش توکن NEAR جابه‌جا شد، تنها بخش کوچکی از وجوه سرقت‌شده است. Elliptic برآورد می‌کند حدود ۱۱٫۸ میلیون واحد NEAR، به ارزش تقریبی ۴۳٫۷ میلیون دلار، همچنان جابه‌جا نشده است.

این شرکت همچنین به صرافی‌های رمزارزی و تیم‌های تطبیق مقررات هشدار داده است که وجوه دریافتی از استخرهای نقدینگی را به‌طور خودکار مشروع تلقی نکنند. توکن‌های تازه‌ساخته‌شده، استخرهایی با شمار بسیار اندک کیف‌پول‌های مشارکت‌کننده و حساب‌هایی که کمی پیش از معامله تأمین مالی شده‌اند، می‌توانند نشانه‌هایی از فعالیت پول‌شویی باشند.