朝鲜关联洗钱者自制迷因币转移币安被盗资金43万美元

NEAR链上铸造六种一次性代币

与朝鲜关联的洗钱团伙铸造了六种一次性代币,试图掩盖币安64亿美元黑客事件中约43万美元的转账。链上分析机构Elliptic于11月9日发布报告,由联合创始人兼首席科学家Tom Robinson执笔,披露了这一手法。操作者在11月5日至11月7日之间铸造了名为FUK、OLCCL、MEILI、MMLI、DABI和SINU的代币,每个迷因币的铸造成本约为25枚NEAR,折合大约90美元。

整套洗钱流程依托去中心化交易所的流动性池运行。洗钱者将每种代币与NEAR配对,建立独立资金池,随后把约11.7万枚被盗NEAR分批经池子转移。一个钱包集群用赃款买入代币,另一个集群则把同样的代币卖回池中,取走真实资产。由于资金池横在两组钱包之间,没有任何钱包直接向另一个钱包转账,收款账户因此看上去更像是获利离场的普通交易者,而非黑客赃款的接收方。

链上数据显示,几乎全部成交都来自与该操作关联的钱包,外来买家在其中一个代币的交易量中占比不足1%,全部六种代币的交易在11月8日之前已经停止。其中一种代币的图案使用了埃隆·马斯克的头像,并配有“Elon 2028 President”的横幅,不过Elliptic指出没有任何迹象表明马斯克与这些代币存在关联。其余代币的命名则遵循常见的迷因币套路,包括一个粗俗玩笑和多个以狗为主题的词缀。

这类手法并非首次出现。Elliptic在2025年Bybit被盗事件后已识别过同一套玩法。其效果在于拖延调查:廉价铸出的代币用完即弃,链条因此显得杂乱。但该机构的评估是,链上路径依然可以追下去,并提醒合规团队不要默认把从流动性池流入的资金视为干净资金。

7000枚ETH流入Tornado Cash

迷因币路线只是整个洗钱行动中的一小部分。Elliptic另一份11月9日13:15(UTC)更新的洗钱追踪报告显示,被盗资金已散布在16条区块链上的超过2万个钱包中,触及至少36项服务,涉及约6.5万笔交易。自11月8日以来,与失窃相关的钱包已向Tornado Cash存入约7000枚ETH,价值接近1500万美元。其中部分存入源自比特币:这些比特币此前已经过coinjoin交易混币,随后又兑换回以太坊。

在此期间,约有3000枚BTC、价值约2.25亿美元,在从其他被盗资产兑换后集中到了新创建的地址,而主要的比特币和以太坊持仓尚未移动。目前约30亿美元仍留在与失窃相关的地址中,28.5亿美元已被冻结,真正被套现的金额很可能微乎其微。美国联邦调查局(FBI)于10月31日将10月29日的盗窃事件归因于朝鲜的TraderTraitor组织,并敦促包括THORChain运营方在内的各项服务封锁相关交易。黑客同样利用THORChain把被盗资产兑换成比特币,因为比特币没有中心化发行方,无法被冻结。

币安在11月3日发布的 event 说明中披露,这是一场历时数月的入侵,起点是伪造的招聘面试和被篡改的开发者软件。在9月的一场面试流程中,一名工程师把作业代码库下载到了工作电脑上,恶意代码替换了一个正常的开发工具,且没有触发终端安全告警。10月20日,攻击者利用这台机器和一个内部AI工具进入两名钱包工程师的电脑,随后用窃取的容器部署凭证拿到了钱包签名操作的权限。安全公司Blockaid的技术分析发现,攻击者在单笔交易中提交了50条EIP-7702授权,覆盖了该活跃钱包连续的计数器数值。币安将损失定为63.4亿美元,并表示已预留超过全额的资金来覆盖损失。追回环节还要走治理流程:冻结在Arbitrum上的8425.997枚ETH和7456万枚ARB,只有经过DAO批准才能重新动用,币安估计这一过程需要七周或更长时间。

这次洗钱设计印证了此前几次朝鲜失窃事件后链上记录已经显示的结论:混淆可以拖慢追踪,但切断不了追踪。迷因币方案里的每一步,从建池到向Tornado Cash存入,都留在公开账本上,追踪报告也把剩余约30亿美元赃款关联到了可识别的地址。按照币安的复盘,事件根因是开发工具被投毒导致的终端设备失陷,而非私钥泄露,这意味着整改重点在运营安全,而不是更换密钥。随着28.5亿美元被冻结、Arbitrum上的余额等待DAO表决,追回进度既取决于调查工作,也同样取决于治理流程的时间表。