朝鲜黑客借模因币洗钱，Binance被盗资金转移路径曝光

据区块链分析机构Elliptic最新报告，朝鲜黑客团伙正采用新型技术手段，通过自创模因币对从比安科（Binance）窃取的资金进行清洗。该手法利用新发行的代币与去中心化交易所（DEX）的流动性池交互，实现资金在不同钱包间的间接流转，从而规避直接转账带来的可追溯性。

洗钱新路径：代币化+流动性池

调查发现，攻击者在Tron、NEAR及Solana网络上均部署了类似操作。其流程包括：创建一个无实际用途的新代币，将其与合法加密资产如NEAR或稳定币配对，并注入去中心化交易所的流动性池。随后，一组钱包用被盗资金买入这些代币，另一组独立钱包则将代币卖出换回原始资产。这一过程使流动性池成为资金流动的“中转站”，显著增加追踪难度。

从Bybit到Binance：手法延续且升级

Elliptic指出，该策略最早于2025年追踪Bybit被盗资金时被识别。当时，黑客创建了一个毫无价值的代币，借助流动性池转移至少2400万美元。如今，相同模式出现在Binance事件后，表明攻击者已形成标准化洗钱流程。

11月2日，团队在Tron网络发现一个疑似专为洗钱设计的代币；次日，被盗的Solana（SOL）被转换为包装代币和低交易量资产，再逐步兑换为USDC并跨链转移。而在NEAR网络上的活动提供了最完整的证据链。

六枚代币联动操作，资金规模达43万美元

11月5日至7日期间，攻击者创建了六个名为FUK、OLCCL、MEILI、MMLI、DABI和SINU的代币，每个均在独立的流动性池中与NEAR配对。单个代币创建成本约25 NEAR（约合90美元），总计投入不足600美元。

这六枚代币被用于转移约11.7万个NEAR，价值约43万美元。所有买入行为的资金来源均为被盗的NEAR资产。值得注意的是，每枚代币仅由单一钱包买入、单一钱包卖出，交易量集中在极少数地址，明显非散户参与。

数据显示，三个代币（DABI、MMLI、SINU）在推出后迅速完成买卖闭环，自11月8日起未再发生任何交易。此外，先前代币收益被用于资助新代币创建，形成闭环运作链条。

低成本高隐蔽性，风险持续存在

由于每次代币创建成本仅约90美元，攻击者可无限复制此流程。当前仅转移43万美元，而仍有约1180万个NEAR（估值约4370万美元）尚未被处理，潜在风险巨大。

Elliptic提醒各加密货币交易平台与合规部门，切勿默认流动性池接收的资金即为合法来源。若出现以下特征，应高度警惕：新上线代币、极低参与钱包数量、资金到账后立即交易、交易时间集中于代币发布初期——这些均可能是洗钱信号。