北朝鮮系とみられる資金洗浄組織が、独自に発行したミームコインと分散型取引所（DEX）の流動性プールを悪用し、Binanceから流出した暗号資産の追跡を遅らせていた可能性が浮上した。盗難資産を流動性プールに入れ、別の資産へ交換することで、ウォレット間の直接的な資金移動の痕跡をぼかす狙いがあったとみられる。

現地時間9日、ブロックチェーンメディアのDecryptによると、ブロックチェーン分析企業のEllipticは、この手口をTRONとNEARのブロックチェーン上で確認し、Solanaでも類似事例を把握したと明らかにした。

手口は、独自トークンの発行から始まる。組織は盗難暗号資産と新規発行トークンのペアで流動性プールを組成し、その盗難資産で当該トークンを買い付ける。

その後、別のウォレットからトークンを売却し、ステーブルコインや他の暗号資産に換える。流動性プールを挟むことで、流出元ウォレットと最終的な受取先ウォレットの直接的なつながりを分かりにくくする仕組みだ。

最も顕著な事例はNEARで確認された。Ellipticによると、この組織は5日から7日にかけて少なくとも6種類の独自トークンを発行し、それぞれNEARと組み合わせた別個の流動性プールを作成した。

トークンにはサルやアヒル、チンパンジー、キツネなどの画像が使われ、一般的なミームコインのように見せかけていた。イーロン・マスクとは無関係の「Elon 2028 President」の画像を掲げたトークンも含まれていた。

これらのトークンにはFUK、SINUなどの名称が付けられていた。発行コストは1トークン当たり約25NEARで、当時のレートで約90ドル、約1万3500円に相当した。

取引パターンは6トークンでほぼ共通していた。発行直後の数時間に盗難NEARを使った取引が集中し、その後は実質的に放置された。残存していた流動性は8日に回収されたという。

この過程で動いた資金は計11万7000NEARで、約43万ドル、約6450万円に上る。資金の相当部分はその後、ステーブルコインやクロスチェーンブリッジへ移された。

もっとも、現時点で確認された資金洗浄の規模は、盗難資産全体の一部にとどまる。Ellipticは、なお30億ドル以上、約4500億円相当の盗難暗号資産が未処理のまま残っているとみている。

組織は追跡を難しくするため、約25秒ごとに新たなウォレットを作成して資金を分散させる手法も用いたとされる。

Ellipticは、この手法によってオンチェーン追跡そのものが不可能になるわけではないと強調した。資金フロー自体は追跡可能だが、流動性プールや多数のウォレットを経由させることで、捜査機関や分析企業の追跡により多くの時間を要させるのが狙いだと説明している。

最終的な受取先ウォレットも、外見上はミームコインを売買した一般投資家のように見える可能性があるという。

この手口が確認されたのは今回が初めてではない。Elliptic共同創業者のトム・ロビンソンの調査によると、同様の手法は2025年のBybitハッキング資金の追跡過程でも確認されていた。

当時の事件も、Binance侵害の背後にいると指摘されたTraderTraitorグループとの関連があるとされている。

Ellipticは、暗号資産取引所やマネーロンダリング対策、コンプライアンス担当者に対し、新規発行トークンと少数のウォレットが結び付いた流動性プールを注意深く監視するよう警告した。盗難資金が流動性プールを経由して別の資産に交換されたとしても、その出所が正当化されるわけではないとしている。