Fałszywe tokeny i pule płynności wykorzystywane do transferu środków powiązanych z kradzieżą na Binance

Jak nowo utworzone tokeny stały się narzędziem do prania pieniędzy

Elliptic zidentyfikowało metodę prania pieniędzy, w której napastnicy tworzą nowe tokeny i wykorzystują pule płynności na zdecentralizowanych giełdach do transferu kryptowaluty powiązanej z kradzieżą na Binance. Zamiast przesyłać aktywa bezpośrednio z jednego portfela do drugiego, operatorzy wymieniają je za pośrednictwem tokena, który dopiero co wprowadzili. Dodatkowe kroki utrudniają bezpośrednie powiązanie środków trafiających do puli z kryptowalutą wypłacaną z niej później, choć transakcje nadal są zapisywane w łańcuchu bloków.

Technika zaczyna się od utworzenia nowego tokena w parze z uznanym aktywem, takim jak NEAR lub stablecoin. Operatorzy dodają oba aktywa do puli na zdecentralizowanej giełdzie, a następnie za pomocą jednego zestawu portfeli kupują nowy token, wykorzystując skradzione środki. Inne portfele sprzedają ten token z powrotem do puli i otrzymują w zamian sparowaną kryptowalutę. Pula pełni więc rolę pośrednika między portfelami, komplikując ścieżkę transakcji, ale jej nie zacierając.

Elliptic twierdzi, że po raz pierwszy zidentyfikował tę metodę podczas śledzenia środków skradzionych z Bybit w 2025 roku. W tamtej sprawie północnokoreańscy przestępcy zajmujący się praniem pieniędzy utworzyli bezwartościowy token na Tron i wykorzystali pulę płynności, aby przemieścić co najmniej 24 miliony dolarów. Metoda pojawiła się ponownie wkrótce po kradzieży z Binance — w sieciach Tron, Solana i NEAR. Powtarzające się wykorzystanie tej techniki sugeruje, że można ją dostosować do różnych blockchainów, choć przedstawione ustalenia nie dowodzą, że każda powiązana transakcja przebiegała tą samą ścieżką.

Ścieżka oparta na puli zaciera powiązania między portfelami

2 listopada Elliptic zidentyfikował nowo utworzony token w sieci Tron, który wyglądał na uruchomiony specjalnie do prania pieniędzy. Następnego dnia skradzione SOL wymieniono na opakowane tokeny o niskiej płynności, a następnie na USDC i przesłano do innych blockchainów. Te przepływy pokazują, że opisana aktywność nie ograniczała się do jednej sieci ani jednego aktywa. Relacja opisuje sekwencję wymian i transferów, a nie bezpośredni przepływ od pierwotnie skradzionych środków do ostatecznego celu.

Opisana aktywność w sieci NEAR najdokładniej pokazuje, jak działał ten mechanizm. Od 5 do 7 listopada atakujący utworzyli sześć tokenów o nazwach FUK, OLCCL, MEILI, MMLI, DABI i SINU. Każdy token sparowano z NEAR w osobnej puli płynności. Utworzenie każdego tokena kosztowało około 25 NEAR, czyli mniej więcej 90 dolarów — stosunkowo niewiele w porównaniu z wartością, którą później przepuszczono przez te sześć pul.

Łącznie sześć tokenów posłużyło do przesłania około 117 000 NEAR o wartości mniej więcej 430 000 dolarów. Elliptic twierdzi, że portfele, które kupowały te tokeny, otrzymały środki pochodzące ze skradzionego NEAR, a później niemal taka sama kwota pojawiła się w odrębnych portfelach. Znaczną część wypłaconych środków wymieniono na stablecoiny lub przesłano przez most międzyłańcuchowy. Taki przebieg pozostawia śledczym możliwe do zidentyfikowania powiązania, choć wiele portfeli i etapów wymiany komplikuje prześledzenie całej ścieżki.

