La società di analisi blockchain Elliptic ha identificato una tecnica di riciclaggio insolita utilizzata dagli hacker responsabili dell'hack di Binance da 6,43 miliardi di dollari: invece di spostare gli asset rubati direttamente tra wallet, gli attaccanti hanno emesso proprie meme coin e le hanno scambiate attraverso pool di liquidità di exchange decentralizzati (DEX) prima di abbandonarle completamente.

L'FBI ha attribuito la violazione al gruppo TraderTraitor della Corea del Nord, una denominazione utilizzata dalle autorità statunitensi per gli attori informatici nordcoreani sponsorizzati dallo stato che prendono di mira il settore delle criptovalute. Secondo l'analisi di Elliptic, i token appena creati hanno agito da buffer sacrificale tra i wallet che custodivano le criptovalute rubate e gli indirizzi che infine ricevevano i proventi. La tecnica rimane rilevabile on-chain, ma può rallentare gli investigatori e complicare i controlli di compliance.

Sei meme coin per muovere 117.000 NEAR rubati

La rete di riciclaggio, costituita tra il 5 e l'11 novembre, ha prodotto almeno sei token sulla blockchain NEAR: FUK, OLCCL, MEILI, MMLI, DABI e SINU, secondo Elliptic. La società stima che circa 117.000 NEAR, del valore di circa 430.000 dollari, siano stati elaborati attraverso pool di liquidità legati a questi token. La creazione di ciascun token è costata circa 90 dollari, rendendo il livello intermediario economico da predisporre rispetto alle somme in movimento.

Le monete non hanno visto praticamente alcuno scambio genuino sul mercato. Wallet che sembravano far parte dell'operazione di riciclaggio hanno effettuato tutte le vendite sui sei token e quasi tutti gli acquisti, ha determinato Elliptic. La maggior parte dei token è stata venduta e scaricata nel giro di poche ore, e nessuna attività di trading è avvenuta dall'8 novembre — il giorno successivo alla pubblicazione dell'analisi di Elliptic.

Come funziona il percorso a token monouso

Lo schema inserisce un livello di riciclaggio tra le criptovalute rubate e il wallet che infine raccoglie i proventi. Prima, gli attaccanti creano un nuovo token e lo abbinano a un asset consolidato come NEAR in un pool di liquidità DEX. Il NEAR rubato custodito in un wallet viene quindi utilizzato per acquistare il token appena emesso. Un wallet separato successivamente rivende quel token nel pool e preleva NEAR.

Di conseguenza, gli asset rubati non si spostano mai direttamente dal primo wallet all'indirizzo che li raccoglie. Alle apparenze, il wallet ricevente sembra aver semplicemente acquisito fondi scambiando una meme coin oscura — e poiché i DEX consentono a qualsiasi wallet di scambiare token appena emessi senza verifiche di intermediari, un tale indirizzo può spacciarsi per un normale trader di meme coin finché lo schema stesso non viene riconosciuto.

La traccia sulla blockchain resta comunque visibile. Elliptic ha dichiarato che la strategia crea attrito per gli investigatori, senza però rendere i fondi rubati non tracciabili.

Il riciclaggio dei proventi dell'hack di Binance si estende su più catene

L'attività su NEAR è solo una componente di un'operazione di riciclaggio molto più ampia legata all'hack di Binance. Elliptic ha tracciato i proventi rubati attraverso oltre 20.000 wallet, su 16 blockchain, coinvolgendo almeno 36 servizi e circa 65.000 transazioni. La società ha segnalato circa 3 miliardi di dollari in indirizzi che ritiene collegati ai fondi rubati.

Approcci comparabili basati su token sono stati implementati anche su altri sistemi blockchain, come Tron e Solana. Elliptic ha inoltre collegato la tecnica all'hack di Bybit del 2025, in cui ladri affiliati alla Corea del Nord avrebbero instradato oltre 24 milioni di dollari attraverso un token illusorio lanciato sulla rete Tron. Ripetendosi in incidenti e catene distinte, la tecnica è diventata uno schema riconoscibile che gli strumenti di screening possono essere costruiti per rilevare, e qualsiasi futuro movimento degli circa 3 miliardi di dollari di fondi tracciati resterebbe visibile on-chain.

Per i team di compliance crypto è emerso un nuovo segnale d'allarme: fondi che entrano nel sistema da un pool di liquidità su un exchange decentralizzato appena lanciato e con volume di scambio minimo. Questo segnale proviene dagli stessi dati on-chain pubblici utilizzati da Elliptic per tracciare l'operazione — i token emessi per interrompere il collegamento diretto wallet-to-wallet fungono ora anche da indicatori che il monitoraggio automatizzato può screentai.