Hackeři spojovaní se Severní Koreou podle analytické společnosti Elliptic využili vlastní memecoiny k přesouvání části kryptoměn odcizených při útoku na burzu Binance. Přes šest nově vytvořených tokenů na blockchainu NEAR podle jejích zjištění proteklo přibližně 430 tisíc dolarů. Namísto přímých převodů mezi peněženkami útočníci zapojili likviditní pooly decentralizovaných burz, aby zkomplikovali sledování finančních toků.
Šest tokenů jako prostředník pro přesun kořisti
Podle zprávy Elliptic, o níž Cointelegraph informoval 9. listopadu 2026, vzniklo mezi 5. a 7. listopadem nejméně šest tokenů na síti NEAR. Analytici jejich prostřednictvím sledovali pohyb části prostředků pocházejících z hackerského útoku na Binance, při němž podle zdrojového článku škody dosáhly 6,3 miliardy dolarů. Zmíněných 430 tisíc dolarů tak představuje pouze část kořisti, kterou Elliptic spojila s touto konkrétní metodou. Nejde o vyčíslení všech prostředků přesunutých po útoku.
Nové memecoiny podle analytiků prakticky nepřilákaly obchodníky mimo okruh zapojených peněženek. Krátce po spuštění navíc přestaly být využívány. Jejich životní cyklus tak podle popsaných zjištění odpovídal především účelu přesunout prostředky, nikoli dlouhodobě rozvíjet obchodovaný token nebo budovat komunitní projekt.
Jak fungovalo praní přes likviditní pooly
Mechanismus stál na propojení dvou skupin peněženek prostřednictvím decentralizované burzy. První skupina směňovala odcizené tokeny NEAR za nově vytvořené memecoiny. Druhá skupina následně tyto memecoiny prodávala zpět do likviditních poolů a získávala za ně NEAR. Prostředky se tím přesouvaly bez přímého převodu NEAR z jedné sledované peněženky do druhé.
Likviditní pool je zásoba tokenů, proti níž mohou uživatelé provádět směny bez nutnosti hledat konkrétní protistranu pro každý obchod. V popsaném případě tuto infrastrukturu útočníci využili jako mezikrok mezi peněženkami. Navenek tak jednotlivé operace měly podobu obchodů s tokeny, přestože podle Elliptic sloužily k přesunu odcizených aktiv. Změnila se cesta prostředků, nikoli skutečnost, že transakce zůstávaly zaznamenané na blockchainu.
Krátké časové rozestupy propojily jednotlivé projekty
Elliptic našla také návaznosti mezi financováním jednotlivých tokenů. U pěti ze šesti adres jejich tvůrců podle analýzy pocházely prostředky z výnosů předchozích prodejů tokenů. Financování přitom dorazilo jen dvě až třináct minut před spuštěním dalšího tokenu. Takto krátké intervaly pomohly analytikům propojit zdánlivě oddělené projekty do jednoho transakčního řetězce.
Případ zároveň ukazuje rozdíl mezi komplikováním analýzy a skutečným odstraněním transakční stopy. Přidání nového tokenu a několika směn může sledování zdržet, ale samo o sobě nevymaže záznamy o pohybu aktiv. Právě kombinace návazných transakcí a časových souvislostí umožnila Elliptic popsané operace spojit.
Více jednoduchých technik místo jediného postupu
Spoluzakladatel Elliptic Tom Robinson ve zprávě vysvětlil, že osoby peroucí prostředky pro Severní Koreu obvykle nespoléhají pouze na jednu techniku. Místo toho podle něj vrství větší množství levných postupů, z nichž každý přidává další zdržení při sledování peněz. Vytváření krátkodobých memecoinů proto není nutné chápat jako samostatné řešení, ale jako jednu z vrstev širšího procesu zastírání původu aktiv.
Podle Elliptic se podobný postup objevil také po útoku na burzu Bybit v roce 2025, při němž bylo odcizeno přibližně 1,5 miliardy dolarů. Aktéři spojovaní se Severní Koreou tehdy podle společnosti přesunuli nejméně 24 milionů dolarů přes nově vytvořený token na blockchainu TRON. Princip využití vlastního tokenu jako prostředníka tedy nebyl omezen pouze na síť NEAR.
Část odcizených NEAR zůstávala bez pohybu
V době zpracování analýzy podle Elliptic stále nebylo přesunuto přibližně 11,8 milionu odcizených tokenů NEAR. Společnost jejich tehdejší hodnotu vyčíslila na 43,7 milionu dolarů. Jde o ocenění platné k okamžiku analýzy, nikoli o neměnnou dolarovou hodnotu těchto aktiv. Popsaná zjištění tak zachycují konkrétní fázi sledování kořisti, nikoli konečný výsledek celého případu.
