北韓自己發迷因幣洗幣安贓款，NEAR 上 6 個幣經手 43 萬美元就丟棄

Elponcrab

剛剛

區塊鏈分析公司 Elliptic 11 月 9 日發布報告指出，北韓洗錢人員為了搬運從幣安盜走的資金，自己發行迷因幣。11 月 5 日到 7 日之間，他們在 NEAR 鏈上至少發了 6 個新幣，約 11.7 萬個 NEAR（約 43 萬美元）的贓款經過這些幣轉手後，幣就被丟棄。

Elliptic 說，除了洗錢網路本身，幾乎沒有人買這些幣。它們存在的唯一目的，是在贓款和下一個錢包之間隔出一個交易池。

Table of Contents

粉紅蝴蝶結猴子、美國國旗鴨子：每個幣成本約 90 美元

這 6 個幣都套用典型迷因幣的包裝。Elliptic 列出的 logo 包括戴粉紅蝴蝶結的猴子、站在美國國旗前的鴨子、黑猩猩、狐狸、燃燒的金色徽章，以及一張馬斯克的圖片配上「Elon 2028 President」橫幅；Elliptic 特別註明，沒有跡象顯示馬斯克與這些幣有任何關係。

廣告 - 內文未完請往下捲動

幣名也照迷因幣的習慣取，從粗俗玩笑的 FUK，到模仿狗狗幣系列「-INU」的 SINU。6 個幣分別是 11 月 5 日發行的 FUK，11 月 6 日發行的 OLCCL、MEILI、MMLI 與 DABI，以及 11 月 7 日發行的 SINU（皆為國際標準時間）。每個幣的發行成本約 25 個 NEAR，約 90 美元。

Elliptic 認為，偽裝本身就是手法的一部分。迷因幣每天上千個發行、大多幾天內就消失，多一個卡通 logo 的短命幣不會引起注意；錢包紀錄裡有迷因幣交易，看起來像投機客而不是洗錢者，除非有人回頭查它的錢從哪裡來。

贓款進出隔著交易池，鏈上看不到直接轉帳

Elliptic 把這個手法拆成四步：先用鏈上公開的發幣工具發一個新幣；把新幣和 NEAR 或穩定幣這類真實資產配成一個去中心化交易所的流動性池；一批錢包用贓款買進新幣；另一批錢包再把新幣賣回同一個池子，提走真實資產。

整個過程中，贓款從來沒有直接從買進的錢包轉到提領的錢包，因為池子擋在中間。對不仔細看的人來說，提領的錢包就像一般交易者賣幣獲利。

NEAR 上的 6 個幣都走同一套流程：先發行，幾小時內用贓款密集交易，接著棄用。這 6 個幣 11 月 8 日之後都沒有再交易，當天下午其中 4 個幣的發行者把池子剩下的流動性撤走。

買進錢包的資金全部來自主要的被盜 NEAR 錢包，經過中間帳戶層層轉下來，合計約 11.7 萬個 NEAR；幾乎等量的 NEAR 很快從提領錢包流出，大多換成穩定幣或送進跨鏈橋。Elliptic 指出，這筆金額相對剩下的贓款不大，被盜的 NEAR 還有約 1,180 萬個（約 4,370 萬美元）尚未移動。

前一個幣的收入付下一個幣的發行費

Elliptic 列出三項證據，說明這些幣只為洗錢而生。第一是沒有外人交易：6 個幣的每一筆賣出都來自洗錢網路，其中 5 個幣的每一個也都是洗錢網路買走，唯一的外部交易是 FUK 第一天幾筆小額買進，不到成交量的 1%。DABI、MMLI 與 SINU 各自只有一個買進錢包和一個賣出錢包。

第二是幣與幣串成一條鏈。6 個幣中有 5 個的發行者，資金來自一個正在賣出上一個幣的錢包，時間在新幣發行前 2 到 13 分鐘，等於用前一個幣的洗錢收入支付下一個幣的發行費。

第三是用完即丟。每個幣都在發行後 3 小時內出現第一筆賣出，至少四分之三的交易集中在一天內完成，而且每個幣進去的 NEAR 和出來的 NEAR 都對得上。

Bybit 案用過同一招，幣安案在 Tron 與 Solana 也出現

Elliptic 第一次觀察到這個手法，是在 2025 年 Bybit 遭駭案的洗錢過程。Bybit 案和 10 月的幣安案都被歸咎於北韓駭客組織 TraderTraitor，當時洗錢人員在 Tron 上發了一個沒有價值的代幣，配上穩定幣組成交易池，再用新錢包換出，至少搬走 2,400 萬美元。

幣安案發生後幾天內，同一套方法就再次出現。Elliptic 說，11 月 2 日在 Tron 上找到一個專為洗錢而發的無價值代幣；隔天被盜的 SOL 在 Solana 上被換成包裝代幣與交易清淡的代幣，再賣成 USDC 轉到其他鏈。Solana 上用的是既有代幣而不是自發的幣，但目的一樣：在贓款和下一個錢包之間塞一個冷門資產。

這是 Elliptic 對幣安贓款流向的第二份分析，前一份報告指出北韓 4 天內開了 1.2 萬個錢包分散資金。攻擊者拋售代幣時也出過包，曾把約 500 萬美元的 PROM 賣進幾乎沒有流動性的池子，只換回約 71 美元。