Das Blockchain-Analyseunternehmen TRM Labs hat detailliert beschrieben, wie die Angreifer hinter dem Binance-Exploit gestohlene Erlöse über selbst geprägte Token, Kreditbeleg-Übertragungen und verkettete Cross-Chain-Swaps waschen – Techniken, die darauf ausgelegt sind, die direkten Zahlungsverbindungen zu durchtrennen, von denen Vermögenssperren abhängen. In einem Update vom 3. November, das den Zeitraum vom 31. Oktober bis zum 2. November abdeckt – die Periode, in der Bridges und neue TRON-basierte Methoden erstmals in der Verfolgung des Unternehmens auftauchten –, skizzierte TRM eine Reihe von Routen, die alle auf einem einzigen Prinzip beruhen: Die Wallet mit hackverbundenen Mitteln soll niemals direkt an die Wallet zahlen, die die Gelder schließlich abhebt.

Laut TRM verließen am 29. Oktober rund 6,36 Milliarden US-Dollar die Binance-Wallets, verteilt über zehn Blockchains. Das FBI schrieb den Diebstahl am 31. Oktober Nordkorea zu und bezeichnete die Aktivität als TraderTraitor – dasselbe Label wie bereits beim Bybit-Diebstahl von 1,5 Milliarden US-Dollar im Februar 2025.

Emittenten und Netzwerke reagierten schnell. Tether, Circle, Ripple, World Liberty Financial und der Arbitrum Security Council sperrten innerhalb weniger Stunden fast 2,7 Milliarden US-Dollar. TRM schätzt, dass der Angreifer noch etwa 2,4 Milliarden US-Dollar in ETH und BTC hält, und diese Hauptbestände zeigten zum Stand vom 3. November keine neue Aktivität. Die Geldwäsche, der das Unternehmen nun folgt, konzentriert sich auf TRON, wobei Mittel zunehmend auch durch eine Reihe von Solana-Wallets fließen.

Auf TRON löst jede neue Methode dasselbe Problem für den Angreifer: Eine Sperre oder Warnung muss sich auf eine konkrete Adresse beziehen lassen.

Ein Token, den nur sein Ersteller prägen konnte

Am 31. Oktober erstellte eine Adresse, die bereits in der Binance-Verfolgung bekannt war, einen Token, den nur sein Ersteller prägen kann. Ihr einziger Markt war ein einzelner Pool auf einer dezentralen TRON-Börse, der den Token mit dem Beleg-Token eines Kreditprotokolls pairte. TRM nannte weder die Börse noch das Kreditprotokoll beim Namen.

TRM gliedert die Route in drei Schritte:

1. Finanzierung — Frische Käufer-Wallets erhalten TRX von einer Fan-out-Wallet in der Hack-Verfolgung, tauschen sie in USDT, wandeln diese in den Beleg-Token um und kaufen den neuen Token.
2. Prägung — Der Ersteller prägt neue Token kostenlos und sendet sie an eine separate Verkäufer-Wallet.
3. Abhebung — Der Verkäufer verkauft in den Pool, nimmt die Beleg-Token heraus und löst sie in USDT ein.

Da die Token des Verkäufers nichts zur Erstellung kosten, stammte jeder wertvolle Betrag, den er aus dem Pool zog, von den Käufer-Wallets – und diese wurden aus dem Hack finanziert. TRM fand keine Übertragung zwischen Käufern und Verkäufer; der Pool ist ihre einzige Verbindung. Eine Verfolgung, die Wallet-zu-Wallet-Zahlungen beobachtet, sieht daher scheinbar unverbundene Adressen, die einen neuen Token handeln.

In einem Fall am 1. November sandte die Fan-out-Wallet rund 2,94 Millionen TRX an drei Käufer-Wallets. Der Ersteller prägte daraufhin 300 Millionen Token an eine Verkäufer-Wallet, die sie innerhalb einer Minute verkaufte, fast 100 Millionen Beleg-Token entnahm, diese in USDT einlöste und den Erlös wieder in TRX umwandelte.

Die Zahl von 100 Millionen ist am besten als Anzahl von Beleg-Token und nicht als Dollarbetrag zu lesen, da ein Beleg zu einem vom Kreditmarkt gesetzten Kurs in USDT umgewandelt wird. Die Dollar-Schätzung von TRM für einen solchen Pool liegt bei etwa 2,7 Millionen abgehobenen US-Dollar zum Stand vom 1. November.

Der Abfluss zu Ethereum ist nur teilweise nachverfolgt

Die Verkäufer-Wallet verteilte ihre TRX auf fünf neue Wallets. Zwischen 03:22 und 04:26 UTC gaben diese Wallets 38 Order im Wert von 966.558 USDT über einen in eine Wallet-App integrierten Swap-Router auf, wobei jede Zahlung an die Bridge-Wallets desselben Cross-Chain-Dienstes ging.

