Binancen hakkereiden saalis pestään meme-kolikoiden avulla

Ryhmä, joka tyhjensi Binancesta noin 6,3 miljardia dollaria, on alkanut lyödä meemikolikoita. Niitä ei ole tarkoitettu kenenkään ostettavaksi. Niiden tarkoitus on tarjota varastetulle rahalle piilopaikka muutamaksi tunniksi.

Uutinen levisi nopeasti X:ssä, jossa StalkHQ kiinnitti huomiota meemikolikoiden lanseerauksiin, ja tiedot ovat peräisin blockchain-analyysiyritys Ellipticin maanantaina julkaisemasta raportista. Ellipticin mukaan Pohjois-Korean TraderTraitor-ryhmälle työskentelevät rahanpesijät loivat vähintään kuusi kertakäyttöistä tokenia NEAR-alustalle 5.–7. marraskuuta. Yhdessä on apina, jolla on vaaleanpunainen rusetti. Toisessa on Yhdysvaltain lippuun kääritty ankka. Yhdessä näkyy Elon Musk ”Elon 2028 President” -bannerin alla, jolla Ellipticin mukaan ei ole mitään tekemistä Muskin kanssa. Nimiä ovat muun muassa FUK ja SINU.

Summat ovat pieniä. Kuuden tokenin kautta kulki noin 117 000 NEAR:ia, eli noin 430 000 dollaria, mikä on alle 0,01% ryöstösaaliista. Menetelmä on se, mitä kannattaa seurata.

Kerroimme jo itse hakkeroinnista heti sen tapahtuessa. Lyhyesti sanottuna: 29. lokakuuta hyökkääjät siirsivät miljardeja noin 20 minuutissa, ja toimitusjohtaja Richard Teng kertoi myöhemmin, että hyökkääjä käytti itsetuhoamismekanismia, joka poisti työkalut ja jäljet matkan varrella. FBI nimesi TraderTraitorin kaksi päivää myöhemmin. Kyseessä on sama ryhmä, jota FBI syytti 1,4 miljardin dollarin Bybit-varkaudesta vuonna 2025.

Kuinka arvoton token puhdistaa oikeaa rahaa

Järjestelmä on yksinkertainen ja edullinen. Jokaisen tokenin lanseeraus maksoi noin 25 NEAR:ia, eli noin 90 dollaria. Rahanpesijät yhdistävät sen todelliseen omaisuuserään, kuten NEAR:iin, hajautetun pörssin likviditeettipoolissa. Yksi lompakkojoukko maksaa varastetut varat pooliin ja saa vastineeksi uuden tokenin. Toinen lompakkojoukko myy tokenin samaan pooliin ja nostaa sieltä puhtaalta näyttävää NEAR:ia.

Varastettuja varoja ei siirretä koskaan suoraan ensimmäisestä lompakkojoukosta toiseen. Pooli toimii välissä, ja vastaanottavat lompakot näyttävät tavallisilta kauppiailta, jotka ovat myyneet meemikolikon voitolla. Ellipticin perustaja Tom Robinson sanoi asian selvästi X:ssä: kolikot ovat peitetarina, mutta jokainen vaihe tapahtuu lohkoketjussa, ja Elliptic on jäljittänyt sen.

Ellipticin todisteita siitä, ettei näillä tokeneilla ole koskaan ollut todellista markkinaa, on vaikea kiistää. Rahanpesuverkoston lompakot suorittivat kaikki kuuden tokenin myynnit ja ostivat jokaisen yksikön viidestä niistä. Viisi kuudesta luojasta sai rahoituksensa lompakolta, joka oli myynyt edellisen tokenin muutama minuutti aiemmin, joten jokainen kolikko maksoi seuraavan. Kaikki kuusi myytiin ensimmäisen kerran kolmen tunnin kuluessa lanseerauksesta ja sitten myytiin pois. Yhtäkään niistä ei ole vaihdettu 8. marraskuuta jälkeen, ja neljän luojat vetivät jäljellä olevan likviditeetin pois sinä iltapäivänä.

