Das Blockchain-Analyseunternehmen Elliptic berichtete, dass Wallets, die mit dem Binance-Hack in Verbindung gebracht werden, zum Prägen und Handeln von sechs Meme-Tokens auf NEAR genutzt wurden, wobei Liquidity Pools dezentraler Börsen (DEX) eingesetzt wurden, um den Fluss der gestohlenen Gelder zu verschleiern.

Elliptic und das FBI führten den Diebstahl auf TraderTraitor zurück, eine nordkoreanische Cyberkrim-Gruppe unter dem Dach der Lazarus Group – ein Kollektiv, das von US-Ermittlern seit langem mit groß angelegten Kryptodiebstählen in Verbindung gebracht wird. Nach Angaben des Unternehmens war bei dem Vorfall am 29. Oktober 2026 ein Betrag von 6,43 Milliarden US-Dollar aus Binance, der nach Handelsvolumen größten Kryptobörse der Welt, entwendet und über 11 Blockchains verteilt worden – ein laut Elliptic beispielloser Kompromittierung einer einzelnen Börse.

Sechs thematische Tokens auf NEAR geprägt

Zwischen dem 5. und 7. November 2026 wurden sechs Tokens auf NEAR geprägt: FUK, OLCCL, MEILI, MMLI, DABI und SINU. NEAR ist eine Layer-1-Blockchain, die kostengünstige Token-Erstellung unterstützt. Elliptics On-Chain-Analyse ergab, dass die Tokens Cartoon-Tierlogos trugen – darunter einen Affen mit Schleife, eine Ente mit Flagge, einen Schimpansen und einen Fuchs – sowie ein Bild mit der Aufschrift „Elon 2028 President“. Jeder Token kostete etwa 25 NEAR, zum damaligen Zeitpunkt rund 90 US-Dollar, um geprägt zu werden.

Wie der mutmaßliche Wäschemechanismus funktionierte

Elliptic beschrieb das Schema als vierstufigen Ablauf. Zunächst werden ein neuer Token und ein Liquidity Pool einer dezentralen Börse erstellt. Dann fließen als gestohlen identifizierte Mittel aus einem Wallet-Set ein, um den Token zu kaufen. Ein separates Wallet-Set verkauft den Token zurück in den Pool, um Vermögenswerte abzuziehen. Dadurch wird die direkte On-Chain-Verbindung zwischen den ursprünglichen Geldern und der Exit-Wallet unterbrochen.

Das Unternehmen stellte fest, dass DABI, MMLI und SINU jeweils genau eine Kauf-Wallet und eine Verkauf-Wallet hatten – ein Muster, das laut Elliptic auf kontrollierte Geldwäsche statt auf organische Handelsaktivität hindeutet.

Die gesamte Liquidität wurde laut Elliptic am 8. November 2026 abgezogen. Der Außenhandel über alle sechs Tokens machte weniger als 1 % des Gesamtvolumens aus, was die Einschätzung des Unternehmens bestärkte, dass es sich nicht um spekulative Retail-Tokens, sondern um Instrumente handelte, die zur Wertverschiebung konstruiert wurden. Etwa 117.000 NEAR, zum damaligen Zeitpunkt rund 430.000 US-Dollar wert, flossen durch die sechs Tokens.

Denselben Technik wurde Berichten zufolge erstmals beim Bybit-Hack im Februar 2025 eingesetzt – ein Vorfall, der zu den größten Kryptodiebstählen der Geschichte zählt –, als mindestens 24 Millionen US-Dollar über einen wertlosen Token im Tron-Netzwerk flossen. Ihr Wiederauftauchen beim Binance-Hack, nach dem Bybit-Präzedenzfall, kennzeichnet selbstgeprägte Meme-Tokens als wiederholbare Wäschetechnik und nicht als Einzelfall – das Muster hinter den Compliance-Warnsignalen, auf die Elliptic Krypto-Unternehmen aufmerksam machte.

Wäscheaktivität ging über NEAR hinaus

Elliptic berichtete, dass die Meme-Coin-Aktivität auf NEAR kein Einzelfall war. Das Unternehmen dokumentierte auch einen wertlosen Tron-Token, der am 2. November genutzt wurde, und teilte mit, dass am 3. November als gestohlen identifiziertes SOL in dünn gehandelte Solana-Tokens getauscht und dann in USDC verkauft wurde, einen an den US-Dollar gebundenen Stablecoin von Circle, was die Spur über mehrere Chains zusätzlich verkomplizierte.

