هکرهای کره شمالی با ایجاد ۶ میم‌کوین در شبکه NEAR، بخشی از دارایی‌های سرقت‌شده را جابه‌جا کردند؛ آن هم در حالی که تقریباً هیچ فعالیت معاملاتی واقعی در این توکن‌ها وجود نداشت.
هکرهای کره شمالی برای انتقال دارایی‌های سرقت‌شده از هک بایننس، به ساخت میم‌کوین‌های اختصاصی روی آورده‌اند. شرکت تحلیل بلاکچین الیپتیک (Elliptic) این روش پول‌شویی را شناسایی کرده است.
مهاجمان با استفاده از توکن‌های تازه‌ساخته‌شده و استخرهای نقدینگی صرافی‌های غیرمتمرکز (DEX)، وجوه سرقت‌شده را میان کیف پول‌های مختلف جابه‌جا می‌کنند؛ بدون آنکه نیاز باشد مستقیماً بین آدرس‌ها انتقال انجام دهند.
روش جدید پول‌شویی هکرها در ماجرای بایننس
شرکت الیپتیک این فعالیت‌ها را در شبکه‌های ترون (Tron) و NEAR شناسایی کرده و از مشاهده روشی مشابه در شبکه سولانا نیز خبر داده است. این فرایند با ایجاد یک توکن جدید آغاز می‌شود. سپس مهاجمان آن را در برابر یک رمزارز معتبر مانند NEAR یا یک استیبل‌کوین جفت کرده و در یک استخر نقدینگی در صرافی غیرمتمرکز قرار می‌دهند.
در مرحله بعد، مهاجمان از گروهی از کیف پول‌ها برای خرید توکن تازه‌ساخته‌شده با استفاده از دارایی‌های سرقت‌شده استفاده می‌کنند. گروه دیگری از کیف پول‌ها نیز همان توکن‌ها را به استخر نقدینگی می‌فروشند و رمزارز اصلی را دریافت می‌کنند.
به این ترتیب، استخر نقدینگی به‌عنوان واسطه‌ای میان کیف پول‌های ورودی و خروجی عمل می‌کند و شناسایی ارتباط مستقیم میان وجوه واردشده به استخر و دارایی‌های خارج‌شده از آن را دشوارتر می‌سازد.
الیپتیک اعلام کرده است که نخستین بار هنگام ردیابی دارایی‌های سرقت‌شده از صرافی بای‌بیت در سال ۲۰۲۵ با این روش مواجه شده است. در آن پرونده، پول‌شویان کره شمالی یک توکن بی‌ارزش در شبکه ترون ایجاد کردند و از طریق یک استخر نقدینگی، حداقل ۲۴ میلیون دلار را جابه‌جا کردند. همین روش مدت کوتاهی پس از سرقت بایننس نیز دوباره مشاهده شد.
در تاریخ ۲ نوامبر، الیپتیک یک توکن تازه‌ساخته‌شده در شبکه ترون را شناسایی کرد که به نظر می‌رسید به‌طور اختصاصی برای پول‌شویی ایجاد شده باشد. روز بعد نیز بخشی از سولانای (SOL) سرقت‌شده، ابتدا به توکن‌های رپدشده (Wrapped) و کم‌معامله تبدیل شد و سپس در قالب USDC به شبکه‌های بلاکچینی دیگر انتقال یافت.
با این حال، فعالیت‌های شناسایی‌شده در شبکه NEAR واضح‌ترین شواهد از اجرای این روش پول‌شویی را در اختیار الیپتیک قرار داد.
مهاجمان بین روزهای ۵ تا ۷ نوامبر، شش توکن با نام‌های FUK، OLCCL، MEILI، MMLI، DABI و SINU ایجاد کردند. هر یک از این توکن‌ها در یک استخر نقدینگی جداگانه با رمزارز NEAR جفت شدند.