Ei uutta, vain suurempaa

Pohjois-Korea on tehnyt näin aiemminkin. Elliptic havaitsi ilmiön ensimmäisen kerran Bybit-hakkeroinnin jälkeen, kun vähintään 24 miljoonaa dollaria kulki arvottoman Tron-tokenin kautta. Tällä kertaa ryhmä pääsi paikalle muutamassa päivässä. Tron-token ilmestyi 2. marraskuuta, ja 3. marraskuuta varastettuja SOL-kolikoita vaihdettiin harvoin vaihdettaviin Solana-tokeniin ennen kuin ne myytiin USDC:ksi. NEAR-erä tuli myöhemmin samana viikkona.

Meme-kolikot toimivat hyvänä peitteenä, koska niitä lanseerataan tuhansia päivittäin ja suurin osa katoaa muutamassa päivässä. Lompakko, jonka historiassa on tuore sarjakuvatoken, näyttää spekulantilta, ei rahanpesijältä, ellei joku tarkista, mistä rahat ovat peräisin.

Sivushow pääkoneelle

Elliptic on selvä siitä, että tämä kerros ei peitä mitään. Se hidastaa tutkijoita, ja rahanpesukilpailussa viivästys on juuri se, mistä on kyse.

Suurempi operaatio näyttää erilaiselta. Ellipticin tilasto kattaa nyt yli 20 000 lompakkoa 16 lohkoketjussa ja vähintään 36 palvelussa. Viikon alussa yritys kertoi, että varat siirtyivät uuteen lompakkoon noin 25 sekunnin välein, ja Robinson kuvaili sitä automaattiseksi rahanpesuksi, joka todennäköisesti on automatisoitu ihmisen valvonnan alla. Ellipticin oma varoitus oli, että staattiset luettelot ja kertaluonteiset tarkastukset eivät havaitse tällaista klusteria. Myös Chainalysis korosti rahanpesun taustalla olevaa automaatiota.

Myös muita reittejä on käytössä. Noin 7 000 ETH:ta, eli noin 15 miljoonaa dollaria, on siirtynyt Tornado Cashiin sunnuntaista lähtien. Noin 3 000 BTC:tä, noin 225 miljoonaa dollaria, on nyt uusissa bitcoin-osoitteissa, ja osa varastetuista varoista on siirretty THORChainin kautta, mistä podcastaajat keskustelivat jo FBI:n syyllisyysmäärittelyn yhteydessä.

Osa saaliista ei koskaan päässyt liikkeelle. FBI:n mukaan Tether, Circle, Ripple, Arbitrum ja Optimism jäädyttivät ketjussa 2,85 miljardia dollaria. TRM arvioi summan olevan lähempänä 2,7 miljardia dollaria, ja Binance mainitsee noin 3 miljardia dollaria. Elliptic raportoi myös, että 11,8 miljoonaa varastettua NEAR-kolikkoa, joiden arvo on noin 43,7 miljoonaa dollaria, ei ole vielä liikkunut.

Yksi varoitus niiltä, jotka seuraavat Pohjois-Koreaa työkseen. DTEX:n Michael Barnhart kertoi Recorded Future Newsille, että TraderTraitorilla on tapana siirtää rahaa nopeasti kiinalaisille rahanpesuverkostoille, joten osa siitä, mitä analyytikot näkevät lohkoketjussa, saattaa olla näiden verkostojen toimintaa. Elliptic luokittelee meme-kolikoiden toiminnan edelleen pohjoiskorealaiseksi.

Mitä compliance-tiimien tulisi ottaa huomioon

Ellipticin neuvo on, että likviditeettipoolien varoja ei pidä oletuksena pitää puhtaina. Swap-kaupan kautta rahoitettu lompakko voi olla vain kahden askeleen päässä varastetusta rahasta. Varoitusmerkkejä ovat viime päivinä luotu token, pool, jossa on vain kourallinen kauppiaita, lompakot, jotka vain ostavat tai vain myyvät, sekä uudet lompakot, joihin on talletettu pyöreitä summia vähän ennen kaupankäynnin alkamista. Yritys julkaisee myös ilmaisen estolistan Binancen hakkeroiduista osoitteista ja kertoo päivittävänsä sitä jatkuvasti.

Toistaiseksi seurattava luku on se koskematon 11,8 miljoonaa NEAR-tokenia.