Компания Elliptic проследила, как около 117 тыс. NEAR — примерно $430 тыс. на момент операций — провели через шесть одноразовых мемкоинов. Токены создали с 5 по 7 ноября и использовали для перемещения части активов, украденных у Binance 29 октября. ФБР ранее связало кражу с северокорейской группой TraderTraitor, однако Elliptic подчёркивает: блокчейн показывает связанные кошельки, а не личность того, кто ими управляет.

Механизм разрывает прямую связь между кошельками. Одна группа адресов создаёт токен и пул ликвидности на децентрализованной бирже, затем покупает этот токен за похищенные NEAR. Другая группа продаёт полученные токены обратно в тот же пул и забирает NEAR. Между входящим и выходящим кошельком оказывается смарт-контракт пула, поэтому получатель со стороны выглядит как обычный трейдер, зафиксировавший прибыль.

Почти никто за пределами операции этими токенами не торговал. К 8 ноября все шесть забросили, а значительную часть собранных NEAR затем обменяли на стейблкоины или отправили через межсетевые мосты. Названия и оформление имитировали обычные мемкоины — от животных до изображения Илона Маска; Elliptic отдельно отметила, что сам Маск к токенам отношения не имеет.

Спрятать след полностью эта схема не позволяет: покупки, продажи и пулы остаются в блокчейне. Она добавляет лишние обмены и даёт время до маркировки новых адресов. Тот же приём Elliptic уже фиксировала после взлома Bybit в 2025 году, когда через самодельный токен на Tron прошло не менее $24 млн. В нынешнем случае $430 тыс. — малая часть украденных 11,8 млн NEAR, поэтому речь пока идёт о работающем инструменте усложнения анализа, а не о полном отмывании этой части добычи.