Die Blockchain-Analysefirma Elliptic hat nachverfolgt, wie aus Binance gestohlene Mittel über sechs selbst erstellte Meme-Coins auf der NEAR-Blockchain kreist wurden – ein Schema, durch das Wallets der Geldwäsche-Gruppe als profitable Trader erschienen. Die in einer Untersuchung vom 9. November veröffentlichten Ergebnisse sind der jüngste Bericht der Firma zu dem Diebstahl, bei dem am 29. Oktober rund 6,4 Milliarden US-Dollar aus Binance-Wallets abflossen. Zwei Tage später ordnete das FBI den Angriff Nordkorea zu, unter der Bezeichnung TraderTraitor, die bereits für den Bybit-Diebstahl 2025 verwendet wurde. TraderTraitor ist das Label, das US-Behörden nordkoreanischen Cyber-Gruppen geben, die Kryptowährungsunternehmen ins Visier nehmen – eine Aktivität, die in wiederholten Hinweisen der US-Regierung dokumentiert ist.

Coindoo berichtete zuvor über einen von TRM Labs nachverfolgten, selbst geprägten TRON-Token, bei dem ein Liquiditätspool die einzige Verbindung zwischen Käufer und Verkäufer war. Elliptics NEAR-Ergebnisse beziffern nun beide Seiten eines Liquiditätspools – über sechs Token auf einer zweiten Blockchain hinweg.

Sechs Token mit fast keinen externen Tradern

Jeder der sechs Token war in einem eigenen Pool auf einer dezentralen Börse mit NEAR gepaart und kostete etwa 25 NEAR, also rund 90 US-Dollar, zur Erstellung. Die Erstellung auf einer dezentralen Börse ist genehmigungsfrei: Zwischen einem Nutzer und einem neuen Pool steht keine Listing-Freigabe oder Identitätsprüfung, sodass der Preis die einzige echte Hürde ist. Zu diesem Preis kann ein Token einmalig genutzt und anschließend verworfen werden – genau das geschah bei allen sechs.

Ein brandneuer Token, der von wenigen Wallets dominiert wird, ist allein noch kein Beweis für Geldwäsche. Viele legitime Launches beginnen so, wobei der Ersteller und eine kleine Gruppe früher Käufer den Großteil des Handels übernehmen. Elliptics Fall beruht auf drei Befunden, die nur zusammen Sinn ergeben.

Der erste: Wer hat gehandelt? Wallets im Geldwäsche-Netzwerk tätigten jeden Verkauf aller sechs Token und kauften jede Einheit von fünf davon. Käufe von außerhalb des Netzwerks beschränkten sich auf einige kleine FUK-Käufe am ersten Tag, die weniger als 1 % des Handelsvolumens dieses Tokens ausmachten.

Der zweite: Wie wurde jeder Token bezahlt? Fünf der sechs Ersteller wurden von einer Wallet finanziert, die zwischen 2 und 13 Minuten vor dem neuen Launch einen früheren Token verkaufte. Die Erlöse eines Tokens finanzierten den nächsten – die sechs bilden also eine Kette statt sechs separater Wetten.

Der dritte: Wie kurz lebte jeder Token? Jeder wurde erstmals innerhalb von drei Stunden nach dem Launch verkauft und setzte mindestens drei Viertel seines Handelsvolumens an einem einzigen Tag um. Keiner wurde seit dem 8. November gehandelt, und an diesem Nachmittag entzogen die Ersteller von vier Token die verbleibende Liquidität aus ihren Pools.

Die hier genannten Zahlen stammen von Elliptic. Coindoo hat die Transaktionsdaten der sechs Pools nicht unabhängig nachvollzogen.

Warum die Verkäufer als Gewinner erscheinen

Nichts am Branding der Token fiel auf. Elliptic beschreibt Logos im üblichen Meme-Coin-Stil – von einem Affen mit pinkfarbener Schleife und einer Ente vor einer US-Flagge bis zu einem „Elon 2028 President“-Banner über einem Bild von Elon Musk, den Elliptic nicht mit den Token in Verbindung bringt. Die Namen folgen derselben Gewohnheit: FUK ist ein derber Witz, und SINU übernimmt die „-INU“-Endung von Hunde-Themed-Coins. Die Wallets trugen zufällige Namen einer beliebten Wallet-App, sodass auch ihre Labels nichts verrieten.

Tausende neue Token erscheinen täglich – und das ist die Tarnung. Nach Elliptics Lesart gilt eine Wallet, die einen frischen Meme-Coin handelt, als Spekulant, solange niemand prüft, woher ihr Geld stammt.

Bei dieser Prüfung verschwindet der scheinbare Gewinn. Die kaufenden Wallets wurden mit etwa 117.000 NEAR finanziert, die von der Haupt-Wallet mit dem gestohlenen NEAR über Zwischenkonten weitergereicht wurden. Fast exakt derselbe Betrag floss danach aus den sammelnden Wallets ab, ein Großteil wurde in Stablecoins getauscht oder an eine Cross-Chain-Bridge gesendet – den Dienst, der Assets von einer Blockchain auf eine andere überträgt. Zu den Kursen zum Zeitpunkt von Elliptics Veröffentlichung entsprach das rund 430.000 US-Dollar.

