64 亿盗资洗白术：朝鲜黑客利用 NEAR 模因币切断追踪

据 Woofun AI 消息，朝鲜黑客组织 在 2026 年 10 月对 发动涉案金额高达 64 亿美元的盗窃攻击后，正利用新创建的迷因类 token 实施复杂的资金清洗行动。

尽管该团伙此前已被认定为此前多起重大安全事故的幕后黑手，但其最新采用的'自造流动性池'洗钱策略，标志着其资金隐匿手段从简单的跨链转移升级为更具迷惑性的去中心化市场操纵。

这一行为不仅加剧了被盗资产追回的难度，更向整个 Web3 安全社区展示了攻击者如何利用协议本身的匿名性与流动性机制，将黑灰产资金伪装成看似正常的市场交易行为，从而彻底切断链上审计的追踪线索。

从具体的操作细节来看，TraderTraitor 在 2026 年 11 月 5 日至 7 日期间，于 网络上密集推出了 、、、、 和 六种迷因 token。

Woofun AI 整理数据显示，每种 token 的创建成本极低，仅需约 25 个 NEAR 代币（约合 90 美元），但其背后的资金流转逻辑却极为精密。黑客首先将持有被盗 NEAR 的钱包地址作为流动性提供者，将资金存入去中心化交易所（DEX）的流动性池中，以获取新发行的 token；随后，另一组看似独立的'接收方'钱包将这些 token 卖回池中并提取 NEAR。

这种闭环操作确保了被盗资金从未直接从源头钱包转移至最终控制地址，而是通过流动性池的混合机制实现了所有权的模糊化。这些 token 的设计极具迷惑性，涵盖了从猴子形象到印有'马斯克 2028 年总统'字样的肖像画，但 明确指出，这些项目与埃隆·马斯克本人毫无关联。更值得注意的是，每种 token 在推出后不到 3 小时内即迎来首次购买，且至少 75% 的交易量集中在首发日内完成，呈现出典型的'拉高出货'特征。

自 11 月 8 日起，这六种 token 的交易活动完全停滞，其中四种的创建者在当天便抽走了剩余流动性，共计转移了 117,000 个 NEAR 代币（约合 421,000 美元）。这些资金随后被迅速转换为稳定币或通过跨链桥转移至其他网络。Elliptic 的分析揭示，六种 token 的创建者中有五人收到的资金，源自一个在推出新 token 前 2 至 13 分钟仍在出售上一款 token 的钱包，这种紧密的时间耦合证实了整个操作由同一控制主体协调完成。唯一的外部市场参与仅发生在首日，少量 FUK 代币被真实用户购买，但其交易量不足该代币总交易量的 1%，进一步凸显了这场交易的自我闭环性质。

这种利用迷因币作为洗钱中介的手法并非孤例，而是 TraderTraitor 跨链作案模式的标准化延伸。早在 2025 年 遭遇黑客攻击后，该团伙便在 网络上利用类似手法转移了至少 2400 万美元的资金，当时他们将无价值的 token 与稳定币配对以掩饰资金流向。在本次 Binance 案件中，Elliptic 于 11 月 2 日便在 Tron 上发现了类似的 token 部署痕迹；而在 11 月 3 日，被盗的 代币则被转换为 Solana 网络上交易量极低的现有 token，随后再卖出换取 。

这种多链并行、快速迭代 token 的策略，旨在利用链上数据的公开可查性作为掩护——通过创建大量短期存在的 token，黑客大幅增加了合规团队和监控工具筛选有效信号的噪声。Elliptic 强调，洗钱的核心在于在资金被识别前完成转移，而这种'用完即弃'的 token 策略正是为了最大化这一时间窗口。