Mit Nordkorea in Verbindung gebrachte Geldwäscher gaben jeweils rund 90 US-Dollar aus, um sechs Meme-Coins auf der NEAR-Blockchain zu erstellen, und nutzten diese, um beim Hack der Krypto-Börse Binance am 29. Oktober gestohlene Mittel zu bewegen. Nach Angaben des Blockchain-Analyseunternehmens Elliptic stützte sich die Operation auf selbst erstellte Token und Liquiditätspools, um die On-Chain-Verbindung zwischen den gestohlenen Einlagen und den empfangenden Wallets zu unterbrechen.

Elliptic zufolge flossen etwa 117.000 NEAR im Wert von rund 430.000 US-Dollar zwischen dem 5. und 7. November durch die Token. Das Unternehmen detailed die Wäsche-Operation in einem am Montag veröffentlichten Bericht.

Das Vorgehen entspricht Taktiken, die Gruppen mit Nordkorea-Verbindung nach größeren Börsen-Hacks wiederholt eingesetzt haben: Mittel werden durch selbst erstellte Token, dezentrale Börsen und mehrere Blockchains geleitet, um ihre Herkunft zu verschleiern.

Die sechs Token — FUK, OLCCL, MEILI, MMLI, DABI und SINU — kosteten jeweils etwa 25 NEAR für den Start über ein öffentliches Token-Erstellungstool auf dem Layer-1-Netzwerk. Sie trugen Comic-Meme-Coin-Artwork: einer zeigte einen Affen mit rosafarbener Schleife, ein anderes eine Ente vor einer amerikanischen Flagge, und ein drittes zeigte Elon Musk unter einem Banner mit der Aufschrift „Elon 2028 President“. Elliptic stellte fest, dass es keinen Hinweis darauf gibt, dass Musk eine Verbindung zu den Token hat.

Wie die Pools die Spur verwischten

Die Geldwäscher kombinierten jeden neuen Token mit NEAR in einem eigenen Liquiditätspool — ein Vorrat aus zwei Assets auf einer dezentralen Börse, gegen den jeder handeln kann. Eine Gruppe von Wallets nutzte gestohlene NEAR, um den neuen Token aus dem Pool zu kaufen; eine zweite Gruppe verkaufte den Token anschließend zurück und entnahm die NEAR. Da der Pool dazwischenlag, verband keine Transaktion die beiden Wallet-Gruppen direkt. Die Route nutzt eine strukturelle Besonderheit der dezentralen Finanzen: Anders als regulierte zentrale Plattformen verlangen dezentrale Börsen keine Know-Your-Customer-Prüfungen oder Kontoregistrierungen, sodass Wallets Werte durch einen Pool zirkulieren lassen können, ohne sich zu identifizieren.

„Sie existieren nur, um einen Pool zwischen die gestohlenen Mittel und die nächste Wallet zu setzen“, schrieb Elliptic in einem Beitrag auf X.

North Korea’s launderers are creating their own meme coins to move funds stolen from Binance. Between November 5 and 7, they launched at least six tokens on NEAR, dressed up with meme-coin logos such as a monkey in a pink bow and a duck in front of a US flag. Stolen NEAR went… — Elliptic (@elliptic) November 9, 2026

Laut Elliptic zeigten die Handelsdaten, dass die Token keinen anderen Zweck als die Geldwäsche hatten. Wallets, die der Operation zugeordnet wurden, stellten jeden Verkaufsauftrag in allen sechs Token und jeden Kaufauftrag in fünf davon. Die einzige Ausnahme waren eine kleine Anzahl von FUK-Käufen am Starttag, die nur einen Bruchteil des Handelsvolumens dieses Token ausmachten.

Die Token waren zudem in einer Kette verbunden. In fünf Fällen hatte die Wallet, die den Ersteller eines neuen Token finanzierte, den vorherigen Token nur 2 bis 13 Minuten vor dem nächsten Start verkauft.

Eine Methode, erstmals bei Bybit gesehen

Elliptic zufolge wurde die Technik erstmals entdeckt, nachdem Bybit 2025 durch einen Hack 1,5 Milliarden US-Dollar verloren hatte — den größten Krypto-Diebstahl der Geschichte. Dabei nutzten die Geldwäscher einen wertlosen Tron-Token, um mindestens 24 Millionen US-Dollar zu bewegen. Im Fall Binance erschien am 2. November ein ähnlicher Tron-Token; einen Tag später flossen gestohlene SOL durch bestehende Solana-Token mit dünnem Handel.

Die NEAR-Route deckt weniger als 0,01 % der rund 6,3 Milliarden US-Dollar ab, die Binance abhandenkamen. Das FBI hat den Diebstahl der nordkoreanischen Hackergruppe TraderTraitor zugeschrieben, einem Zusammenschluss, den US-Behörden mit der Lazarus Group in Verbindung bringen. US-Beamte und UN-Experten haben großflächigen Krypto-Diebstahl wiederholt als Einnahmequelle für die Waffenprogramme des sanktionierten Staates identifiziert.

Etwa 3.000 Bitcoin im Wert von rund 225 Millionen US-Dollar sind nach der Umwandlung aus anderen gestohlenen Assets auf neuen Bitcoin-Adressen gelandet, so Elliptic. Rund 11,8 Millionen NEAR im Wert von 43,7 Millionen US-Dollar wurden bislang noch nicht bewegt.

„Die Technik verlangsamt die Ermittler, statt die Mittel zu verbergen“, schrieb Elliptic-Mitgründer Tom Robinson. Er ergänzte, die nordkoreanischen Geldwäscher „stapeln viele kostengünstige Techniken übereinander, die jeweils für etwas mehr Verzögerung sorgen“.

Nur wenige Tage vor dem Auftauchen der Token sagte Jonty, Gründer von Pangolin Intelligence, bei Unchained, diese Netzwerke bewegten Mittel zwischen Wallets, „um im Wesentlichen den Augen der Transaktionsüberwachungssoftware zu entgehen“.

Elliptic empfahl Compliance-Teams, Mittel aus einem Liquiditätspool nicht standardmäßig als sauber zu behandeln. Warnsignale sind nur wenige Tage alte Token, Pools mit wenigen Händlern und Wallets, die ausschließlich kaufen oder ausschließlich verkaufen. Das Unternehmen riet, Einlagen, die auf Pools mit diesen Merkmalen zurückverfolgt werden können, einer zusätzlichen Prüfung zu unterziehen.

Keiner der sechs NEAR-Token wurde seit dem 8. November gehandelt. An jenem Nachmittag zogen vier der Token-Ersteller die noch in ihren Pools verbliebenen Mittel ab, so Elliptic. Damit bleiben die rund 43,7 Millionen US-Dollar in ruhenden NEAR und der neu konsolidierte Bitcoin die deutlichsten Anhaltspunkte für Analysten, die den nächsten Schritt verfolgen — und, dem von Elliptic dokumentierten Multi-Chain-Muster zufolge, wäre eine weitere Welle selbst erstellter Token an anderer Stelle das Signal dafür, dass die Kampagne in eine neue Phase eingetreten ist.