هکرهای کره شمالی در حال ایجاد سکه‌های میم خود برای انتقال دارایی‌های دزدیده شده از هک بایننس هستند، طبق گزارش شرکت تحلیل بلاکچین الیپتیک.
مهاجمان از توکن‌های تازه راه‌اندازی شده و استخرهای نقدینگی صرافی‌های غیرمتمرکز برای انتقال وجوه بین کیف پول‌ها بدون انجام انتقالات مستقیم استفاده می‌کنند.
تاکتیک شستشوی بایننس
الیپتیک فعالیت را در ترون و نییر شناسایی کرد، همراه با یک روش مشابه در سولانا. این فرآیند شامل ایجاد یک توکن، جفت‌سازی آن با یک ارز دیجیتال معتبر مانند نییر یا یک استیبل‌کوین و افزودن آن به یک استخر نقدینگی در یک صرافی غیرمتمرکز است.
سپس مهاجمان از یک مجموعه کیف پول برای خرید توکن تازه ایجاد شده با وجوه دزدیده شده استفاده می‌کنند. یک گروه جداگانه از کیف پول‌ها آن توکن‌ها را به استخر می‌فروشند و ارز دیجیتال اصلی را دریافت می‌کنند. این کار استخر نقدینگی را بین کیف پول‌ها قرار می‌دهد، که اتصال فوری وجوه وارد شده به استخر با وجوه خارج شده را دشوارتر می‌کند.
شرکت تحلیل بلاکچین گفت که این روش را برای اولین بار در حین ردیابی وجوه دزدیده شده از بای بیت در سال 2025 شناسایی کرده است. در آن مورد، شستشوی پول‌های کره شمالی یک توکن بی‌ارزش در ترون ایجاد کرد و از آن برای انتقال حداقل 24 میلیون دلار از طریق یک استخر نقدینگی استفاده کرد. همان رویکرد دوباره به‌زودی پس از سرقت بایننس ظاهر شد.
در تاریخ 2 نوامبر، الیپتیک یک توکن تازه ایجاد شده در ترون شناسایی کرد که به نظر می‌رسید به‌طور خاص برای شستشو راه‌اندازی شده است. روز بعد، سولانا (SOL) دزدیده شده برای توکن‌های بسته‌بندی شده و با حجم کم معامله شده مبادله شد و سپس به USDC تبدیل و به بلاکچین‌های دیگر منتقل شد. فعالیت در نییر واضح‌ترین شواهد از این روش را ارائه داد.
بین 5 تا 7 نوامبر، مهاجمان شش توکن به نام‌های FUK، OLCCL، MEILI، MMLI، DABI و SINU ایجاد کردند. هر یک در یک استخر نقدینگی جداگانه با نییر جفت شد. ایجاد یک توکن حدود 25 نییر یا تقریباً 90 دلار هزینه داشت. سپس از این شش توکن برای انتقال حدود 117,000 نییر، به ارزش تقریبی 430,000 دلار استفاده شد. طبق گفته الیپتیک، کیف پول‌های خریداری‌کننده این توکن‌ها وجوه خود را از نییر دزدیده شده دریافت کردند.
تقریباً همان مقدار بعداً از طریق کیف پول‌های جداگانه خارج شد و بخش زیادی از آن به استیبل‌کوین‌ها تبدیل یا از طریق یک پل زنجیره‌ای منتقل شد. الگوهای تراکنش همچنین نشان داد که توکن‌ها توسط سرمایه‌گذاران عادی معامله نمی‌شوند. کیف پول‌های مرتبط با عملیات شستشو تقریباً تمام خرید و فروش‌ها را انجام دادند. سه توکن، DABI، MMLI و SINU، هر کدام فقط یک کیف پول خرید و یک کیف پول فروش داشتند. این توکن‌ها به‌سرعت پس از راه‌اندازی معامله شدند و سپس رها شدند. هیچ‌یک از این شش توکن از 8 نوامبر فعالیت معاملاتی بیشتری ثبت نکرده‌اند.
وجوه هنوز قابل ردیابی
الیپتیک همچنین دریافت که عواید ناشی از توکن‌های قبلاً راه‌اندازی شده برای تأمین مالی ایجاد توکن‌های جدیدتر استفاده شده است و این شش توکن را به هم متصل می‌کند. این روش ردپای تراکنش را از بلاکچین حذف نمی‌کند. محققان هنوز می‌توانند وجوه را دنبال کنند، اما تعویض‌ها و کیف پول‌های اضافی فرآیند را زمان‌برتر می‌کند.
با هزینه حدود 90 دلار برای هر توکن، هزینه ایجاد توکن‌های جدید پایین است. این به مهاجمان اجازه می‌دهد تا فرآیند را با توکن‌های مختلف تکرار کنند. 430,000 دلار منتقل شده از طریق شش توکن نییر تنها بخش کوچکی از وجوه دزدیده شده را نمایندگی می‌کند. الیپتیک تخمین می‌زند که حدود 11.8 میلیون نییر، به ارزش تقریباً 43.7 میلیون دلار، هنوز جابجا نشده است.
این شرکت همچنین به صرافی‌های ارز دیجیتال و تیم‌های انطباق هشدار داده است که به‌طور خودکار وجوه دریافتی از استخرهای نقدینگی را به‌عنوان وجوه معتبر در نظر نگیرند. توکن‌های تازه ایجاد شده، استخرهایی با تعداد بسیار کمی کیف پول شرکت‌کننده و حساب‌هایی که به‌تازگی قبل از معامله تأمین مالی شده‌اند، می‌توانند نشان‌دهنده فعالیت شستشو باشند.