„Noch eine Schicht“: Warum Meme Coins das Nachverfolgen erschweren

Tom Robinson, Mitgründer von Elliptic, erklärte die strategische Logik: „Meme Coins werden zu Tausenden aufgelegt und gehandelt, und die meisten verschwinden binnen Tagen, sodass ein weiteres kurzlebiges Token mit Cartoon-Logo wenig Aufmerksamkeit erregt. Eine Wallet, deren Historie Trades in einem neuen Meme Coin zeigt, wirkt wie ein Spekulant und nicht wie ein Geldwäscher – es sei denn, jemand prüft, woher das Geld stammt.“

Robinson umriss auch die Grenzen der Technik: „Selbstgeprägte Meme-Tokens sind einfach nur eine weitere Schicht. Sie versteckt die Gelder weniger, als dass sie die Nachverfolger aufhält.“ Blockchain-Transaktionen bleiben unabhängig davon, wie viele Zwischenassets sie durchlaufen, öffentlich sichtbar, doch jeder Hop erhöht den Ermittlungsaufwand und die Zeit.

Elliptic berichtete, dass eine breiter angelegte, mutmaßliche Wäscheoperation in einem Umfang lief, der die Meme-Coin-Aktivität wie ein kleiner Test erscheinen ließ. Elliptics separater Bericht zur automatisierten Geldwäsche erfasste 546 Überweisungen von einer einzelnen Wallet, die ungefähr alle 96 Sekunden ausgelöst wurde und 7 bis 11 Millionen US-Dollar pro Stunde über mehr als 31 Stunden ohne Unterbrechung bewegte. Das Unternehmen identifizierte mehr als 20.000 Wallets und 16 Chains, die laut Elliptic an der Operation beteiligt waren, die das FBI formell TraderTraitor zuschrieb.

Compliance-Warnsignale

Elliptic warnte Krypto-Unternehmen, das Meme-Coin-Muster als Compliance-Warnsignal zu behandeln, und verwies auf frisch geprägte Tokens, Liquidity Pools mit nur einer Handvoll Wallets, Wallets, die nur kaufen, gegenüber Wallets, die nur verkaufen, sowie neue Wallets, die kurz vor dem Handel mit runden Beträgen finanziert werden. Das Unternehmen warnte, dass über Liquidity Pools eingehende Mittel nicht von vornherein als sauber behandelt werden sollten.

Eingefrorene Mittel, Wiederherstellungsbemühungen und Marktkontext

Binance-Mitgeschäftsführer Richard Teng bestätigte, dass zum Zeitpunkt von Elliptics Berichterstattung 2,85 Milliarden US-Dollar der gestohlenen Mittel eingefroren oder abgefangen worden waren. Rund 3,2 Milliarden US-Dollar waren zu diesem Zeitpunkt noch nicht gewaschen, mit laufenden Wiederherstellungsbemühungen in mehreren Jurisdiktionen und Chains. Die Reaktion der US-Behörden fand öffentliche Anerkennung durch die Börsenführung. Für Leser, die die Auflösung der verbleibenden Mittel verfolgen, sind die beobachtbaren Indikatoren jene, die bereits dokumentiert sind: weitere Bestätigungen von Einfrierungen oder Abfängen durch Börse und Behörden, Updates von Screening-Listen wie der unten genannten Blocklist sowie die in Elliptics Forschung dokumentierten On-Chain-Flüsse.

Elliptic veröffentlichte eine kostenlose Blocklist illegaler Adressen aus dem Binance-Hack unter elliptic.co/binance-hack-2026-blocklist, um Börsen, Wallets und DeFi-Protokolle bei der Prüfung eingehender Mittel zu unterstützen. Das Unternehmen bestätigte oder dementierte nicht, ob KI-Agenten die Operation steuern; seine Einschätzung deutete auf konventionelle Automatisierung mit menschlicher Aufsicht hin und nicht auf autonome KI-Entscheidungsfindung.

Die breitere Marktverwerfung durch den Hack zeigte Wochen nach dem ursprünglichen Diebstahl weiterhin Auswirkungen über Token-Ökosysteme hinweg, wobei NEAR zum Zeitpunkt von Elliptics Recherche bei 3,62 US-Dollar und einer Marktkapitalisierung von rund 4,75 Milliarden US-Dollar notierte. Der Vorfall ist auch eine Erinnerung daran, dass Infrastruktur, die für legitime Token-Launches gebaut wurde – kostengünstiges Minting, öffentliche DEX-Pools und schnelle Liquiditätsbereitstellung – zu nahezu Nullkosten als Verschleierungsinstrument umfunktioniert werden kann.

Nutzer, die Updates zur Kontosicherheit suchen, sollten sich auf offizielle Mitteilungen von Binance und nicht auf Berichte Dritter verlassen.