Хакеры отмыли украденное у Binance через мемкоины с Маском. Что произошло
«РБК-Крипто» не дает инвестиционных советов, материал опубликован исключительно в ознакомительных целях. Криптовалюта — это волатильный актив, который может привести к финансовым убыткам.
Северокорейские хакеры, взломавшие Binance, создают собственные мемкоины, чтобы запутать следы украденных средств. Об этом говорится в исследовании компании Elliptic, специализирующейся на блокчейн-аналитике.
По ее данным, только через шесть таких токенов в сети NEAR прошло около 117 тыс. украденных токенов NEAR на сумму примерно $430 тыс. На фоне общего ущерба это небольшая сумма, однако, по оценке аналитиков, используемая схема подходит и для более крупных объемов за счет своей дешевизны.
Что случилось с Binance
Взлом Binance, ставший крупнейшим в истории криптовалюты, произошел в ночь с 29 на 30 октября. ФБР связало атаку с северокорейской группировкой TraderTraitor, которой также приписывают взлом Bybit на $1,5 млрд в 2025 году.
Основную часть переводов злоумышленники провели примерно за 20 минут, а подготовка, по данным TRM Labs, началась минимум за 36 часов. Позднее Binance оценила ущерб в $6,34 млрд. Около $2,85 млрд биржа и партнеры заморозили. Остальное хакерам нужно отмыть, то есть превратить в активы, которые сложно связать с кражей.
Как устроена схема отмыва
Elliptic описывает метод хакеров в четыре шага. Сначала злоумышленники выпускают новый токен через общедоступный сервис для запуска монет. Затем создают для него пул ликвидности на децентрализованной бирже (DEX) в паре с реальным активом — токеном NEAR или стейблкоином. Пул ликвидности — это смарт-контракт с запасом двух токенов, позволяющий автоматически обменивать один на другой.
Дальше одна группа кошельков вносит в пул украденные средства и получает мемкоин, то есть покупает его. Другая продает мемкоин обратно в пул и забирает реальный актив. В итоге деньги не переходят напрямую от кошелька с похищенными монетами к кошельку получателя: между ними оказывается пул, а цену токена задают сами хакеры. Выпуск такой монеты в сети NEAR стоит около 25 NEAR, или примерно $90. Поэтому токены можно выпускать в больших масштабах и «выбрасывать» после использования.
Шесть монет за три дня
С 5 по 7 ноября 2026 года хакеры выпустили на блокчейне NEAR как минимум шесть токенов: FUK, OLCCL, MEILI, MMLI, DABI и SINU. Внешне они не отличались от обычных мемкоинов: на логотипах — обезьяна с розовым бантиком, утка на фоне флага США, лиса и Илон Маск под баннером «Elon 2028 President». В Elliptic уточняют, что сам Маск к токенам отношения не имеет.
То, что монеты использовались для отмывания, выдала статистика торгов. Во-первых, никакие другие кошельки, кроме замешанных во взломе, не торговали этими мемкоинами. Во-вторых, создание каждого нового мемкоина было оплачено доходами от предыдущих циклов отмывания денег. В-третьих, украденные NEAR поступали через один набор кошельков и выводились через другой.
Телеграм-канал «РБК-Крипто» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.
Присоединяйтесь к форуму «РБК-Крипто» в Telegram для обсуждения новостей и тенденций криптомира.
Кошельки для покупки всех шести токенов были пополнены украденными NEAR через промежуточные счета. Почти такая же сумма вскоре была выведена из кошельков для сбора токенов, большая часть конвертировалась в стейблкоины или отправлялась на кроссчейн-мост.
Прием не новый. В феврале 2025 года после взлома Bybit та же самая группировка TraiderTraitor отмыла не менее $24 млн через самостоятельно созданный токен в сети Tron. В случае с Binance схему тоже применили в сети Tron, а в сети Solana использовали ее вариацию — с существующими малоликвидными токенами.
В чем смысл, если все прозрачно
Все описанные выше манипуляции хакеров видны в блокчейне, поэтому спрятать деньги так не получится. Цель хакеров, по оценке Elliptic, — выиграть время. Каждый лишний шаг замедляет расследование, а хакерам важно вывести средства до того, как адреса попадут в черные списки.
Ресурс для этого есть: около 11,8 млн NEAR (стоимостью примерно $43,7 млн) из похищенного пока не перемещались. Поэтому в Elliptic советуют криптокомпаниям не считать средства из пулов ликвидности чистыми по умолчанию. Тревожные признаки — токен, созданный несколько дней назад, пул, где торгуют лишь несколько кошельков, и новые адреса, которые только покупают или только продают монету.
Бутерин переосмыслил ценность эфира. Что это значит для экономики токена
Курс токена Gram упал ниже $1 впервые за 4 года и вырос после слов Дурова
В США начали расследовать криптобизнес Трампа и связей с Binance и Tether