Das Blockchain-Analyseunternehmen Elliptic berichtete am Montag, dass nordkoreanische Hacker Wegwerf-Memecoins nutzten, um aus dem Binance-Hack gestohlene Vermögenswerte zu leiten – eine Technik, die laut dem Unternehmen Prüfungsrisiken für Unternehmen birgt, die Gelder aus dezentralen Liquidity Pools erhalten.

In seiner Analyse vom 9. November verfolgte Elliptic 117.000 NEAR (den nativen Token der Layer-One-Blockchain NEAR) im Wert von 430.000 US-Dollar über sechs Token. Jeder Token kostete etwa 25 NEAR, also rund 90 US-Dollar, zur Erstellung. Das Unternehmen erklärte, die Transfers blieben trotz der zusätzlichen Transaktionsschritte nachvollziehbar.

Wie Wegwerf-Token die Herkunft der Gelder verschleierten

Zwischen dem 5. und 7. November starteten die Wasch-Wallets sechs Token auf NEAR, wie Elliptic feststellte. Jeder wurde in einem separaten Liquiditätspool einer dezentralen Börse mit NEAR gepaart, wo Trades gegen gepoolte Reserven statt zwischen namentlich bekannten Gegenparteien abgewickelt werden. Eine Gruppe von Wallets kaufte die Token mit gestohlenem NEAR, während eine andere dieselben Token verkaufte, um die Gelder zurückzuerhalten – sodass kein direkter Transfer zwischen den beiden Wallet-Gruppen bestand.

Elliptic erklärte, dieses Muster könnte empfangende Wallets wie profitablen Händler aussehen lassen. Netzwerkdaten verknüpften Käufer, Verkäufer und Token-Ersteller jedoch mit denselben gestohlenen Geldern. Fünf der Token-Ersteller erhielten ihre Finanzierung laut dem Unternehmen von Wallets, die nur zwei bis dreizehn Minuten zuvor frühere Token verkauft hatten. Externe Wallets machten weniger als 1 % des Handelsvolumens eines Token aus, und die anderen fünf hatten überhaupt keine externen Käufer.

Alle sechs Token stellten bis zum 8. November den Handel ein, und vier Emittenten zogen die verbleibende Liquidität noch am Nachmittag zurück. Elliptic identifizierte rund 11,8 Millionen gestohlene NEAR, die zum Zeitpunkt des berichteten Snapshots unbewegt blieben – dieser Bestand ist damit das deutlichste Merkmal für alle, die den Fall verfolgen, da das Unternehmen feststellte, dass die Technik die Transfers onchain nachvollziehbar hielt.

Warum Einzahlungen aus Liquidity Pools genauere Prüfungen erfordern

Elliptic warnte, dass Gelder aus Liquidity Pools nicht automatisch eine saubere Einstufung erhalten sollten. Da gepoolte Märkte jeden Swap durch gemeinsame Reserven leiten, ist die unmittelbare Onchain-Quelle einer Einzahlung der Pool selbst und nicht die Partei auf der anderen Seite des Trades. Das Unternehmen bezeichnete kürzlich erstellte Token, konzentriertes Handelsaufkommen und Wallets mit nur einem Zweck als mögliche Warnsignale.

Laut dem Unternehmen verschleierte die Methode nicht jede Onchain-Bewegung. Stattdessen erzeugte sie zusätzlichen Ermittlungsaufwand, während die gestohlenen Vermögenswerte weiterhin Netzwerke durchquerten.

Elliptic dokumentierte eine ähnliche Taktik nach dem Bybit-Hack von 2025, einem der größten Kryptodiebstähle der Geschichte, und berichtete, dass mindestens 24 Millionen US-Dollar über einen wertlosen Token auf Tron geleitet wurden. Im Fall Binance beobachtete das Unternehmen am 2. November einen weiteren selbst erstellten Tron-Token, und am folgenden Tag leiteten die Angreifer gestohlenes SOL über bestehende dünn gehandelte Token.

Ermittlungen zum Binance-Hack dauern an

Das FBI schrieb den Diebstahl vom 29. Oktober der nordkoreanischen Operation TraderTraitor zu – einem staatlich verbundenen Hacking-Netzwerk, das US-Behörden mit früheren Kryptobörsen-Diebstählen in Verbindung gebracht haben. Pjöngjang hat die Verantwortung bestritten.

Wie Blockonomi bereits berichtete, erlangten die Angreifer Zugriff auf Binance' Wallet-Infrastruktur, nachdem sie Mitarbeitergeräte kompromittiert hatten. Ein separater Blockonomi-Bericht behandelte die Zuordnung durch das FBI und die frühen Bewegungen der gestohlenen Kryptowährung.

Binance teilte am 3. November mit, dass der Vorfall rund 6,34 Milliarden US-Dollar betraf. Etwa 2,85 Milliarden US-Dollar wurden demnach eingefroren oder abgefangen, und 98 % der betroffenen Vermögenswerte wurden ersetzt. Diese Ersetzungen wurden von Binance selbst finanziert und stammten nicht aus wiedererlangter Beute.