Liest man die sammelnden Wallets einzeln, sieht die Bilanz nach einer Reihe sauberer Exits aus: Token verkauft, NEAR erhalten. Liest man über das gesamte Netzwerk, ist derselbe NEAR einmal herumgekreist und zurückgekommen – abzüglich etwa 540 US-Dollar an Erstellungsgebühren plus Netzwerkkosten. Das einzige Geld, das von außerhalb des Netzwerks einfloss, waren die kleinen FUK-Käufe am ersten Tag.

Die Gewinnzahl einer Wallet vergleicht, was sie erhalten hat, mit dem, was sie gezahlt hat. Sie kann nicht zeigen, dass die Käufer auf der anderen Seite aus derselben gestohlenen Wallet finanziert wurden. Und wenn ein Verkäufer seine Token per Transfer erhalten hat, statt sie im Pool zu kaufen, gibt es möglicherweise gar keinen Einkaufspreis zum Abziehen.

Warum Geldwäscher einen Trick nutzen, dem Ermittler folgen können

Jeder Schritt liegt auf einer öffentlichen Blockchain, und Elliptic ist ihm gefolgt. Laut der Firma ist das Ziel Verzögerung, nicht Tarnung. Jeder zusätzliche Sprung kostet Ermittler Zeit beim Entwirren, und Geldwäsche ist ein Wettrennen, Mittel zu bewegen, bevor sie markiert werden. Bei etwa 90 US-Dollar pro Token können sich die Geldwäscher viele leisten und jeden einzelnen wegwerfen.

Das Muster ist nicht neu. Elliptic sah selbst erstellte Token erstmals bei der Wäsche des Bybit-Diebstahls 2025, als mindestens 24 Millionen US-Dollar durch einen wertlosen TRON-Token bewegt wurden. Im Binance-Fall identifizierte die Firma am 2. November einen ähnlichen TRON-Token. Einen Tag später beobachtete sie, wie gestohlenes SOL über dünn gehandelte bestehende Token auf Solana geleitet wurde, bevor es in USDC verkauft und über eine Bridge ausgeführt wurde. TRM Labs beschrieb dasselbe TRON-Muster in seiner eigenen Nachverfolgung.

Die NEAR-Summen sind gering im Vergleich zu dem, was verbleibt. Etwa 11,8 Millionen NEAR im Wert von rund 43,7 Millionen US-Dollar waren laut Elliptics Bericht unbewegt geblieben, und die Firma argumentiert, die Technik sei billig genug, um weit größere Beträge zu transportieren. Für alle, die dem Fall folgen, sind die konkreten Markierungen von nun an Aktualisierungen von Elliptics öffentlicher Blockliste, sobald neue Geldwäsche-Adressen bestätigt werden, sowie jede erste Bewegung aus dem unangetasteten Guthaben. Elliptic betont auch, dass das Launch-Tool, die Börse und die Wallet-App nichts falsch gemacht haben; die Geldwäscher nutzten sie, wie jeder andere Nutzer hätte tun können.

Fünf Prüfungen, bevor man der Gewinnsträhne einer Wallet vertraut

Wallet-Tracker und Copy-Trading-Feeds führen regelmäßig Konten mit hohen realisierten Gewinnen auf. Elliptics Warnsignale für Compliance-Teams lassen sich direkt übertragen, und ein Block-Explorer genügt, um sie anzuwenden:

1. Alter des Tokens. Prüfen, wann der Token-Vertrag erstellt wurde. Große Verkäufe wenige Tage nach dem Launch verdienen eine genauere Prüfung.
2. Anzahl der Trader. Die Handelshistorie des Pools öffnen. Eine Handvoll Wallets, die nahezu das gesamte Volumen abwickeln, bedeutet wenige echte Gegenparteien.
3. Einseitige Wallets. Auf Wallets achten, die nur kaufen, neben Wallets, die nur verkaufen. Diese Aufspaltung ist eines von Elliptics Warnsignalen.
4. Frische Finanzierung. Die erste Einzahlung auf die Hauptkäufer nachverfolgen. Neue Wallets, die kurz vor dem Handel finanziert werden, oft in runden Beträgen, sind ein Warnsignal.
5. Abgezogene Liquidität. Prüfen, ob der Ersteller kurz nach dem Ende des Handels die verbleibende Liquidität aus dem Pool entnommen hat.

Ein einzelnes Signal beschreibt einen großen Teil des Meme-Coin-Marktes. Mehrere Signale bei derselben Wallet bedeuten, dass ihre Gewinnzahl die Käuferseite der Bilanz berücksichtigen muss, bevor jemand ihre Trades kopiert.

Für Börsen lautet Elliptics Rat, dass Mittel, die aus einem Liquiditätspool eingehen, nicht standardmäßig als sauber behandelt werden sollten. Die öffentliche Blockliste der Firma mit Wallets, die mit dem Binance-Hack in Verbindung stehen, wächst, während neue Adressen identifiziert werden – sodass eine Einzahlung, die bei Ankunft die Prüfung bestanden hat, später markiert werden kann. Elliptic rät Firmen, bereits akzeptierte Einzahlungen bei jeder Aktualisierung der Liste erneut zu prüfen.