Nordkoreanische Geldwäscher prägen Elon-Musk- und Tier-Meme-Coins, um gestohlene Binance-Kryptowährung zu bewegen
Wichtige Erkenntnisse
- •Nordkoreanische Geldwäscher prägen selbst erstellte Meme-Coins und tauschen gestohlene Assets über Liquiditätspools dezentraler Börsen, um die direkte Onchain-Verbindung zwischen Diebes-Wallets und den Wallets, die die Erlöse einsammeln, zu kappen.
- •Das Blockchain-Analyseunternehmen Elliptic berichtete in einer Forschungsarbeit, die dem Mitgründer Tom Robinson zugeschrieben wird, dass die Taktik auf Tron und Near eingesetzt wurde, mit einer nahezu identischen Variante auf Solana.
- •Zwischen dem 5. und 7. November erstellten die Geldwäscher mindestens sechs Wegwerf-Token auf Near zu Kosten von jeweils rund 90 US-Dollar; etwa 117.000 NEAR, ungefähr 430.000 US-Dollar, flossen durch sie, bevor sie in Stablecoins oder eine Cross-Chain-Brücke weiterflossen.
- •Mehr als 3 Milliarden US-Dollar der gestohlenen Binance-Kryptowährung sind noch nicht gewaschen, und die Meme-Coin-Technik verbirgt die Gelder onchain nicht wirklich, sondern verlangsamt nur die Ermittler, während die Geldwäscher versuchen, das Geld zu bewegen, bevor es markiert wird.
- •Elliptic beobachtete diese Wäschemethode erstmals im letzten Jahr bei der Verfolgung des Diebstahls von 1,5 Milliarden US-Dollar bei Bybit, der derselben TraderTraitor-Gruppe hinter dem Binance-Angriff zugeschrieben wird, und warnte Compliance-Teams, dass Mittel aus Liquiditätspools nicht als sauber angenommen werden sollten.
Nordkoreas Geldwäscher haben eine neue Verwendung für die Lieblings-Joke-Token des Internets gefunden: das Waschen eines Teils der rekordverdächtigen 6,4 Milliarden US-Dollar, die von Binance gestohlen wurden.
Anstatt die Gelder direkt vom Dieb zum Empfänger zu bewegen, prägen die Gruppen selbst erstellte Meme-Coins und tauschen gestohlene Assets über Liquiditätspools dezentraler Börsen, wie aus einem Bericht des Blockchain-Analyseunternehmens Elliptic hervorgeht. Die Technik durchbricht die direkte Onchain-Verbindung zwischen der Wallet des Diebes und derjenigen, die die Erlöse einsammelt. Sie zeigt auch, wie sich Geldwäsche an die Struktur der dezentralen Finanzen selbst anpasst, wo das Prägen eines Tokens und das Befüllen eines Handelspools von Design wegen jedem offenstehen.
Wie das Schema funktioniert
Die Geldwäscher prägen einen brandneuen Token und paaren ihn mit einem realen Asset wie NEAR oder einem Stablecoin in einem Liquiditätspool. Sie zahlen gestohlene Mittel über einen Satz Wallets in den Pool ein, um den Token zu kaufen, und verkaufen ihn dann über einen separaten Satz Wallets zurück, um sauber aussehende Assets abzuheben.
Da der Pool in der Mitte sitzt, bewegen sich keine gestohlenen Mittel direkt von der kaufenden zur einsammelnden Wallet, und die empfangenden Wallets sehen aus wie gewöhnliche Händler, die einen Meme-Coin abstoßen. Diese Tarnung gelingt in Meme-Coin-Märkten besonders leicht, wo schnelle Handelsspitzen rund um frisch gestartete Token zum Alltag gehören und kein Warnsignal darstellen.
Elliptic, in einer Forschungsarbeit, die dem Mitgründer Tom Robinson zugeschrieben wird, teilte mit, dass die Geldwäscher die Taktik auf Tron und Near einsetzten, mit einer nahezu identischen Variante auf Solana.
Sechs Wegwerf-Token auf Near
Das klarste Beispiel fand sich auf Near. Zwischen dem 5. und 7. November erstellten die Geldwäscher mindestens sechs selbst gemachte Token, jeweils mit NEAR in einem eigenen Pool gepaart. Die Coins trugen die üblichen Meme-Coin-Attribute: Comic-Logos eines Affen mit Schleife, einer Ente im Flaggenlook, eines Schimpansen und eines Fuchses. Einer zeigte sogar ein „Elon 2028 President“-Bild von Elon Musk, der mit den Token in keiner Verbindung steht. Die Namen reichten vom Derben (FUK) bis zu einer Anspielung auf Dog-Coins (SINU).
Jeder Token kostete etwa 25 NEAR—rund 90 US-Dollar—zur Erstellung, ein Maß dafür, wie wenig Reibung permissionlose Ketten dem Aufbau eines gebrandeten Tokens entgegenbringen. Alle sechs folgten demselben Muster: gestartet, innerhalb von Stunden mit gestohlenem NEAR stark gehandelt, dann aufgegeben, wobei die verbleibende Liquidität am 8. November aus den Pools gezogen wurde.
Insgesamt flossen etwa 117.000 NEAR, rund 430.000 US-Dollar, durch die sechs Token, bevor ein Großteil davon in Stablecoins oder eine Cross-Chain-Brücke weiterfloss.
Nachvollziehbar, aber langsamer
Die Summen sind bislang bescheiden, eine Erinnerung daran, dass der Großteil der Beute noch onchain geparkt ist. Elliptic hatte zuvor festgestellt, dass mehr als 3 Milliarden US-Dollar der gestohlenen Kryptowährung noch nicht gewaschen waren, und dass die Geldwäscher etwa alle 25 Sekunden eine neue Wallet einrichteten, um Gelder mit Maschinengeschwindigkeit zu bewegen.
Entscheidend ist: Der Meme-Coin-Trick verbirgt das Geld nicht wirklich. Elliptic betonte, dass die Spur onchain vollständig nachvollziehbar bleibt; das Manöver verlangsamt nur die Ermittler und gewinnt Zeit in einem Wettkampf, die Gelder zu bewegen, bevor sie markiert werden. Es ist eine billige, wegwerfbare Schicht unter vielen, die Nordkoreas Geldwäscher übereinanderstapeln.
Elliptic beobachtete die Taktik erstmals im letzten Jahr bei der Verfolgung des Diebstahls von 1,5 Milliarden US-Dollar bei Bybit, der ebenfalls der TraderTraitor-Gruppe zugeschrieben wird, die auch hinter dem Binance-Angriff steckt.
Für Compliance-Teams warnte das Unternehmen, dass Mittel, die aus einem Liquiditätspool eingehen, nicht als sauber angenommen werden sollten, insbesondere wenn frisch geprägte Token und eine kleine Handvoll Handels-Wallets beteiligt sind. Da der Großteil der Rekordbeute noch bewegt werden muss, übergeben diese Warnungen Börsen und Screening-Teams faktisch ein konkretes Muster, auf das sie achten sollten: Einzahlungen, die auf kürzlich erstellte Token und einen engen Kreis von Handels-Wallets zurückverfolgt werden können.
