Шесть короткоживущих токенов
В опубликованном 9 ноября исследовании Elliptic перечислены шесть токенов в сети NEAR. Каждый создавался для торговли в паре с NEAR, а после серии обменов активность прекращалась. По наблюдениям аналитиков, после 8 ноября сделки с ними не проводились, и создатели четырех токенов вывели ликвидность из пулов.
Сумма около 117 000 NEAR относится к средствам, прошедшим через этот конкретный маршрут. Долларовая оценка около $430 000 зависит от курса на момент анализа. Ее нельзя складывать с общим ущербом от взлома как отдельную потерю: речь идет о перемещении части уже похищенных активов.
Как средства проходили через пул
Сначала создавался токен и пул ликвидности с NEAR. Одна группа кошельков покупала новый токен за NEAR, которые Elliptic связывает со взломом. Другая группа продавала эти токены в том же пуле и получала NEAR. Так между входящим и выходящим кошельками появлялись два обмена вместо прямого перевода.
Пул менял форму движения, но не стирал историю в блокчейне. Для анализа важны последовательность создания токенов, источники NEAR, покупки и последующие продажи. Само использование децентрализованной биржи не доказывает ее участия в преступлении.
Почему операции связали между собой
Elliptic обнаружила, что пять из шести адресов создателей токенов получали средства от предыдущего этапа цепочки за 2-13 минут до выпуска следующего токена. По оценке аналитиков, большинство сделок совершали кошельки одной сети, а не обычные сторонние трейдеры. Такая повторяемость и прослеживаемый источник NEAR позволили связать отдельные пулы в одну последовательность.
Атрибуцию этой активности северокорейским хакерам делает Elliptic; опубликованная ончейн-схема сама по себе не является судебным установлением личности операторов. Исследование не указывает на уязвимость протокола NEAR и не обвиняет инструменты выпуска токенов или площадку обмена.
Масштаб и практический вывод
На момент исследования Elliptic около 11,8 млн NEAR, оценивавшихся в $43,7 млн, оставались без движения на адресах, связанных аналитиками с кражей. Это временный снимок состояния кошельков, а не текущий остаток. Описанный маршрут затрагивает лишь небольшую долю средств относительно заявленного Binance ущерба от инцидента.
Для отслеживания подобных операций недостаточно проверять только прямые переводы между известными адресами. Нужно сопоставлять происхождение средств до покупки нового токена, время создания пула, круг участников торгов и адреса, забравшие базовый актив после продажи. Даже несколько промежуточных обменов не делают публичную цепочку невидимой.
