مهاجمان مرتبط با هک ۶.۴ میلیارد دلاری بایننس، روش تازه‌ای برای جابه‌جایی دارایی‌های سرقت‌شده به کار گرفته‌اند: ساخت میم‌کوین‌های بی‌ارزش با تصاویر ایلان ماسک و حیوانات و استفاده از آن‌ها برای پنهان‌کردن ارتباط میان کیف‌پول‌های آلوده.

براساس تحقیقات شرکت امنیت بلاکچین الیپتیک (Elliptic)، هکرها طی روزهای پنجم تا هفتم نوامبر ۲۰۲۶ دست‌کم شش توکن ساختگی ایجاد کردند و حدود ۱۱۷ هزار واحد NEAR، به ارزش تقریبی ۴۳۰ هزار دلار، را از طریق معاملات این توکن‌ها جابه‌جا کردند.

به نقل از دبلاک (The Block)، گزارش نهم نوامبر نشان می‌دهد این فعالیت بخشی از عملیات گسترده‌تر پول‌شویی دارایی‌های سرقت‌شده بایننس بوده که به گروه‌های وابسته به کره شمالی نسبت داده شده است.

میم‌کوین‌های ایلان ماسک چگونه وارد عملیات پول‌شویی شدند؟

محققان الیپتیک شش توکن را شناسایی کرده‌اند که با نمادهایی مانند FUK، SINU، DABI و MMLI ایجاد شده‌اند.

تصاویر این توکن‌ها شامل میمون، روباه، اردک و دیگر شخصیت‌های کارتونی بود. یکی از آن‌ها نیز تصویر ایلان ماسک را همراه با عبارت «Elon 2028 President» نمایش می‌داد.

الیپتیک تأکید کرده هیچ نشانه‌ای از ارتباط ایلان ماسک با این پروژه‌ها یا عملیات پول‌شویی وجود ندارد.

هدف مهاجمان جذب سرمایه‌گذار واقعی نبود. آن‌ها توکن‌هایی ایجاد کردند که تقریباً تمام معاملاتشان میان کیف‌پول‌های تحت کنترل خودشان انجام می‌شد.

در این شیوه، دارایی سرقت‌شده از طریق استخرهای نقدینگی صرافی‌های غیرمتمرکز به توکن‌های ساختگی تبدیل می‌شود و سپس به کیف‌پول‌های دیگری بازمی‌گردد.

در نتیجه، ممکن است دریافت‌کننده نهایی در نگاه نخست شبیه معامله‌گری باشد که از فروش یک میم‌کوین سود کسب کرده است؛ درحالی‌که منشأ دارایی همچنان به کیف‌پول‌های هک‌شده مرتبط است.

بررسی الیپتیک نشان داد سهم معامله‌گران خارج از شبکه مهاجمان در یکی از این توکن‌ها کمتر از یک درصد بوده و سایر معاملات تقریباً به‌طور کامل میان کیف‌پول‌های مرتبط انجام شده‌اند.

تمام شش توکن نیز تا هشتم نوامبر عملاً کنار گذاشته شدند و معاملاتشان متوقف شد.

تکرار روش هکرهای بای‌بیت در حمله بایننس

این نخستین بار نیست که مهاجمان از توکن‌های ساختگی برای پول‌شویی استفاده می‌کنند.

الیپتیک اعلام کرده پس از هک بای‌بیت (Bybit) در سال ۲۰۲۵ نیز روشی مشابه شناسایی شده بود که حداقل ۲۴ میلیون دلار دارایی سرقت‌شده از طریق یک توکن ساختگی در شبکه ترون جابه‌جا شد.

در پرونده بایننس، تحلیلگران ابتدا دوم نوامبر فعالیت مشابهی در شبکه ترون شناسایی کردند.

یک روز بعد نیز بخشی از دارایی‌های سرقت‌شده در شبکه سولانا از طریق توکن‌های کم‌نقدشونده تبدیل شد و در ادامه به USDC و شبکه‌های دیگر انتقال یافت.

در شبکه NEAR، ساخت هر یک از شش توکن جدید تنها حدود ۲۵ واحد NEAR، معادل تقریبی ۹۰ دلار، هزینه داشت.

به گفته الیپتیک، چنین هزینه پایینی به مهاجمان اجازه می‌دهد مسیرهای متعدد و کوتاه‌مدت برای انتقال دارایی ایجاد کنند.

آیا دارایی‌های سرقت‌شده دیگر قابل ردیابی نیستند؟

الیپتیک تأکید کرده این روش رد تراکنش‌ها را از بلاکچین حذف نمی‌کند، بلکه فرآیند شناسایی ارتباط میان کیف‌پول‌ها را پیچیده‌تر و زمان‌برتر می‌سازد.

تمام انتقال‌ها همچنان به‌صورت عمومی قابل مشاهده‌اند و محققان می‌توانند منشأ سرمایه استخرهای نقدینگی و ارتباط کیف‌پول‌های مختلف را بررسی کنند.

از سوی دیگر، مبلغ ۴۳۰ هزار دلار تنها بخش شناسایی‌شده از دارایی‌هایی است که با شش میم‌کوین در شبکه NEAR منتقل شده‌اند؛ نه کل مبلغ پول‌شویی‌شده پس از هک بایننس.

الیپتیک پیش‌تر حدود ۱۲۴ میلیون دلار دارایی سرقت‌شده را شناسایی کرده بود که به بیت‌کوین تبدیل شده‌اند.

این شرکت همچنین هشدار داده صرافی‌ها نباید صرفاً به دلیل دریافت دارایی از یک استخر نقدینگی غیرمتمرکز، آن را فاقد ارتباط با فعالیت‌های مجرمانه تلقی کنند.