В разборе Elliptic описан механизм схемы. Участники запускали токены и создавали на децентрализованной бирже пулы ликвидности в паре с NEAR. Одна группа кошельков покупала токены на украденные средства, другая продавала их обратно и забирала NEAR. Прямого перевода между группами не было, поэтому кошельки продавцов выглядели как обычные трейдеры, получившие прибыль.
Токены выпускали с 5 по 7 ноября; каждый стоил около $90 (примерно 25 NEAR). После 8 ноября сделок с ними не было, а днём 8 ноября создатели четырёх токенов вывели оставшуюся ликвидность. Пять из шести создателей получили средства от кошелька, который за 2–13 минут до запуска нового токена продавал более ранний токен.
Elliptic впервые заметила такой приём в 2025 году при отмывании средств, похищенных у Bybit: через бесполезный токен в сети Tron прошло не менее $24 млн. В случае Binance компания зафиксировала его применение на Tron и NEAR, а похожий способ — на Solana.
По словам Elliptic, операции видны в блокчейне, но дополнительные обмены замедляют расследование, а дешёвый токен после использования можно выбросить. На момент отчёта около 11,8 млн NEAR (примерно $43,7 млн) из похищенного ещё не переместили.
