Das Blockchain-Analyseunternehmen Elliptic hat eine ungewöhnliche Wäschetechnik identifiziert, die von den Hackern angewendet wurde, die für den Binance-Hack im Wert von 6,43 Milliarden US-Dollar verantwortlich sind: Statt die gestohlenen Assets direkt zwischen Wallets zu verschieben, prägten die Angreifer eigene Meme-Coins, handelten sie über Liquiditätspools dezentraler Börsen (DEX) und ließen die Tokens anschließend vollständig fallen.

Das FBI hat den Angriff der nordkoreanischen Gruppe TraderTraitor zugeschrieben – eine Bezeichnung der US-Behörden für staatlich unterstützte nordkoreanische Cyber-Akteure, die die Kryptobranche ins Visier nehmen. Laut Elliptics Analyse fungierten die neu erstellten Tokens als Opferpuffer zwischen den Wallets mit der gestohlenen Kryptowährung und den Adressen, die die Erlöse letztlich erhielten. Die Technik bleibt auf der Blockchain erkennbar, kann Ermittler jedoch aufhalten und die Compliance-Prüfung erschweren.

Sechs Meme-Coins bewegten 117.000 gestohlene NEAR

Das zwischen dem 5. und 11. November aufgebaute Waschnetzwerk brachte laut Elliptic mindestens sechs Tokens auf der NEAR-Blockchain hervor: FUK, OLCCL, MEILI, MMLI, DABI und SINU. Das Unternehmen schätzt, dass etwa 117.000 NEAR im Wert von rund 430.000 US-Dollar über Liquiditätspools im Zusammenhang mit diesen Tokens bewegt wurden. Die Erstellung jedes Tokens kostete etwa 90 US-Dollar, sodass die Zwischenschicht im Vergleich zu den bewegten Summen günstig aufzubauen war.

Die Coins verzeichneten praktisch keinen echten Marktverkehr. Wallets, die Teil der Waschoperation zu sein schienen, tätigten sämtliche Verkäufe aller sechs Tokens sowie nahezu alle Käufe, so Elliptic. Die meisten Tokens wurden binnen Stunden verkauft und abgestoßen; seit dem 8. November – dem Tag nach der Veröffentlichung der Elliptic-Analyse – gab es keinen Handel mehr.

So funktioniert die Wegwerf-Token-Route

Das Schema schiebt eine Waschschicht zwischen die gestohlene Kryptowährung und die Wallet, die die Erlöse letztlich einsammelt. Zuerst erstellen die Angreifer einen neuen Token und koppeln ihn in einem DEX-Liquiditätspool mit einem etablierten Asset wie NEAR. Gestohlene NEAR aus einer Wallet werden dann verwendet, um den frisch geprägten Token zu kaufen. Anschließend verkauft eine separate Wallet diesen Token zurück in den Pool und zieht NEAR ab.

Die gestohlenen Assets bewegen sich dadurch nie direkt von der ersten Wallet zu der Adresse, die sie empfängt. Oberflächlich betrachtet scheint die empfangende Wallet die Mittel schlicht durch den Handel mit einem obskuren Meme-Coin erworben zu haben – und da DEXs jedem Wallet den Handel mit neu ausgegebenen Tokens ohne Zwischenprüfung erlauben, kann eine solche Adresse als gewöhnlicher Meme-Coin-Händler durchgehen, bis das Muster selbst erkannt wird.

Die Blockchain-Spur bleibt jedoch sichtbar. Elliptic zufolge erzeugt die Strategie Reibung für Ermittler, macht die gestohlenen Gelder aber nicht unauffindbar.

Binance-Hack-Wäsche erstreckt sich über mehrere Chains

Die NEAR-Aktivität ist nur eine Komponente einer deutlich größeren Waschoperation rund um den Binance-Hack. Elliptic hat die gestohlenen Erlöse durch mehr als 20.000 Wallets, über 16 Blockchains hinweg, unter Beteiligung von mindestens 36 Diensten und rund 65.000 Transaktionen verfolgt. Das Unternehmen meldete etwa 3 Milliarden US-Dollar auf Adressen, von denen es glaubt, dass sie mit gestohlenen Geldern in Verbindung stehen.

Vergleichbare tokenbasierte Ansätze wurden auch auf anderen Blockchain-Systemen wie Tron und Solana eingesetzt. Elliptic brachte die Technik zudem mit dem Bybit-Hack 2025 in Verbindung, bei dem nordkorea-nahe Täter angeblich mehr als 24 Millionen US-Dollar über einen Scheintoken auf dem Tron-Netzwerk schleusten. Da das Verfahren über verschiedene Vorfälle und Chains hinweg wiederkehrt, ist es zu einem erkennbaren Muster geworden, das in Screening-Tools integriert werden kann, und jede künftige Bewegung der rund 3 Milliarden US-Dollar an verfolgten Geldern bliebe on-chain sichtbar.

Für Krypto-Compliance-Teams hat sich ein neues Warnsignal ergeben: Gelder, die über einen Liquiditätspool einer dezentralen Börse ins System fließen, die gerade erst gestartet ist und ein minimales Handelsvolumen aufweist. Dieses Signal stammt aus denselben öffentlichen On-Chain-Daten, mit denen Elliptic die Operation verfolgt hat – die zur Unterbrechung der direkten Wallet-zu-Wallet-Verbindung geprägten Tokens dienen nun zugleich als Markierungen, nach denen automatisierte Überwachungssysteme filtern können.