本文原刊於品傳媒：北韓駭客自製迷因幣洗幣安贓款 Elliptic：7,000枚ETH湧入Tornado Cash
〔品傳媒／綜合外電報導〕區塊鏈分析公司Elliptic於美東時間11月9日（台灣時間9日晚間）發布最新調查指出，涉嫌策劃幣安（Binance）約63億美元駭案的北韓駭客組織，已開始自行發行「用完即丟」的迷因幣，透過去中心化交易所的流動性池轉移贓款；目前已確認約11.7萬枚NEAR、價值約43萬美元的被竊資產以此手法洗出。Elliptic同時追蹤到，自11月8日起已有約7,000枚以太幣（ETH）被存入混幣器Tornado Cash，顯示洗錢行動正持續擴大。
重點摘要：北韓駭客在NEAR鏈上三天內發行至少6種自製迷因幣，以「一組錢包買、另一組錢包賣」的方式讓贓款看似交易獲利，避免資金直接在錢包間轉移。Elliptic強調此手法只能拖慢追查、無法抹除鏈上紀錄，並提醒合規團隊勿將來自流動性池的資金預設為乾淨資金。
北韓自製6種迷因幣 三天內在NEAR鏈上洗出約43萬美元
根據Elliptic研究報告，洗錢者於11月5日至7日間在NEAR區塊鏈上建立至少6種新代幣，代號分別為FUK、OLCCL、MEILI、MMLI、DABI與SINU。其中FUK於台灣時間11月5日上午8時25分建立，OLCCL、MEILI、MMLI與DABI集中在6日下午至晚間陸續出現，SINU則於7日傍晚建立。每種代幣的建立成本僅約25枚NEAR，折合約90美元。
這些代幣外觀刻意模仿一般迷因幣，圖示包括戴粉紅蝴蝶結的猴子、美國國旗前的鴨子、狐狸等卡通圖案，其中一款甚至使用馬斯克（Elon Musk）照片搭配「2028總統」字樣；Elliptic特別註明，沒有跡象顯示馬斯克與這些代幣有任何關聯。CoinDesk報導也指出，這類代幣命名沿用迷因幣常見風格，以降低外界警覺。
| 項目 | 內容 |
|---|---|
| 使用區塊鏈 | NEAR（自製代幣）、Tron（自製代幣）、Solana（借用既有冷門代幣） |
| NEAR鏈自製代幣數 | 至少6種（11月5日至7日建立） |
| 單一代幣建立成本 | 約25枚NEAR（約90美元） |
| 經代幣洗出金額 | 約11.7萬枚NEAR（約43萬美元） |
| 尚未移動的被竊NEAR | 約1,180萬枚（約4,370萬美元） |
| 11月8日起存入Tornado Cash | 約7,000枚ETH（約1,500萬美元） |
資料來源：Elliptic、crypto.news
迷因幣洗錢四步驟 用流動性池切斷錢包直接關聯
Elliptic說明，這套手法分為四個步驟：先透過公開的發幣工具建立新代幣；再將新代幣與NEAR或穩定幣等真實資產配對，在去中心化交易所開設流動性池；接著由第一組錢包用贓款買入新代幣；最後由第二組錢包把代幣賣回同一個池子，取出真實資產。由於中間隔著流動性池，贓款從未直接由買方錢包轉到收款錢包，外界乍看之下只會以為收款方是靠交易賺錢的投機者。
Elliptic列出三項證據，認定這些代幣純為洗錢而生：第一，除FUK上線首日有極少量外部買單（不到成交量1%）外，所有買賣幾乎都來自洗錢網絡內部錢包；第二，6個代幣中有5個的建立者，資金來自前一個代幣的賣出收益，彼此形成「代幣鏈」；第三，每個代幣都在上線3小時內首次賣出，至少四分之三的交易集中在一天內完成，進出流動性池的NEAR數量也幾乎完全吻合。報告指出，6種代幣自11月8日後已無任何交易，其中4種的建立者已撤出池中剩餘流動性。
洗錢觸角延伸至Tornado Cash 逾2萬個錢包、16條鏈