Der Dienst veröffentlicht nicht, wohin seine Order ausbezahlt werden, daher ordnete TRM sie anhand von Betrag und Timing zu. Elf der 38 Order – etwa 290.000 US-Dollar – passen zu Auszahlungen auf Ethereum, wo die Mittel in ETH getauscht wurden; das entspricht rund 30 % des Batchs nach Wert. Bei Veröffentlichung verfolgte das Unternehmen noch die übrigen 27 Order sowie die Ethereum-Wallets, die die Mittel schließlich erhielten.

Eine Zuordnung anhand von Betrag und Timing ist eine Inferenz, kein Datensatz des Dienstes selbst. Sie gibt Ermittlern konkrete Ethereum-Adressen zur Untersuchung an die Hand, lässt jedoch den größten Teil dieses Batchs unzuordnet. Die verbleibenden Order und die Wallets, die die berichteten Ethereum-Auszahlungen empfangen, sind daher die deutlichsten ungeklärten Elemente in diesem Teil der TRM-Verfolgung.

In einem weiteren nachverfolgten Fall auf derselben TRON-zu-Ethereum-Route trafen Mittel von mehreren TRON-Adressen auf Zwischenadressen auf Ethereum ein. Sie wurden dann gebündelt, an eine zweite Adresse weitergeleitet und in Tranchen von 50 bis 80 ETH aufgeteilt. Diese ETH blieb dort, wo sie landete. TRM beschreibt diese Abfolge von Tausch, Bündelung und Umverteilung als typisch für nordkoreanische Geldwäsche.

Ein Einlagenanspruch, der zwischen Wallets weitergegeben wird

TRM markierte die zweite TRON-Methode am 2. November. Wallet A zahlt USDT in einen Kreditpool ein und erhält einen Beleg-Token, der ihren Anspruch auf diese Einlage repräsentiert. Sie sendet den Beleg in einer gewöhnlichen Token-Übertragung an Wallet B. Wallet B löst ihn ein, der Pool zahlt USDT aus, und B sendet dieses USDT über eine Bridge von TRON weg.

Eine Verfolgung, die nur USDT folgt, bricht am Pool ab: A zahlt USDT ein, B hebt USDT ab. Da der Pool groß ist und von vielen anderen Einlegern mitgenutzt wird, verbindet nichts in den USDT-Flüssen die beiden. B's einzige Gegenparteien sind der Kreditmarkt und eine Bridge, daher wirkt seine Historie sauber. Die Verbindung existiert nur in der Beleg-Token-Übertragung von A an B.

Der Beleg trägt die Einlage selbst, nicht eine Kopie davon. Zahlt A 100.000 US-Dollar ein und übergibt den Beleg, kann B diese Einlage gemäß den Regeln des Markts einlösen, und A behält keinen eigenen Anspruch.

Das unterscheidet sich von der früheren Aufnahme von ETH-Krediten gegen gestohlene Stablecoins. Kreditvergabe hinterlässt eine Schuld, die durch hinterlegte Sicherheit besichert ist. Die Weitergabe eines Belegs überträgt das Eigentum an der Einlage vollständig.

Worauf eine Sperre ansetzen muss

Beide TRON-Routen verhindern, dass die Wallet mit hackverbundenen Mitteln jemals an die Wallet zahlt, die die Gelder abhebt. Die Bridges fügen eine dritte Variante derselben Idee hinzu. TRM hat beobachtet, wie der Angreifer zwei Cross-Chain-Swaps verkettete und Mittel von einer Wäsche-Adresse direkt an eine Einlagen-Adresse bei einer zweiten Bridge sendete. Das überspringt die Zwischenwallet, an der – in TRMs Worten – eine Warnung oder Sperre normalerweise ansetzen würde.

Die 2,7 Milliarden US-Dollar, die in den ersten Stunden gestoppt wurden, wurden an Adressen eingefroren, die Emittenten als belastet kannten. TRMs Rat an Compliance-Teams folgt aus dem, was diese Routen außer Kraft setzen: Der Wertfluss über Beleg-Token und Pool-Token nachverfolgen, mehrere nachgelagerte Hops prüfen – einschließlich Cross-Chain-Auszahlungen – und beachten, dass manche Auszahlungen nur anhand von Betrag und Timing zugeordnet werden können. Eine Prüfung, die nur darauf achtet, wer eine USDT-Einzahlung gesendet hat, würde Wallet B durchlassen.

Die größten Bestände bleiben weiterhin parkt. Die rund 2,4 Milliarden US-Dollar in ETH und BTC hatten sich zum Stand vom 3. November nicht bewegt, während die von TRM auf TRON dokumentierte Geldwäsche jeweils von Hunderttausenden bis zu wenigen Millionen Dollar umfasste. Der Aufruf des FBI, TraderTraitor-verbundene Wallets zu sperren, hängt davon ab, dass jemand diese Wallets zuerst identifiziert. Jede hier beschriebene Route ist so konzipiert, dass die nächste Wallet in der Kette keine sichtbare Zahlungshistorie mit der vorherigen aufweist.

Dieser Artikel basiert auf dem Originalbericht von Coindoo, Binance Hackers Created a Token to Trade With Themselves.