Nordkoreanische Hacker haben eigene Memecoins erstellt, um Gelder aus dem 6,3-Milliarden-Dollar-Hack auf Binance zu waschen, und nutzen simulierte Handelsaktivitäten, damit die illegalen Erlöse als legitimer Handelsgewinn erscheinen.

Laut einer Analyse der Blockchain-Analysefirma Elliptic bewegten die Hacker etwa 117.000 $NEAR-Token im Wert von rund 430.000 US-Dollar über sechs Memecoins, die zwischen dem 5. und 7. November erstellt wurden.

Einer dieser Tokens zeigte ein Bild von Elon Musk unter dem Banner „Elon 2028 President“, wobei Elliptic betonte, dass es keinen Hinweis darauf gibt, dass Musk mit den Tokens in Verbindung steht. Ihre Namen folgten bekannten Memecoin-Konventionen, darunter ein derber Witz und das bei hundethematischen Memecoins übliche Suffix „inu“ – Details, die halfen, die Tokens als gewöhnliche Memecoin-Launches erscheinen zu lassen.

Das Schema funktionierte, indem jeder Memecoin in einem eigenen Liquidity Pool auf einer dezentralen Börse mit $NEAR gepaart wurde. Anschließend nutzten die Hacker ein Set von Wallets, um die Memecoins mit gestohlenem $NEAR zu kaufen, und ein separates Set von Wallets, um dieselben Memecoins wieder gegen $NEAR zu verkaufen. Dadurch flossen die Gelder nie direkt von einer Wallet in die andere, sodass das Geld als Ergebnis profitablen Handels statt des Hacks erschien. Dieser Unterschied ist für Ermittler relevant, deren Rückverfolgungstechniken typischerweise direkten Überweisungen zwischen Adressen folgen – einen Weg, den diese Methode gezielt vermeidet.

„Die Geldwäscher haben sechs dieser Krypto-Tokens erstellt und nur mit sich selbst gehandelt. Das lässt die gestohlenen Gelder wie Handelserlöse aussehen“, sagte Elliptic-Mitgründer und Chief Scientist Tom Robinson gegenüber CoinDesk.

Elliptic stellte fest, dass fast der gesamte Handel von Wallets ausging, die mit der Wäsche-Operation in Verbindung stehen, wobei externe Käufer weniger als 1 % des Volumens eines Tokens ausmachten. Der Handel über alle sechs Tokens wurde bis zum 8. November eingestellt.

Das FBI schreibt den Binance-Diebstahl vom 29. Oktober der nordkoreanischen Gruppe TraderTraitor zu. Die Hacker nutzten außerdem THORChain, um gestohlene Vermögenswerte in Bitcoin umzuwandeln, das von einem zentralen Herausgeber nicht eingefroren werden kann, womit die Memecoin-Pools ein Schritt in einer längeren Wäschekette sind. Die rund 430.000 US-Dollar, die über die sechs Tokens bewegt wurden, sind nur ein Bruchteil der erbeuteten 6,3 Milliarden US-Dollar.

Elliptic hatte nach dem Bybit-Hack 2025 eine ähnliche memecoin-basierte Wäschemethode identifiziert und erklärte, die neuen Trades erschwerten die Rückverfolgung der gestohlenen Gelder, löschten jedoch nicht ihre Spuren. Da die Methode nun bei zwei großen Börsendiebstählen dokumentiert ist und die Spuren intakt sind, bietet das Wäschemuster selbst – selbst erstellte Tokens, selbst gerichteter Handel und vernetzte Wallets – den Ermittlern zusätzliche Anhaltspunkte bei dem Bestreben nachzuverfolgen, wohin die gestohlenen Gelder fließen.