هزینه ایجاد هر توکن حدود ۲۵ واحد NEAR، معادل تقریبی ۹۰ دلار بود. این شش توکن در مجموع برای جابه‌جایی حدود ۱۱۷ هزار واحد NEAR به ارزش تقریبی ۴۳۰ هزار دلار مورد استفاده قرار گرفتند. طبق گزارش الیپتیک، کیف پول‌هایی که این توکن‌ها را خریداری می‌کردند، از دارایی‌های سرقت‌شده NEAR تأمین مالی شده بودند.
تقریباً همین میزان دارایی در ادامه از طریق کیف پول‌های جداگانه خارج شد و بخش قابل‌توجهی از آن به استیبل‌کوین‌ها تبدیل یا از طریق یک پل میان‌زنجیره‌ای (Cross-chain Bridge) به شبکه‌های دیگر منتقل شد.
الگوی تراکنش‌ها همچنین نشان می‌داد که این توکن‌ها هیچ‌گونه فعالیت معاملاتی واقعی از سوی سرمایه‌گذاران عادی نداشته‌اند. تقریباً تمام معاملات خرید و فروش توسط کیف پول‌های مرتبط با عملیات پول‌شویی انجام شده بود.
برای سه توکن DABI، MMLI و SINU، هرکدام تنها یک کیف پول خریدار و یک کیف پول فروشنده وجود داشت. این توکن‌ها بلافاصله پس از راه‌اندازی با حجم بالایی معامله شدند، اما خیلی زود به حال خود رها شدند. هیچ‌یک از این شش توکن از تاریخ ۸ نوامبر تاکنون فعالیت معاملاتی جدیدی ثبت نکرده‌اند.
دارایی‌های سرقت‌شده همچنان قابل ردیابی هستند
الیپتیک همچنین دریافت که درآمد حاصل از توکن‌های قبلی برای تأمین هزینه ایجاد توکن‌های جدید استفاده شده است؛ موضوعی که ارتباط میان عملیات مربوط به هر شش توکن را نشان می‌دهد.
این روش باعث حذف ردپای تراکنش‌ها از بلاکچین نمی‌شود. بنابراین، همچنان امکان ردیابی دارایی‌ها برای محققان وجود دارد، اما استفاده از کیف پول‌های متعدد و انجام مبادلات اضافی، فرایند شناسایی مسیر وجوه را پیچیده‌تر و زمان‌برتر می‌کند.
با توجه به اینکه ایجاد هر توکن تنها حدود ۹۰ دلار هزینه دارد، مهاجمان می‌توانند این روش را با توکن‌های مختلف بارها تکرار کنند. البته ۴۳۰ هزار دلار جابه‌جاشده از طریق شش توکن شبکه NEAR، تنها بخش کوچکی از کل دارایی‌های سرقت‌شده محسوب می‌شود.
برآوردهای الیپتیک نشان می‌دهد که حدود ۱۱.۸ میلیون واحد NEAR به ارزش تقریبی ۴۳.۷ میلیون دلار همچنان جابه‌جا نشده است.
این شرکت همچنین به صرافی‌های رمزارزی و تیم‌های نظارتی و تطبیق مقررات (Compliance) هشدار داده است که نباید دارایی‌های دریافتی از استخرهای نقدینگی را به‌صورت خودکار مشروع و قانونی تلقی کنند.
از جمله نشانه‌های مشکوک در این زمینه می‌توان به توکن‌های تازه‌ساخته‌شده، استخرهای نقدینگی با تعداد بسیار محدودی شرکت‌کننده و کیف پول‌هایی اشاره کرد که مدت کوتاهی پیش از آغاز معاملات، با دارایی‌های جدید تأمین مالی شده‌اند.
اطلاعات ارائه شده در این مقاله صرفاً برای اهداف اطلاعاتی و آموزشی است و نباید به عنوان مشاوره مالی، سرمایه‌گذاری یا حقوقی تلقی شود. ما توصیه می‌کنیم قبل از انجام هر گونه سرمایه‌گذاری، تحقیقات مستقل انجام دهید و با یک مشاور مالی یا حقوقی مشورت کنید.
