Binanceで10月29日に流出した暗号資産、ミームコインを資金洗浄に利用

暗号資産取引所Binanceで10月29日に盗まれた資産の資金洗浄に、自作のミームコインが使われています。ブロックチェーン分析企業Ellipticの調査では、NEARというブロックチェーン上の6種類のトークンを通じ、約11万7000NEAR、約43万ドル（約6,800万円）相当の盗難資金が移動しました。動物やイーロン・マスク氏の画像を使ったトークンの売買を挟み、受け取った資金を通常の取引利益のように見せる手口です。

自作トークンの売買を経由する

ミームコインは、冗談や動物、著名人などを題材にした暗号資産のトークンです。今回使われたものには、ピンクのリボンを着けたサルやアヒルのほか、「Elon 2028 President」の文字とマスク氏の画像を組み合わせたものがありました。マスク氏とこれらのトークンとの関係はないとされています。

資金洗浄では、新しいトークンとNEARなどの資産を組み合わせ、分散型取引所の「流動性プール」に預けます。流動性プールは、利用者が資産を交換するために暗号資産を預けておく仕組みです。一方のウォレットが盗難資金でトークンを買い、別のウォレットが同じプールでトークンを売って、組み合わせた資産を受け取ります。

買い手と売り手のウォレットはいずれも資金洗浄側の管理下にありますが、両者の間に直接の送金は生じません。プールを経由するため、受け取った側の履歴は、新しいトークンを売って利益を得た取引のように見えます。

Ellipticは、この手口でも各段階の記録はブロックチェーン上に公開され、追跡できるとしています。同社は、資金を隠し切るというより、経路をたどる調査に時間をかけさせる手法と評価しています。

6種類のトークンに共通する短期売買

NEAR上では11月5日から7日にかけて、FUK、OLCCL、MEILI、MMLI、DABI、SINUの少なくとも6種類が作られました。Ellipticの調査では、作成費用はそれぞれ約25NEAR、約90ドル（約1万4,000円）でした。各トークンは作成直後に盗難資金を使った売買が集中し、11月8日以降は取引されていません。

資金洗浄ネットワーク内のウォレットが6種類すべてを売却し、うち5種類では購入もすべて担っていました。外部からの取引は、FUKの初日に少額の購入があった程度で、同トークンの取引量の1％未満でした。6種類中5種類では、先行するトークンを売却していたウォレットが、次のトークンの作成者に資金を送っていました。

各トークンの最初の売却は作成から3時間以内に起き、取引の少なくとも4分の3が1日のうちに集中していました。Ellipticは、取引者の偏り、作成資金のつながり、短期間で使われなくなる動きを、資金洗浄用に作られた根拠に挙げています。

同様の手口は、盗難後の11月2日にTronという別のブロックチェーンでも見つかりました。Solana上ではトークンを自作せず、既存の取引が少ないトークンに盗難資産のSOLを交換し、その後USDCへ売却して別のブロックチェーンへ移していました。Ellipticが自作トークンを使う手法を初めて把握したのは、2025年のBybitでの盗難資金の洗浄でした。

FBIが北朝鮮の活動と特定、北朝鮮側は否定

米連邦捜査局（FBI）は、し、この悪意あるサイバー活動を「TraderTraitor」と呼んでいます。FBIなどは盗難資産が主にイーサリアムの暗号資産ETHへ交換される動きを把握し、関連アドレスとの取引を遮断するよう事業者に求めました。

TraderTraitorという名称は、2022年4月の米当局の共同警告で、北朝鮮の攻撃者が使う悪意ある取引アプリ群を指す言葉として使われ、その後、攻撃活動の呼称にも用いられるようになりました。過去には2024年5月のDMM Bitcoin、2025年2月のBybitの窃盗についても、FBIがTraderTraitorによるものと判断しています。一方、北朝鮮の金与正氏は、今回のBinance事件への関与を否定しています。

資産交換や混合処理も組み合わせる

ミームコインは、複数ある資金洗浄経路の一つです。Ellipticの調査では、今回の盗難後の資金移動に2万超のウォレット、16のブロックチェーン、少なくとも36のサービスと6万5000件の取引が使われました。

異なるブロックチェーン間の交換に使われるTHORChainでは、盗難SOLの売却に由来するものを中心に、約1万2200ETH、約2900万ドル（約46億円）相当がビットコインへ交換されました。SOLからUSDC、ETH、ビットコインへと交換を重ねる経路もあり、一部の資金は5時間足らずで4つのブロックチェーンを通過しました。

ビットコインのCoinJoinは、複数の利用者の取引を一つにまとめ、個々の入力と出力の対応をたどりにくくする仕組みです。Ellipticの調査では、他の盗難資産から交換された約3000BTC、約2億2500万ドル（約360億円）相当が新しいアドレスに入り、約130BTC、約1000万ドル（約16億円）相当がCoinJoinを通過しました。11月8日以降は、複数の資金を混ぜるサービスTornado Cashにも約7000ETH、約1500万ドル（約24億円）相当が入っています。

発行者による凍結と換金の見通し

盗難資産の一部では、発行者が送金を止める措置を取りました。Tetherは、イーサリアム上の盗難USDTが攻撃者のウォレットに到着してから37分後に凍結し、Circleは盗まれた8億2300万USDCを交換される前に凍結しました。

USDTとUSDCは、価格の安定を目指すステーブルコインで、発行者が管理するトークンのプログラムにアドレスの制限機能があります。対象アドレスを制限すると、保有者が送金を承認する秘密鍵を持っていても、そのトークンの移転を止められます。ビットコインには、発行者が同じ方法でアドレスを制限する機能がありません。

EllipticはBybitの事例を踏まえ、攻撃者がETHをビットコインに交換した後、店頭取引の仲介業者や取引所を通じて換金を試みると予測しています。換金は数カ月にわたる可能性があるとの見通しです。