自建代币让资金转移呈现交易外观
区块链分析公司 Elliptic 发布报告称，币安被盗事件中的黑客正在利用自建 Meme 币和去中心化交易所流动性池转移被盗资金，类似操作已出现在 Tron、NEAR 和 Solana 网络。
这套操作的关键是同时安排代币和交易路径：黑客创建新代币，将其与 NEAR 或稳定币等资产配对建立流动性池，再通过不同钱包分别买卖，使被盗资金的转移呈现为普通代币交易。
从这一机制看，调查需要穿透代币买卖的表面形式，继续追踪不同钱包与流动性池之间的资金联系。交易环节增加会提高追踪复杂度，但不等于资金流向已经消失。Elliptic 对其效果的判断也是延缓调查，而非真正隐藏链上轨迹。
已转移规模与尚未移动资金须分开看
2026 年 11 月 5 日至 7 日，黑客在 NEAR 链上创建了至少 6 个 Meme 币，每个创建成本约为 25 枚 NEAR，累计借此转移约 11.7 万枚 NEAR 被盗资金，价值约 43 万美元。这些代币自 11 月 8 日起已停止交易。
截至报告所述时点，仍有约 1180 万枚 NEAR 被盗资金尚未移动，价值约 4370 万美元。按两项 NEAR 数量比较，此次经自建代币转移的规模约为尚未移动规模的 1%。因此，43 万美元反映的是这一批已识别操作的规模，不能代表全部被盗资金的处置进度；相关代币停止交易，也不足以说明剩余资金此后不会转移。
Elliptic 还指出，2025 年 Bybit 被盗事件中的朝鲜黑客曾以类似手法转移至少 2400 万美元。这一案例说明该路径已有先例，但不能据此认定本次事件的攻击者身份。
