关键点
- Elliptic 发现，有人利用新创建的代币和流动性池转移与币安盗窃案相关的资金。
- NEAR 上的六种代币转移了约 117,000 枚 NEAR，价值约 43 万美元。
- Elliptic 表示，增加代币互换会让追踪变得复杂，但不会消除区块链上的交易记录。
新创建的代币如何成为洗钱工具
Elliptic 发现了一种洗钱手法：攻击者创建新代币，并利用去中心化交易所的流动性池转移与币安盗窃案相关的加密货币。操作者不是直接将资产从一个钱包转到另一个钱包，而是通过他们刚刚发行的代币进行兑换。额外的步骤让人更难直接将进入流动性池的资金与之后提取的加密货币联系起来，但这些交易仍会记录在链上。
这种手法始于创建一种新代币，并将其与 NEAR 或稳定币等成熟资产配对。操作者将这两种资产注入去中心化交易所的流动性池，再用一组钱包以被盗资金购买新代币。其他钱包则将该代币卖回流动性池，换取与之配对的加密货币。因此，流动性池充当了各钱包之间的中介，使交易路径变得更复杂，却不会让其消失。
Elliptic 表示，它在 2025 年追踪从 Bybit 窃取的资金时，首次发现了这种手法。在那起案件中，朝鲜洗钱者在 Tron 上创建了一种毫无价值的代币，并利用流动性池转移了至少 2400 万美元。币安失窃案发生后不久，这种手法再次出现，涉及 Tron、Solana 和 NEAR。该手法再次出现，说明它可以适配不同的区块链；不过，现有调查结果并未证实所有相关交易都采用了相同路径。
通过流动性池转移资金，掩盖钱包之间的关联
11 月 2 日，Elliptic 发现 Tron 上出现了一种新创建的代币，似乎是专门为洗钱而推出的。次日，被盗 SOL 被兑换成封装代币和交易稀少的代币，随后又转换为 USDC 并转移到其他区块链。这些资金流动表明，据报告的活动并不限于某一个网络或某一种资产。相关描述呈现的是一连串兑换与转账，而非被盗资金直接从原始地址流向最终目的地。
据报告，NEAR 上的活动最清楚地展示了这种机制的运作方式。从 11 月 5 日到 11 月 7 日，攻击者创建了六种代币，分别名为 FUK、OLCCL、MEILI、MMLI、DABI 和 SINU。每种代币都在各自的流动性池中与 NEAR 配对。创建每种代币的成本约为 25 NEAR，即约 90 美元；与之后经由这六个池子转移的资金价值相比，这一成本相对较低。
这六种代币合计被用于转移约 11.7 万 NEAR，价值约 43 万美元。Elliptic 表示，购买这些代币的钱包曾收到来自被盗 NEAR 的资金，而之后通过其他钱包流出的金额几乎相同。大部分转出的资金价值被兑换成稳定币，或经由跨链桥转移。这一过程为调查人员提供了可追踪的关联线索，但不同钱包和多次兑换也让资金路径更加复杂。
六种 NEAR 代币揭示了一场协同行动
这种交易模式也使相关活动有别于普通市场参与。与其说是由广泛的独立交易者参与，不如说是与该行动有关联的钱包几乎包揽了所有买卖。三种代币——DABI、MMLI 和 SINU——各自只有一个买入钱包和一个卖出钱包。这些代币在上线后不久交易量激增，随后便遭到弃用；据 Elliptic 称，自 11 月 8 日以来，这六种代币均未再出现交易活动。
调查人员还发现，先后推出的代币之间存在关联：较早代币的收益被用于资助新代币的创建。这一发现将这六种代币的操作联系起来，表明这些资金池并非彼此无关的试验。它也有助于解释运营者如何重复这一做法：较低的创建成本以及对回收收益的再利用，可以支撑后续发行。不过，现有的调查记录并未指出所有钱包，也未确定全部资金最终流向何处。
这种手法的主要局限在于，它增加了复杂性，却无法抹去证据。资金池兑换和中间钱包让追踪人员更难将流入的被盗资产与流出的加密货币联系起来，但这些交易仍会留下区块链记录。Elliptic表示，调查人员仍可继续追踪资金。对追踪团队而言，实际挑战在于解读钱包、代币合约、资金池以及某些情况下的区块链桥之间相互关联的活动。
资金流向仍可追踪，但合规风险依然存在
据报告，经由这六种 NEAR 代币转移的43万美元，只占调查中涉及资金的一部分。Elliptic估计，约有1180万枚 NEAR（价值约4370万美元）仍未转移。这一数字指的是该公司称尚未转移的金额，并非已证实经过这六个资金池的金额。两者的区别很重要：代币操作只是有据可查的一部分活动，并非对被盗资金的完整说明。
Elliptic警告交易所和合规团队，不要自动将从流动性池收到的加密货币视为合法资金。报告特别指出了几种值得审查的警示信号：新创建的代币、参与钱包极少的资金池，以及在交易开始前不久才获得资金的账户。报告并未将其中任何一项单独视为洗钱的确凿证据。但如果这些情况与被盗资产的交易关联结合起来，就能帮助合规团队判断哪些活动值得进一步调查。
报告披露的调查结果仍有一些重要问题尚未解答。报告没有说明通过这种方式转移的币安被盗资金占总额的比例、所有资金最终流向何处，也没有说明剩余的1,180万枚NEAR是否会被转移。报告也没有断言所有新推出的代币或参与者较少的资金池都涉及非法活动。调查所证实的结论范围较窄，但具有实际意义：代币兑换可能会增加追踪资金来源的难度，而钱包模式和公开的交易记录仍能为分析人员和交易所提供评估依据。
来源：CryptoPotato
