Фальшивые токены и пулы ликвидности для перемещения средств, связанных с кражей у Binance

Как недавно созданные токены стали инструментом отмывания денег

Elliptic выявила метод отмывания денег, при котором злоумышленники создают новые токены и используют пулы ликвидности децентрализованных бирж для перемещения криптовалюты, связанной с кражей у Binance. Вместо того чтобы напрямую переводить активы с одного кошелька на другой, злоумышленники обменивают их через токен, который только что выпустили. Дополнительные шаги затрудняют прямую связь между средствами, поступившими в пул, и криптовалютой, выведенной позднее, однако транзакции по-прежнему фиксируются в блокчейне.

Метод начинается с создания нового токена в паре с уже известным активом, например NEAR или стейблкоином. Злоумышленники добавляют оба актива в пул децентрализованной биржи, а затем с помощью одной группы кошельков покупают новый токен на украденные средства. Другие кошельки продают этот токен обратно в пул и получают парную криптовалюту. Таким образом, пул становится посредником между кошельками, усложняя путь транзакции, но не скрывая его.

Elliptic сообщает, что впервые выявила этот способ, отслеживая средства, похищенные у Bybit в 2025 году. В том случае северокорейские отмывальщики создали в сети Tron бесполезный токен и использовали пул ликвидности, чтобы переместить не менее 24 млн долларов. Этот метод вновь появился вскоре после кражи у Binance — в сетях Tron, Solana и NEAR. Повторное применение говорит о том, что технику можно адаптировать к разным блокчейнам, хотя представленные данные не доказывают, что во всех связанных транзакциях использовался один и тот же маршрут.

Маршрут через пул затрудняет установление связей между кошельками

2 ноября Elliptic обнаружила в сети Tron недавно созданный токен, который, по всей видимости, выпустили специально для отмывания средств. На следующий день похищенные SOL обменяли на обёрнутые токены с низкой ликвидностью, затем конвертировали в USDC и перевели в другие блокчейны. Эти перемещения показывают, что описанная активность не ограничивалась одной сетью или одним активом. В отчёте описана последовательность обменов и переводов, а не прямое перемещение первоначально похищенных средств к конечному пункту назначения.

В описании активности в сети NEAR приведено больше всего подробностей о работе этого механизма. С 5 по 7 ноября злоумышленники создали шесть токенов с названиями FUK, OLCCL, MEILI, MMLI, DABI и SINU. Каждый токен был объединён в отдельный пул ликвидности с NEAR. Создание каждого токена обошлось примерно в 25 NEAR, или около 90 долларов, — сравнительно небольшую сумму по сравнению со стоимостью средств, впоследствии проведённых через эти шесть пулов.

С помощью шести токенов было перемещено около 117 000 NEAR стоимостью примерно 430 000 долларов. По данным Elliptic, кошельки, покупавшие токены, получили средства из похищенных NEAR, а позднее почти такая же сумма появилась на других кошельках. Значительную часть выведенных средств конвертировали в стейблкоины или отправили через межсетевой мост. Эта последовательность оставляет следы, которые могут выявить следователи, хотя использование разных кошельков и этапов конвертации усложняет отслеживание маршрута.

Шесть токенов NEAR указывают на скоординированную операцию

Характер торговли также отличал эту деятельность от обычного участия в рынке. Почти все покупки и продажи совершали связанные с операцией кошельки, а не широкая группа независимых трейдеров. У каждого из трёх токенов — DABI, MMLI и SINU — был всего один кошелёк-покупатель и один кошелёк-продавец. Вскоре после запуска торговля этими токенами была оживлённой, но затем их забросили; согласно Elliptic, с 8 ноября торговая активность по всем шести токенам не возобновлялась.

Следователи также обнаружили связь между последовательными запусками токенов: выручка от более ранних токенов использовалась для финансирования создания новых. Это открытие связывает операцию с шестью токенами и показывает, что пулы не были просто не связанными друг с другом экспериментами. Оно также помогает понять, как операторы могут повторять эту схему: низкая стоимость создания токена и повторное использование полученных средств позволяют запускать новые проекты. Однако имеющиеся данные не позволяют установить все задействованные кошельки или определить конечное местонахождение всех средств.

Главное ограничение этого метода в том, что он усложняет отслеживание, а не стирает следы. Обмены в пулах и промежуточные кошельки затрудняют и замедляют установление связи между поступившими похищенными активами и выведенной криптовалютой, однако транзакции по-прежнему оставляют запись в блокчейне. По словам Elliptic, следователи могут продолжать отслеживать движение средств. Для команд, занимающихся отслеживанием, практическая задача состоит в том, чтобы интерпретировать связанную активность в разных кошельках, контрактах токенов, пулах, а в некоторых случаях и блокчейн-мостах.

След остается видимым, но риски для соблюдения нормативных требований сохраняются

Упомянутые в расследовании 430 000 долларов, прошедшие через шесть токенов NEAR, — лишь часть средств, о которых идет речь. По оценке Elliptic, около 11,8 млн NEAR стоимостью примерно 43,7 млн долларов остаются без движения. Эта цифра отражает сумму, которая, по данным компании, не перемещалась, а не сумму, для которой доказано прохождение через шесть пулов. Это различие важно: операции с токенами — лишь документированная часть активности, а не полный отчет о похищенных средствах.

Elliptic предупредила биржи и команды по комплаенсу, что криптовалюту, полученную из пулов ликвидности, не следует автоматически считать легитимной. В сообщении особо отмечены несколько признаков, требующих проверки: недавно созданные токены, пулы с очень небольшим числом участвующих кошельков и аккаунты, пополненные незадолго до начала торгов. Ни один из этих признаков сам по себе не считается окончательным доказательством отмывания денег. Однако в сочетании со связями транзакций с украденными активами они могут помочь командам по комплаенсу определить, какая активность заслуживает более пристального внимания.

В опубликованных результатах расследования остаются важные открытые вопросы. В них не уточняется, какая доля всей суммы, похищенной у Binance, прошла через этот метод, куда в итоге направили все средства и будут ли перемещены оставшиеся 11,8 миллиона NEAR. В них также не утверждается, что каждый недавно запущенный токен или пул с небольшим числом участников связан с незаконной деятельностью. Расследование устанавливает более узкий, но практически важный факт: обмен токенов может затруднить установление происхождения средств, однако характерные модели поведения кошельков и публичная история транзакций по-прежнему дают аналитикам и биржам основания для оценки.

Источник: CryptoPotato