Nordkoreanische Geldwäscher prägen eigene wertlose Meme-Coins und leiten gestohlene Binance-Gelder durch sie, sodass die_assets niemals direkt von einer Wallet in eine andere bewegt werden, wie das Blockchain-Analyseunternehmen Elliptic am Montag berichtete.

Zwischen dem 5. und 7. November erstellten die Betreiber mindestens sechs neue Token auf der NEAR-Blockchain — FUK, OLCCL, MEILI, MMLI, DABI und SINU —, koppelten jeden mit NEAR in einem eigenen Liquiditätspool, kauften die Token mit gestohlenem NEAR aus einer Reihe von Wallets und verkauften sie über eine zweite Reihe wieder. Rund 117.000 NEAR, etwa 430.000 US-Dollar, flossen durch die sechs Token, schrieb Elliptic.

Das Schema ist ein Faden in der weit größeren Geldwäsche des Binance-Diebstahls vom 29. Oktober, den die Börse auf 6,34 Milliarden US-Dollar beziffert und den das FBI der nordkoreanischen Gruppe TraderTraitor zuschreibt. Gemessen an dieser Gesamtsumme sind die rund 430.000 US-Dollar, die durch die sechs Token flossen, ein Bruchteil — aber sie veranschaulichen den typischen Stil der größeren Operation: Wert wird in vielen kleinen, wegwerfbaren Hops weitergeleitet statt in einzelnen großen Transfers. Elliptics umfassenderes Update beziffert nun rund 3.000 BTC — etwa 225 Millionen US-Dollar — auf neuen Bitcoin-Adressen, die aus anderen gestohlenen_assets umgewandelt wurden, während etwa 11,8 Millionen NEAR im Wert von 43,7 Millionen US-Dollar aus dem Diebstahl noch nicht bewegt wurden.

„Die meisten Menschen halten Meme-Token für Spaß-Coins, deren Preise durch Hype steigen und fallen", schrieb Dr. Tom Robinson, Mitgründer und Chef-Wissenschaftler von Elliptic. „Nordkoreas Geldwäscher haben einen anderen Nutzen für sie gefunden."

Wie der Trick mit den selbst erstellten Token funktioniert

Die Technik ist ein vierstufiger Hop. Die Geldwäscher erstellen einen Token mit einem öffentlichen Launch-Tool, eröffnen einen Liquiditätspool, der ihn mit einem realen_asset wie NEAR oder einem Stablecoin koppelt, kaufen den Token mit gestohlenen Geldern aus einer Reihe von Wallets und verkaufen ihn dann aus einer zweiten Reihe von Wallets zurück in denselben Pool, die das reale_asset einsammeln.

Zu keinem Zeitpunkt werden die gestohlenen Gelder direkt von einer kaufenden Wallet zu einer einsammelnden Wallet übertragen, weil der Pool dazwischenliegt. Für den flüchtigen Beobachter sehen die einsammelnden Wallets wie gewöhnliche Händler aus, die einen Token mit Gewinn verkauft haben. In der Praxis funktioniert jeder Token als Einwegtunnel: für einen einzigen Waschgang erstellt und dann aufgegeben, statt als funktionierender Markt erhalten zu bleiben.

Jeder der sechs NEAR-Token kostete etwa 25 NEAR — rund 90 US-Dollar — zur Erstellung. Alle wurden innerhalb weniger Stunden intensiv mit gestohlenem NEAR gehandelt und dann aufgegeben. Keiner wurde seit dem 8. November gehandelt, und an diesem Nachmittag zogen die Ersteller von vier davon die verbleibende Liquidität ab. Die Token bilden zudem eine Kette: Fünf der sechs Ersteller wurden von einer Wallet finanziert, die kurz zuvor einen früheren Token verkauft hatte, zwischen zwei und 13 Minuten vor dem nächsten Launch.

Elliptic berichtete erstmals über denselben Ansatz bei der Geldwäsche des Bybit-Diebstahls im Februar 2025, der ebenfalls TraderTraitor zugeschrieben wird, als ein wertloser Tron-Token half, mindestens 24 Millionen US-Dollar zu bewegen. Im Binance-Fall hat das Unternehmen die Technik auch auf Tron beobachtet, sowie eine nahe Variante auf Solana, die bestehende dünn gehandelte Token statt selbst erstellter nutzte.

Eine Verzögerungstaktik, kein Verschwinden

Die Meme-Coins verbergen die Gelder nicht — jeder Schritt ist on-chain öffentlich. Was sie kaufen, ist Zeit. Jeder zusätzliche Hop verlangsamt die Ermittler, während die Geldwäscher versuchen, die Gelder zu bewegen, bevor sie markiert werden, und mit rund 90 US-Dollar pro Token sind diese billig genug, um sie wegzuwerfen.

Die Taktik passt zum größeren Muster, das Elliptic seit dem Diebstahl verfolgt: mehr als 20.000 Wallets auf 16 Blockchains, mindestens 36 Dienste und mindestens 65.000 Transaktionen. Binance hat erklärt, der Angriff begann mit einem gefälschten Bewerbungsgespräch und lief fünf Monate, bevorCoins bewegt wurden, und Blockchain-Firmen verknüpften den Angriff innerhalb eines Tages mit TraderTraitor.

Die Umwandlung in Bitcoin ist die größere Dollar-Geschichte. Das gesamte gestohlene SOL wurde bereits getauscht, gebridged oder gemischt, und auch ein Großteil des XRP-Wegs floss in Bitcoin. Etwa 2,85 Milliarden US-Dollar der ursprünglichen Beute wurden eingefroren, während bisher ein vernachlässigbarer Betrag vermutlich abgehoben wurde, so Elliptic.

Nordkoreas Krypto-Diebstahlmaschine ist nicht neu. Elliptic bezifferte die Beute des Regimes im Jahr 2025 auf über 2 Milliarden US-Dollar, getrieben durch den Bybit-Exploit im Wert von 1,46 Milliarden US-Dollar, und die kumulierte bekannte Summe auf über 6 Milliarden US-Dollar noch vor dem Binance-Vorfall.

Binance hat Auszahlungen schrittweise wieder geöffnet und erklärt, die Kundenverluste aus eigenen Mitteln gedeckt zu haben. Für Ermittler ist die Frage nun, ob selbst erstellte Liquiditätspools schneller weiter wachsen als die Blocklisten mit ihnen Schritt halten — und wie das noch nicht bewegte NEAR schließlich verarbeitet wird.

Dieser Artikel wurde ursprünglich auf Bitcoin Magazine veröffentlicht und stammt von Micah Zimmerman.