📡 Signal｜Binance 流出資金の洗浄、NEAR で自作ミームコイン6種

ブロックチェーン分析の Elliptic は11月9日、Binance から10月29日に盗まれた資金の洗浄役が、NEAR Protocol の上で少なくとも6種類のミームコインを自作し、11月5日から7日にかけて約11万7,000 NEAR (約43万ドル) を通したと報告した。トークンは作られて数時間のうちに売買され、11月8日を最後に取引が止まった。

Elliptic (2026年11月9日) — 北朝鮮系の洗浄役が自作ミームコインで Binance の流出資金を動かした手口Elliptic

額は事件全体から見れば小さい。それでも、価値のないトークンを1種類約90ドルで作っては捨てる手口が、Tron に続いて NEAR でも確認された。取引所や交換サービスにとっては、流動性プールを通って入ってきた資金を「きれいな資金」と見なせないことを意味する。凍結できない資金が約32億5,000万ドル残っている経緯は、11月2日の Signal で書いた。

自作のトークンを、プールの両側から売買する

Elliptic が示した手順は4段階だ。

そのチェーンで誰でも使えるトークン発行ツールで、新しいトークンを作る
分散型取引所 (DEX) の流動性プールで、そのトークンを NEAR やステーブルコインと組にする
1組目のウォレットが盗んだ資金をプールに入れ、新しいトークンを受け取る
2組目のウォレットがそのトークンをプールに売り戻し、本物の資産を引き出す

盗んだ資金を持つウォレットから、受け取るウォレットへ直接の送金は一度も起きない。間にプールが挟まるので、受け取った側は、ミームコインで儲けた普通の投資家に見える。

NEAR の6種類は、11月5日の0時台 (協定世界時) に1つ、6日の7時台から14時台に4つ、7日の10時台に1つ作られた。動物のマスコットを使ったものが多く、1つは「Elon 2028 President」の文字とイーロン・マスク氏の画像を使っていた。Elliptic は、マスク氏がこのトークンに関係していることを示すものはないとしている。

自分たちとしか売買していない

Elliptic は、これらのトークンが洗浄のためだけに作られたとする根拠を3つ挙げる。

1つ目は外部の売買がほぼないことだ。6種類すべての売りと、5種類の買いのすべてが洗浄のネットワークに属するウォレットによるもので、外からの買いは最初のトークンの初日の小口だけ、その出来高の1%未満だった。3種類は、買うウォレットと売るウォレットが1つずつしかなかった。

2つ目は資金のつながりだ。6種類のうち5種類は、作り手のウォレットが、直前のトークンを売っていたウォレットから、新しい発行の2〜13分前に資金を受け取っていた。

3つ目は使い方の速さだ。どのトークンも発行から3時間以内に最初の売りが出て、取引の4分の3以上が1日のうちに終わった。プールに入った NEAR と出ていった NEAR の量はほぼ一致する。11月8日の午後には、4種類の作り手がプールに残っていた流動性を引き上げた。

引き出された NEAR は、その後まもなく、大半がステーブルコインに替えられるか、チェーンをまたぐブリッジで外へ出た。

Bybit から続く手口

Elliptic がこの手口を最初に報告したのは2025年、Bybit から盗まれた資金の洗浄だった。このときは Tron の上で価値のないトークンを作り、ステーブルコインと組にして、少なくとも2,400万ドルを動かした。Bybit の事件は、Binance と同じ北朝鮮系のハッカー集団 TraderTraitor の犯行とされている。

Binance の事件でも、Elliptic は11月2日に Tron で同じ目的のトークンを見つけ、11月3日には Solana で、盗んだ SOL を流動性の薄い既存のトークンに替えてから USDC に売り、他のチェーンへ移す動きを追った。今回の NEAR の6種類は、その3つ目の舞台になる。FBI は Binance の事件を北朝鮮の犯行と認定し (11月1日の Signal)、北朝鮮側はこれを否定している (11月3日の Signal)。

Elliptic 自身は、この手口で資金の足跡が消えるわけではないと書く。チェーン上の送金はすべて公開され、追跡できる。狙いは、捜査の手順を増やし、資金に警告の印が付くまでの時間を稼ぐことにある。1種類あたり約25 NEAR (約90ドル) で作れるので、大量に作って捨てられる。

取引所の審査に求められること

Elliptic は、資金を受け入れる側への注意点も示した。流動性プールから来た資金を、出どころが分からないからといって無害と扱わない。盗まれた資金から2回の交換しか離れていないウォレットがありうるからだ。

警告の印として挙げたのは、ここ数日で作られたトークン、売買するウォレットが少ないプール、買うだけ・売るだけのウォレット、取引の直前に資金を受け取った新しいウォレット (それも切りのいい額であることが多い) の4つだ。新しい警告の印が加わったときは、過去に問題なしとした入金を審査し直すことも勧めている。

Binance の事件では、ステーブルコインのように発行体が止められる資産はほぼ凍結され、止める主体のいない資産だけが残った。その残りを動かすときに通るのが、こうしたプールと交換サービスだ。凍結の網の外側で、受け入れる側の審査がどこまで効くかが次の焦点になる。

次に見るもの

Elliptic によると、盗まれた NEAR のうち約1,180万 NEAR (約4,370万ドル) はまだ動いていない。確認先は Elliptic の Binance 事件の追跡の更新で、今週この残りが動くか、動くなら同じ自作トークンの手口を使うかを見る。

ことば

流動性プール — 分散型取引所で、2種類の資産を組にして預けておき、利用者がその間で交換できるようにする仕組み。誰でも新しい組を作れる。
ミームコイン — ネットのジョークやキャラクターを題材に作られる暗号資産。実体の事業を持たないものが多く、発行ツールを使えば数分で作れる。
TraderTraitor — FBI などが北朝鮮の国家に結び付けるハッカー集団。2025年の Bybit、今年の Binance の流出が、この集団の犯行とされている。

🔗 一次ソース