朝鲜黑客借模因币洗钱，Binance被盗资金转移路径曝光

据区块链分析机构Elliptic**报告，朝鲜黑客团伙正采用新型技术手段，通过自创模因币对从比安科（Binance）窃取的资金进行清洗。该手法利用新发行的**与去**化交易所（DEX）的流动性池交互，实现资金在不同钱包间的间接流转，从而规避直接转账带来的可追溯性。

**新路径：**化 流动性池

调查发现，攻击者在Tron、NEAR及Solana网络上均部署了类似操作。其流程包括：创建一个无实际用途的新**，将其与合法加密资产如NEAR或稳定币配对，并注入去**化交易所的流动性池。随后，一组钱包用被盗资金买入这些**，另一组独立钱包则将**卖出换回原始资产。这一过程使流动性池成为资金流动的“中转站”，显著增加追踪难度。

从Bybit到Binance：手法延续且升级

Elliptic指出，该策略最早于2025年追踪Bybit被盗资金时被识别。当时，黑客创建了一个毫无价值的**，借助流动性池转移至少2400万美元。如今，相同模式出现在Binance事件后，表明攻击者已形成标准化**流程。

11月2日，团队在Tron网络发现一个疑似专为**设计的**；次日，被盗的Solana（SOL）被转换为包装**和低交易量资产，再逐步兑换为USDC并跨链转移。而在NEAR网络上的活动提供了最完整的证据链。

六枚**联动操作，资金规模达43万美元

11月5日至7日期间，攻击者创建了六个名为FUK、OLCCL、MEILI、MMLI、DABI和SINU的**，每个均在独立的流动性池中与NEAR配对。单个**创建成本约25 NEAR（约合90美元），总计投入不足600美元。

这六枚**被用于转移约11.7万个NEAR，价值约43万美元。所有买入行为的资金来源均为被盗的NEAR资产。值得注意的是，每枚**仅由单一钱包买入、单一钱包卖出，交易量集中在极少数地址，明显非散户参与。

数据显示，三个**（DABI、MMLI、SINU）在推出后迅速完成买卖闭环，自11月8日起未再发生**交易。此外，先前**收益被用于资助新**创建，形成闭环运作链条。

低成本高隐蔽性，风险持续存在

由于每次**创建成本仅约90美元，攻击者可**复制此流程。当前仅转移43万美元，而仍有约1180万个NEAR（估值约4370万美元）尚未被处理，潜在风险巨大。

Elliptic提醒各加密货币交易平台与合规部门，切勿默认流动性池接收的资金即为合法来源。若出现以下特征，应高度警惕：新上线**、极低参与钱包数量、资金到账后立即交易、交易时间集中于**发布初期——这些均可能是**信号。