根據crypto.news報導，Elliptic另一份於台灣時間9日晚間9時15分更新的洗錢追蹤紀錄顯示，整起洗錢行動已涉及超過2萬個錢包、橫跨16條區塊鏈，動用至少36項服務、6.5萬筆交易。自11月8日以來，與駭案相關的錢包已將約7,000枚ETH存入Tornado Cash，其中部分資金先以比特幣經過混幣交易，再換回ETH。
同一份追蹤資料指出，經其他被竊資產轉換後，約3,000枚比特幣已累積至新地址，但駭客持有的主要比特幣與以太幣部位仍未移動。整體而言，約30億美元仍留在與駭案相關的地址中，另有約28.5億美元已遭凍結，Elliptic估計目前真正變現的金額微乎其微。
品傳媒先前報導，幣安駭案贓款已陸續換成比特幣（幣安駭案贓款再換2,300枚比特幣、Elliptic：仍有31億美元未洗出），此次迷因幣手法與Tornado Cash存款，則顯示洗錢路徑正進一步分散。
沿用Bybit案手法 Elliptic提醒合規團隊四大警訊
Elliptic表示，這並非北韓首次使用自製代幣洗錢。2025年Bybit遭竊後，同樣被歸咎於北韓駭客組織TraderTraitor的洗錢者，曾在Tron鏈建立無價值代幣並與穩定幣配對，以此移轉至少2,400萬美元。此次幣安案中，Elliptic在11月2日即於Tron發現類似代幣，隔天又觀察到被竊的SOL被換成冷門代幣後再賣成USDC並跨鏈轉出。
Elliptic研究主管Tom Robinson在報告中強調，鏈上每一步都公開可查，此手法的目的在於增加追查所需時間，而非真正隱藏資金，並指出「資金軌跡仍可在鏈上追蹤」。北韓洗錢者慣於疊加多種低成本技巧，每一層都只多拖延一點時間。
報告建議交易所與金融機構留意四項警訊：近幾天才建立的代幣、僅少數錢包參與交易的流動性池、部分錢包只買不賣而另一群只賣不買，以及在交易前不久才以整數金額注資的新錢包。Elliptic也提醒，若存款來自兌換交易，應追問流入池子的資金來源，而非只看付款方是誰。
常見問題 FAQ
北韓駭客為什麼要自己發行迷因幣？
自製迷因幣幾乎沒有外部買家，價格由洗錢者自行決定，可當作轉移資金的「容器」。贓款經流動性池進出後，收款錢包看起來像交易獲利，能拖慢調查人員與交易所的風控判斷。
透過迷因幣洗錢後，資金就無法追查了嗎？
不會。Elliptic指出所有交易都記錄在公開區塊鏈上，調查人員仍能還原路徑，此手法只是增加追查步驟與時間。
幣安駭案目前還有多少資金未被洗出？
根據Elliptic追蹤，約30億美元仍留在駭案相關地址，約28.5億美元已遭凍結；NEAR鏈上仍有約1,180萬枚被竊NEAR尚未移動。
參考資料
- Elliptic：North Korea is minting meme coins to launder the Binance hack
- crypto.news：Binance hack launderers use memecoins to move $430K, Elliptic says
- CoinDesk：North Korean hackers are creating memecoins to wash loot from $6.3 billion Binance hack
※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。
《品傳媒》創立於 2023 年，秉持「報真導正」精神，提供即時的民生、政治、產業、國際與娛樂新聞，並首創「民意代表在地服務」專區，深耕虛擬貨幣、AI 短劇、電競等新興議題
官方網站：pinnews.com.tw
FB粉絲團：www.facebook.com/pinnews.com.tw
