Blokzincir analiz şirketi Elliptic, Ekim ayındaki 6.4 milyar dolarlık Binance hack'inde çalınan fonlar için kullanılan yeni bir aklama tekniğini 9 Kasım 2026 tarihinde yayımladı. Lazarus içindeki TraderTraitor alt grubuyla bağlantılı Kuzey Koreli aklamacılar, kendi meme coin'lerini basıyor ve çalınan tutarın bir kısmını bunların üzerinden geçiriyor.
Ev yapımı meme coin şeması NEAR ve TRON'da nasıl işliyor
Teknik dört adımda işliyor.
Aklamacılar, seçilen zincirde bulunan herhangi bir genel başlatma aracıyla yeni bir token basıyor. Ardından bunu merkeziyetsiz bir borsadaki bir likidite havuzunda gerçek bir varlıkla - NEAR veya bir stablecoin ile - eşleştiriyor. İlk grup cüzdan, çalınan kriptoyu havuza döküp karşılığında yeni token'ı alıyor. İkinci grup cüzdan ise aynı token'ı havuza geri atıp «temiz» bir varlık - NEAR veya stablecoin - çekiyor.
Token'ın kendisi standart bir meme coin gibi giydiriliyor. Logolarda pembe fiyonklu bir maymun, ABD bayrağı önünde bir ördek, bir tilki, «Elon 2028 President» pankartı altında Elon Musk yer alıyor. İsimler de aynı kalıbı izliyor: kaba FUK'tan «-INU» köpek coin'lerinin yankısı olan SINU'ya kadar. Her gün on-chain'de binlerce benzer coin ortaya çıkıyor, bu yüzden çizgi film logolu ve saçma isimli bir tane daha tek başına kırmızı bayrak kaldırmıyor.
Altı NEAR token'ı ve $430K tutarında çalınan fon
Elliptic bu yöntemi ilk kez 2025'de, yine TraderTraitor'a atfedilen Bybit hırsızlığının aklanması sırasında tespit etmişti. O zaman TRON üzerindeki ev yapımı bir token üzerinden en az $24M tutarında para hareket etmişti.
Binance hack'inin ardından aklamacılar, Kasım ayı başında aynı senaryoyu tekrar devreye soktu. Elliptic, 2 Kasım'da TRON üzerinde sadece aklama için oluşturulmuş yeni bir ev yapımı token buldu. 3 Kasım'da, çalınan SOL birkaç kez Solana üzerinde az işlem gören token'lara, ardından USDC'ye çevrildi ve bir köprü aracılığıyla başka bir blokzincire aktarıldı. Solana token'ları ev yapımı değildi, ancak amaç aynıydı: çalınan fonlar ile bir sonraki cüzdan arasına belirsiz bir varlık koymak.
En net tablo NEAR'da ortaya çıktı. 5 ile 7 Kasım arasında aklamacılar, her biri kendi havuzunda NEAR ile eşleştirilmiş altı yeni meme coin bastı: FUK, 5 Kasım'da saat 00:25 UTC'de yayına girdi, ardından dört tane daha (OLCCL, MEILI, MMLI ve DABI) 6 Kasım'da 07:19 ile 14:27 UTC arasında, ve SINU 7 Kasım'da saat 10:06 UTC'de geldi. Her lansman, yaratıcılarına yaklaşık 25 NEAR'a (yaklaşık $90) mal oldu.
Altı havuzun tamamından toplam yaklaşık 117,000 NEAR (kabaca $430K) geçti. 8 Kasım'dan sonra hiçbir token bir daha işlem görmedi ve dördünde yaratıcıların kendisi kalan likiditeyi havuzlardan çekti. Bu tutar soyguna kıyasla küçük, ancak Binance'den gelen 11.8M NEAR (yaklaşık $43.7M) hâlâ hareket etmedi - ve aynı şema her hacme ölçeklenebilir.
NEAR token'larının aklama için oluşturulduğunu gösteren üç işaret
Elliptic'e göre, verilerdeki üç sinyal bu token'ları ele veriyor.
İlk olarak, başka kimse bunlara dokunmadı. Altı token'ın tamamında her satışı ve her alışı aklama ağına ait cüzdanlar yaptı (ilk gün birkaç dış alım gören FUK hariç - hacmin %1'ından azı). DABI, MMLI ve SINU'nun her birinde tek bir alıcı cüzdan ve tek bir satıcı cüzdan vardı.
İkincisi, bir sonraki her token, öncekinin gelirleriyle ödendi. Altı token oluşturucusundan beşi, fonlarını yeni lansmandan 2 ila 13 dakika önce önceki bir tokeni satmakta olan bir cüzdandan aldı. Zincir, bir boş tokenden diğerine sorunsuzca akıyor.
Üçüncüsü, tokenler anında kullanıldı ve ardından atıldı. Her biri lansmandan sonraki üç saat içinde ilk kez satıldı ve işlem hacminin %75 tek bir günde yoğunlaştı. Havuza akan çalıntı NEAR miktarı, her durumda dışarı akan NEAR miktarıyla eşleşti.
Bu, uyum ve adres taraması için ne anlama geliyor?
Uyum ekipleri için çıkarım basit: fonlarını bir likidite havuzu takasından almış bir cüzdan varsayılan olarak temiz kabul edilmemelidir. Bu cüzdan, bir hack'ten sadece iki takas uzaklıkta olabilir.
Dikkat edilmesi gereken dört sinyal var: tokenin son birkaç gün içinde oluşturulmuş olması; havuzda yalnızca az sayıda cüzdanın işlem yapması; bazı cüzdanların yalnızca tokeni satın alırken diğerlerinin yalnızca satması; cüzdanların yeni fonlanmış olması - genellikle işlem yapmaya başlamadan hemen önce ve çoğunlukla yuvarlak tutarlarla.
Bu teknik fonları gizlemez; araştırmacıları yavaşlatır. Her ek sıçrama zaman kaybettirir ve bu süre, aklayıcıların izleme sistemlerine ilk kırmızı bayrak düşmeden önce ihtiyaç duyduğu zaman penceresidir. Token başına $90 ile, bu tür tek kullanımlık bir sarmalayıcı düzinelerce basılabilir.
