Фальшиві токени та пули ліквідності для переміщення коштів, пов’язаних із крадіжкою в Binance

Як щойно створені токени стали інструментом відмивання коштів

Elliptic виявила метод відмивання коштів, за якого зловмисники створюють нові токени й використовують пули ліквідності децентралізованих бірж для переміщення криптовалюти, пов’язаної з крадіжкою в Binance. Замість того щоб переказувати активи безпосередньо з одного гаманця на інший, оператори обмінюють їх через токен, який щойно запустили. Додаткові кроки ускладнюють пряме пов’язання коштів, внесених у пул, із криптовалютою, згодом виведеною з нього, хоча транзакції й далі записуються в блокчейні.

Ця техніка починається зі створення нового токена в парі з усталеним активом, наприклад NEAR або стейблкоїном. Оператори додають обидва активи до пулу децентралізованої біржі, а потім використовують одну групу гаманців, щоб купити новий токен за викрадені кошти. Інші гаманці продають цей токен назад у пул і отримують натомість парну криптовалюту. Отже, пул слугує посередником між гаманцями, ускладнюючи шлях транзакцій, але не приховуючи його.

Elliptic повідомляє, що вперше виявила цей метод, відстежуючи кошти, викрадені з Bybit у 2025 році. У тому попередньому випадку північнокорейські відмивачі створили на Tron нікчемний токен і використали пул ліквідності, щоб перемістити щонайменше 24 мільйони доларів. Невдовзі після крадіжки з Binance цей метод знову застосували в мережах Tron, Solana та NEAR. Повторення свідчить про те, що цей метод можна пристосувати до різних блокчейнів, хоча наведені дані не доводять, що в кожній пов’язаній транзакції використовувався той самий маршрут.

Маршрут через пул приховує зв’язки між гаманцями

2 листопада Elliptic виявила на Tron щойно створений токен, який, імовірно, запустили спеціально для відмивання коштів. Наступного дня викрадені SOL обміняли на обгорнуті токени з низьким обсягом торгів, потім конвертували в USDC і переказали в інші блокчейни. Ці переміщення свідчать, що описана активність не обмежувалася однією мережею чи одним активом. У звіті йдеться про послідовність обмінів і переказів, а не про пряме переміщення початкових викрадених коштів до кінцевого пункту призначення.

З опису активності в NEAR найчіткіше видно, як працював цей механізм. З 5 до 7 листопада зловмисники створили шість токенів із назвами FUK, OLCCL, MEILI, MMLI, DABI та SINU. Кожен токен утворив окрему пару з NEAR у власному пулі ліквідності. Створення кожного токена коштувало близько 25 NEAR, або приблизно 90 доларів, — відносно небагато порівняно з вартістю коштів, які згодом провели через ці шість пулів.

Загалом шість токенів використали для переміщення близько 117 000 NEAR на суму приблизно 430 000 доларів. За словами Elliptic, гаманці, з яких купували токени, отримали кошти від викрадених NEAR, тоді як згодом майже така сама сума з’явилася в окремих гаманцях. Значну частину виведеної вартості конвертували в стейблкоїни або переказали через міжмережевий міст. Така послідовність дає слідчим змогу встановити зв’язки, хоча різні гаманці та етапи конвертації ускладнюють відстеження маршруту.

Шість токенів NEAR викривають скоординовану операцію

Характер торгівлі також відрізняв цю діяльність від звичайної участі в ринку. Майже всі купівлі й продажі здійснювали пов’язані з операцією гаманці, а не широке коло незалежних трейдерів. У кожного з трьох токенів — DABI, MMLI та SINU — був лише один гаманець-покупець і один гаманець-продавець. Невдовзі після запуску токенами активно торгували, а потім їх покинули; за даними Elliptic, із 8 листопада подальшої торговельної активності не фіксували щодо жодного із шести токенів.

Слідчі також виявили зв’язок між послідовними запусками токенів: кошти, отримані від попередніх токенів, використовували для фінансування створення нових. Це відкриття пов’язує операцію із шістьма токенами й свідчить, що пули не були просто не пов’язаними між собою експериментами. Воно також допомагає пояснити, як оператори можуть повторювати цю схему: низька вартість створення та повторне використання повернутих коштів дають змогу запускати нові токени. Водночас наявні дані не встановлюють усіх гаманців і не визначають кінцеве призначення всіх коштів.

Головне обмеження цього методу полягає в тому, що він ускладнює відстеження, а не стирає докази. Обміни в пулах і проміжні гаманці ускладнюють і сповільнюють встановлення зв’язку між викраденими активами, що надходять, і криптовалютою, яка виходить, але транзакції все одно залишають запис у блокчейні. Elliptic зазначає, що слідчі й далі можуть відстежувати рух коштів. Для команд, які займаються відстеженням, практичне завдання полягає в тому, щоб інтерпретувати пов’язану активність у різних гаманцях, контрактах токенів, пулах і, в окремих випадках, блокчейн-мостах.

Слід залишається видимим, але ризики для дотримання вимог нікуди не зникають

Згадані $430 000, переведені через шість токенів NEAR, становлять лише частину коштів, про які йдеться в розслідуванні. За оцінкою Elliptic, близько 11,8 мільйона NEAR вартістю приблизно $43,7 мільйона залишаються нерухомими. Ця цифра відображає обсяг коштів, які, за даними компанії, не переміщувалися, а не суму, щодо якої встановлено, що вона пройшла через шість пулів. Ця відмінність важлива: операція з токенами — це задокументована частина активності, а не повний облік викрадених коштів.

Elliptic застерегла біржі та фахівців із комплаєнсу від автоматичного визнання криптовалюти, отриманої з пулів ліквідності, легітимною. У звіті названо кілька ознак, на які варто звернути увагу: нещодавно створені токени, пули з дуже малою кількістю гаманців-учасників і рахунки, поповнені незадовго до початку торгів. Жодна з цих ознак окремо не є беззаперечним доказом відмивання коштів. Однак у поєднанні зі зв’язками транзакцій із викраденими активами вони можуть допомогти фахівцям із комплаєнсу визначити, яку активність варто ретельніше перевірити.

У наведених результатах дослідження залишаються відкритими важливі питання. У них не уточнюється, яку частку від загальної суми викрадених коштів із Binance провели цим способом, куди зрештою надійшли всі кошти та чи перемістять решту 11,8 мільйона NEAR. Також не стверджується, що кожен нещодавно запущений токен або пул із малою кількістю учасників є незаконним. Висновок розслідування вужчий, але практично важливий: обміни токенів можуть ускладнювати встановлення походження коштів, однак моделі поведінки гаманців і відкритий ланцюжок транзакцій усе ще дають аналітикам і біржам докази для оцінювання.

Джерело: CryptoPotato