Angreifer mit Verbindungen zu Nordkorea nutzen neu erstellte Meme-Token und Liquiditätspools dezentraler Börsen (DEX), um Kryptowährungen zu bewegen, die beim rund 6,4 Milliarden US-Dollar schweren Binance-Hack gestohlen wurden. Das berichtet das Blockchain-Analyseunternehmen Elliptic.

Zwischen dem 5. und 7. November leitete die Operation etwa 117.000 NEAR im Wert von rund 430.000 US-Dollar über mindestens sechs Token, die speziell für diese Aktivität erstellt wurden. Meme-Token, die in der Regel für Handel und Community-Interesse statt für eine zugrunde liegende Funktion existieren, lassen sich zu minimalen Kosten ausgeben und eignen sich daher als kurzlebige Vehikel für diese Art der Weiterleitung. Die Technik fügt der Transaktionsverfolgung weitere Komplexitätsebenen hinzu, ohne die On-Chain-Historie der Gelder zu entfernen.

Sechs NEAR-Meme-Token im Schema der Geldwäsche zugeordnet

In einer Untersuchung vom 9. November identifizierte Elliptic sechs Meme-Token, die zwischen dem 5. und 7. November erstellt wurden: FUK, OLCCL, MEILI, MMLI, DABI und SINU. Jeder Token wurde in einem separaten Liquiditätspool mit NEAR gepaart – einem Smart-Contract-Reserve aus zwei Token auf einer dezentralen Börse, die automatisierte Tauschgeschäfte ohne klassisches Orderbuch ermöglicht – sodass die Angreifer gestohlene NEAR gegen neu ausgegebene Token tauschen und diese Token später über andere Wallets wieder in NEAR umwandeln konnten. Laut Elliptic kostete die Erstellung jedes Tokens etwa 25 NEAR, umgerechnet rund 90 US-Dollar.

Das Analyseunternehmen verfolgte rund 117.000 NEAR im Wert von etwa 430.000 US-Dollar durch die sechs Token-Pools. Dabei stellte es fest, dass Wallets, die mit der Operation in Verbindung stehen, nahezu die gesamte Kauf- und Verkaufsaktivität kontrollierten, mit kaum Hinweisen auf echte externe Nachfrage. Die Token wurden kurz nach ihrer Erstellung genutzt und dann aufgegeben; die Ersteller von vier davon zogen am 8. November die verbleibende Pool-Liquidität ab. Elliptics Untersuchung detailiert die On-Chain-Erkenntnisse.

Liquiditätspools erschweren die Verfolgung gestohlener Kryptowährungen

Die Technik funktioniert, indem ein neu erstellter Token zwischen die Wallets gesetzt wird, die gestohlene Gelder empfangen, und jene, die die Vermögenswerte nach den Tauschgeschäften einsammeln. Eine Gruppe von Wallets tauscht gestohlene NEAR gegen den neuen Token, während eine andere Gruppe diesen Token über den Pool verkauft, um NEAR zu erhalten. Dadurch bewegen sich die Gelder nie direkt zwischen den kaufenden und einsammelnden Wallets, was die Transaktionsspur schwerer interpretierbar macht.

Die Methode löscht jedoch weder den Blockchain-Eintrag noch macht sie die Gelder unauffindbar. Elliptic erklärte, die Transaktionen blieben sichtbar, doch jeder weitere Tausch und jede weitere Wallet erschwere Ermittlern und Compliance-Teams die Arbeit. Das Unternehmen warnte zudem, Kryptowährungsunternehmen dürften über Liquiditätspools erhaltene Gelder nicht automatisch als legitim einstufen, insbesondere wenn neu erstellte Token und ungewöhnliche Handelsmuster beteiligt sind.

Binance-Diebstahl-Untersuchung deckt größere Geldwäsche-Operation auf

Die NEAR-Aktivität ist Teil eines deutlich größeren Vorhabens, Vermögenswerte zu bewegen, die beim Binance-Vorfall vom 29. Oktober gestohlen wurden. Elliptic schätzte den Diebstahl auf rund 6,43 Milliarden US-Dollar und erklärte, die Geldwäsche-Operation habe mehr als 20.000 Wallets über 16 Blockchains sowie mindestens 36 Dienste und 65.000 Transaktionen umfasst. Laut Elliptics Untersuchung schrieb das FBI den Angriff der TraderTraitor-Gruppe Nordkoreas zu. TraderTraitor ist eine Bezeichnung, die US-Behörden für mit Nordkorea verbundene Cyber-Akteure hinter Kryptowährungsdiebstählen gegen die Branche verwendet haben.

Stand des Updates vom 7. November: Elliptic berichtete, dass rund 2,85 Milliarden US-Dollar eingefroren oder beschlagnahmt worden seien, während sich etwa 3,13 Milliarden US-Dollar weiterhin in Adressen befanden, die mit dem Diebstahl in Verbindung gebracht werden. Das Unternehmen identifizierte auch frühere Geldwäsche-Aktivitäten über Tron und Solana, was zeigt, dass die Angreifer mehrere Blockchains und Transaktionsmethoden genutzt haben. Elliptics Untersuchung zum Binance-Hack verfolgt die Bewegung der gestohlenen Vermögenswerte.

Bybit-Präzedenzfall weckt Bedenken bei Krypto-Compliance-Teams

Elliptic erklärte, eine ähnliche Technik bereits bei der Geldwäsche von Funds aus dem Bybit-Hack 2025 beobachtet zu haben. In jenem Fall erstellten die Angreifer einen unerwünschten Token auf Tron und nutzten einen Stablecoin-Liquiditätspool, um mindestens 24 Millionen US-Dollar zu bewegen. Die Wiederholung deutet darauf hin, dass die Erstellung temporärer Token und die Weiterleitung von Geldern über DEX-Pools zu einer weiteren Methode im Geldwäsche-Repertoire geworden ist, das mit Nordkorea verbundenen Akteuren zugeschrieben wird.

Die Erkenntnisse wecken Bedenken bei Börsen, DeFi-Plattformen und Compliance-Anbietern, die verdächtige Krypto-Einzahlungen überwachen. Die Prüfung allein der sendenden Wallet kann unzureichend sein, wenn Vermögenswerte über einen Liquiditätspool eintreffen, da die vorangegangenen Tauschgeschäfte Verbindungen zu illegalen Aktivitäten vor einer grundlegenden Prüfung verbergen können.

Elliptic erklärte, die NEAR-Operation umfasse etwa 430.000 US-Dollar, während rund 11,8 Millionen NEAR im Wert von etwa 43,7 Millionen US-Dollar zum Zeitpunkt des Berichts unbewegt blieben. Eine weitere Bewegung dieser Gelder könnte Ermittlern zusätzliche Hinweise zur Operation liefern.