Sześć tokenów NEAR ujawnia skoordynowaną operację

Wzorzec handlu również odróżniał tę aktywność od zwykłego udziału w rynku. Portfele powiązane z operacją odpowiadały za niemal wszystkie transakcje kupna i sprzedaży, zamiast szerokiej grupy niezależnych traderów. Każdy z trzech tokenów — DABI, MMLI i SINU — miał tylko jeden portfel kupujący i jeden portfel sprzedający. Wkrótce po uruchomieniu tokenami handlowano na dużą skalę, po czym je porzucono; według Elliptic od 8 listopada nie odnotowano dalszej aktywności handlowej żadnego z sześciu tokenów.

Śledczy odkryli również powiązanie między kolejnymi uruchomieniami tokenów: wpływy z wcześniejszych tokenów wykorzystano do sfinansowania utworzenia nowszych. To ustalenie łączy operację obejmującą sześć tokenów i wskazuje, że pule nie były po prostu niezwiązanymi ze sobą eksperymentami. Pomaga też wyjaśnić, jak operatorzy mogą powtarzać tę metodę: niski koszt utworzenia i ponowne wykorzystanie odzyskanych środków mogą umożliwić kolejne uruchomienia. Dostępne informacje nie wskazują jednak wszystkich portfeli ani ostatecznego przeznaczenia wszystkich środków.

Głównym ograniczeniem tej metody jest to, że zwiększa ona złożoność, zamiast usuwać ślady. Wymiany w pulach i pośredniczące portfele sprawiają, że powiązanie wpływających skradzionych środków z wypływającymi kryptowalutami zajmuje więcej czasu, ale transakcje nadal pozostawiają zapis w łańcuchu bloków. Elliptic twierdzi, że śledczy mogą nadal podążać tropem środków. Dla zespołów zajmujących się śledzeniem praktycznym wyzwaniem jest interpretacja powiązanej aktywności obejmującej portfele, kontrakty tokenów, pule, a w niektórych przypadkach także mosty międzyłańcuchowe.

Ślad pozostaje widoczny, ale ryzyko związane ze zgodnością nadal się utrzymuje

Zgłoszone 430 000 USD przepuszczone przez sześć tokenów NEAR to tylko część środków omawianych w dochodzeniu. Elliptic szacuje, że około 11,8 mln NEAR, o wartości około 43,7 mln USD, pozostaje bez ruchu. Kwota ta określa środki, które według firmy nie zostały przeniesione, a nie sumę, co do której wykazano, że przeszła przez sześć pul. To rozróżnienie ma znaczenie: operacja z wykorzystaniem tokenów to udokumentowany fragment działań, a nie pełny obraz skradzionych środków.

Elliptic ostrzegł giełdy i zespoły ds. zgodności, by nie uznawały automatycznie kryptowalut otrzymanych z pul płynności za legalne. Wskazano kilka sygnałów ostrzegawczych wymagających weryfikacji: nowo utworzone tokeny, pule z bardzo małą liczbą uczestniczących portfeli oraz konta zasilone na krótko przed rozpoczęciem handlu. Żadna z tych cech sama w sobie nie jest przedstawiana jako rozstrzygający dowód prania pieniędzy. W połączeniu z powiązaniami transakcyjnymi ze skradzionymi aktywami mogą jednak pomóc zespołom ds. zgodności zdecydować, które działania wymagają dokładniejszej analizy.

W opublikowanych ustaleniach nadal pozostaje kilka otwartych kwestii. Nie określono, jaka część całej kwoty skradzionej z Binance została przekazana tą metodą, dokąd ostatecznie trafiły wszystkie środki ani czy pozostałe 11,8 mln NEAR zostanie przetransferowane. Nie stwierdzono też, że każdy nowo uruchomiony token lub pula z niewielką liczbą uczestników ma nielegalny charakter. Dochodzenie potwierdza jednak węższy, ale praktyczny wniosek: wymiany tokenów mogą utrudniać ustalenie pochodzenia środków, ale wzorce aktywności portfeli i publiczny ślad transakcji nadal dostarczają analitykom i giełdom dowodów do oceny.

Źródło: CryptoPotato