流動性プールを介して流出資産を移動
ブロックチェーン分析企業エリプティック（Elliptic）が、北朝鮮の資金洗浄ネットワークが独自に作成したミームコインを利用し、暗号資産（仮想通貨）取引所バイナンス（Binance）から盗まれた資産を移動させていたとの分析結果を11月9日に公表した。
同社によると、11月5日から7日にかけてニアプロトコル（NEAR Protocol）上で少なくとも6種類のミームコインが作成され、その売買を通じて約117,000NEARが別のウォレットに移動したとのことだ。
今回の分析対象となったのは、10月29日（日本時間30日）に発生したバイナンスの大規模な資産不正流出事件だ。同事件についてバイナンスは、約63億4,000万ドル（約1兆19億円）相当の暗号資産が影響を受けたと公表している。また、米連邦捜査局（FBI）は10月31日、北朝鮮のサイバー攻撃活動「トレーダートレイター（TraderTraitor）」による攻撃と発表した。
ミームコインは、インターネット上のジョークや動物、有名人などを題材とした暗号資産で、実用性よりも話題性によって取引されることが多い。また、今回の資金洗浄に利用されたニアプロトコルは、スマートコントラクトなどを実行できるブロックチェーンだ。NEARは同ネットワークのネイティブトークンにあたる。
同ネットワークは、独自のトークンを発行し、分散型取引所（DEX）にNEARとの流動性プールを開設。その後、盗難資産を保有するウォレットがNEARを使ってトークンを購入し、別のウォレットが同じトークンを売却してNEARを受け取る。これにより、両ウォレット間で直接送金することなく資産を移動でき、受取側のウォレットは通常のトークン取引によって資産を得たように見えるとのことだ。なお流動性プールは、利用者が取引相手と直接売買することなく、プールに預けられた資産と暗号資産を交換できる仕組みだ。
ただし、すべての取引はブロックチェーン上に記録されるため、この手法によって資金の追跡が不可能になるわけではない。エリプティックは、複数の取引を経由させることで資金の流れが複雑になり、調査を遅らせる効果があると説明している。
売買のほぼすべてを関係ウォレットが実行
エリプティックによると、資金洗浄ネットワークは11月5日に「FUK」、6日に「OLCCL」、「MEILI」、「MMLI」、「DABI」、7日に「SINU」を作成した。各トークンの作成費用は約25NEARで、いずれも発行から3時間以内に初めて売却され、取引量の75%以上が1日のうちに集中した。また、11月8日以降は取引が確認されておらず、同日には4種類のトークンの作成者が流動性プールに残っていた資産を引き出したとのことだ。
これらのトークンを購入したウォレットには、盗難資産を保有する主要ウォレットから複数の中間ウォレットを経由して、合計約117,000NEARが供給されていた。その後、資産を受け取ったウォレットからほぼ同量のNEARが移動し、その多くがステーブルコインへの交換や、異なるブロックチェーン間で資産を移動させるクロスチェーンブリッジへの送金に使用されたとのことだ。
エリプティックは、これらのトークンが資金洗浄を目的として作成されたと判断する根拠として、取引参加者が極めて限定されていた点を挙げている。6種類すべてのトークンについて、売却は資金洗浄ネットワークに属するウォレットだけが行っていた。また、5種類では購入もすべて同ネットワークのウォレットによるものだった。例外となったFUKでも、外部からの購入は取引量全体の1%未満にとどまったとのことだ。
さらに、6種類のうち5種類では、以前に作成されたトークンを売却していたウォレットから、新たなトークンの作成者に資金が送られていた。資金提供から次のトークンが発行されるまでの時間は2〜13分だった。
なお、エリプティックの分析時点では、バイナンスから盗まれた約1,180万NEARが、まだ移動していなかったとのことだ。
トロンやソラナでも類似手法を確認
エリプティックは、今回のバイナンス事件に関連し、トロン（Tron）とソラナ（Solana）でも類似した資金洗浄手法を確認している。11月2日にはトロン上で資金洗浄を目的として作成されたトークンを特定した。一方、翌3日にはソラナ上で、盗まれたSOLは、ラップドトークンや取引量の少ないトークンといった既存のトークンを経由してUSDCに交換され、他のブロックチェーンへ移されたとのことだ。
また、同社は2025年に発生した暗号資産取引所バイビット（Bybit）の不正流出事件でも、同様の手法を確認していた。当時はトロン上で資金洗浄を目的としたトークンが作成され、USDTの預け入れを表すトークン「jUSDT」との流動性プールを通じて少なくとも2,400万ドル（約38億円）相当の資産が移動していたとのことだ。
エリプティックは暗号資産関連事業者に対し、流動性プールから受け取った資産を、それだけで問題のない資金と判断すべきではないと指摘している。特に、作成されたばかりのトークンや、少数のウォレットしか取引していない流動性プール、購入だけを行うウォレットと売却だけを行うウォレットが存在する取引などに注意する必要があるとのことだ。また、同社はバイナンス事件に関連するウォレットのブロックリストを公開し、新たなウォレットが特定されるたびに更新している。
North Korea’s launderers are creating their own meme coins to move funds stolen from Binance. Between November 5 and 7, they launched at least six tokens on NEAR, dressed up with meme-coin logos such as a monkey in a pink bow and a duck in front of a US flag. Stolen NEAR went into a liquidity pool through one set of wallets and came out through another, so no transfer links the two directly. About 117,000 NEAR (around $430,000) passed through the six tokens before they were abandoned. Almost nobody outside the laundering network bought them. They exist only to put a pool between the stolen funds and the next wallet. The trail can still be followed on-chain. For compliance teams, funds arriving from a liquidity pool are not clean by default, especially when the token is only days old. @tomrobin explains how the technique works and the warning signs to screen for: https://t.co/Q4VtlIGlFp
— Elliptic (@elliptic) November 9, 2026
参考：エリプティック
画像：PIXTA