La società di analisi blockchain Elliptic ha riferito che wallet collegati all'hack di Binance sono stati utilizzati per coniare e scambiare sei meme token su NEAR, impiegando i pool di liquidità degli exchange decentralizzati (DEX) nel presunto tentativo di oscurare il flusso dei fondi rubati.

Elliptic e l'FBI hanno attribuito il furto a TraderTraitor, un gruppo di cybercriminalità nordcoreano operante sotto l'umbrella del Lazarus Group — un collettivo da tempo collegato dagli investigatori statunitensi a furti di criptovalute su larga scala. Secondo la società, l'incidente ha coinvolto 6,43 miliardi di dollari sottratti a Binance, il più grande exchange di criptovalute al mondo per volume di scambi, il 29 ottobre 2026, e dispersi su 11 blockchain, in quello che Elliptic ha descritto come un compromissione senza precedenti di un singolo exchange.

Sei token a tema coniati su NEAR

Tra il 5 e il 7 novembre 2026, sei token sono stati coniati su NEAR: FUK, OLCCL, MEILI, MMLI, DABI e SINU. NEAR è una blockchain di layer uno che supporta la creazione di token a basso costo. L'analisi on-chain di Elliptic ha rilevato che i token presentavano loghi di animali dei cartoni animati — tra cui una scimmia con un fiocco, un papillon con la bandiera, uno scimpanzé e una volpe — insieme a un'immagine etichettata "Elon 2028 President". Ogni token è costato circa 25 NEAR, ovvero circa 90 dollari all'epoca, per la coniazione.

Come avrebbe funzionato il presunto meccanismo di riciclaggio

Elliptic ha descritto lo schema come articolato in quattro passaggi. Innanzitutto, viene creato un nuovo token e un pool di liquidità per un exchange decentralizzato. Quindi i fondi identificati come rubati entrano da un gruppo di wallet per acquistare il token. Un gruppo separato di wallet vende il token nel pool per ritirare gli asset. L'effetto è che il collegamento on-chain diretto tra i fondi originali e il wallet di uscita viene interrotto.

La società ha rilevato che DABI, MMLI e SINU avevano ciascuno esattamente un wallet acquirente e un wallet venditore — uno schema che Elliptic ha definito coerente con un riciclaggio controllato piuttosto che con un'attività di trading organica.

Tutta la liquidità è stata ritirata l'8 novembre 2026, secondo Elliptic. Il trading esterno su tutti e sei i token è stato inferiore all'1% del volume totale, rafforzando la valutazione della società secondo cui non si trattava di token speculativi al dettaglio ma di strumenti progettati per spostare valore. Circa 117.000 NEAR, del valore di circa 430.000 dollari all'epoca, sono transitati attraverso i sei token.

La stessa tecnica è stata presumibilmente impiegata per la prima volta durante l'hack di Bybit a febbraio 2025 — un incidente che figura tra i maggiori furti di criptovalute registrati — quando almeno 24 milioni di dollari sono transitati attraverso un token privo di valore sulla rete Tron. Il suo riapparire nell'hack di Binance, dopo il precedente di Bybit, segnala i meme token autoprodotti come una tecnica di riciclaggio ripetibile piuttosto che un caso isolato — lo schema alla base dei campanelli d'allarme per la compliance che Elliptic ha chiesto alle imprese cripto di monitorare.

L'attività di riciclaggio si è estesa oltre NEAR

Elliptic ha riferito che l'attività dei meme coin su NEAR non era isolata. La società ha inoltre documentato un token Tron privo di valore utilizzato il 2 novembre, e ha dichiarato che il 3 novembre SOL identificato come rubato è stato scambiato in token Solana poco negoziati e poi venduti per USDC, una stablecoin ancorata al dollaro emessa da Circle, aggiungendo ulteriore complessità alla pista attraverso più catene.

"Un livello in più": perché i meme coin complicano il tracciamento

Tom Robinson, co-fondatore di Elliptic, ha spiegato la logica strategica: "I meme coin vengono lanciati e scambiati a migliaia, e la maggior parte svanisce entro pochi giorni, quindi un altro token di breve durata con un logo di un cartone animato attira poca attenzione. Un wallet la cui cronologia mostra scambi in un nuovo meme coin sembra uno speculatore piuttosto che un riciclatore, a meno che qualcuno non controlli da dove provengono i suoi fondi."

Robinson ha anche delineato i limiti della tecnica: "I meme token autoprodotti sono semplicemente un livello in più. Non nasconde tanto i fondi quanto rallenta le persone che li tracciano." Le transazioni blockchain rimangono pubblicamente visibili indipendentemente da quanti asset intermedi attraversano, ma ogni passaggio aggiunge lavoro investigativo e tempo.

Elliptic ha riferito che un'operazione di riciclaggio presunta più ampia era in corso su una scala che rendeva l'attività dei meme coin simile a un piccolo test. Il rapporto separato di Elliptic sul riciclaggio automatizzato ha tracciato 546 trasferimenti da un singolo wallet che operava circa ogni 96 secondi, spostando da 7 a 11 milioni di dollari all'ora senza pause per più di 31 ore. La società ha identificato più di 20.000 wallet e 16 catene che, secondo quanto dichiarato, erano coinvolti nell'operazione, attribuita formalmente dall'FBI a TraderTraitor.

Campanelli d'allarme per la compliance

Elliptic ha avvertito le imprese cripto di considerare lo schema dei meme coin un campanello d'allarme per la compliance, citando token appena coniati, pool di liquidità con solo una manciata di wallet, wallet che solo acquistano rispetto a wallet che solo vendono, e nuovi wallet finanziati poco prima di operare in importi tondi. La società ha messo in guardia sul fatto che i fondi in arrivo attraverso pool di liquidità non dovrebbero essere considerati intrinsecamente puliti.

Fondi congelati, sforzi di recupero e contesto di mercato

Il co-CEO di Binance Richard Teng ha confermato che 2,85 miliardi di dollari di fondi rubati erano stati congelati o intercettati alla data del rapporto di Elliptic. Circa 3,2 miliardi di dollari rimanevano non riciclati in quel momento, con gli sforzi di recupero in corso in più giurisdizioni e catene. La risposta delle autorità statunitensi ha ricevuto un pubblico riconoscimento dalla leadership dell'exchange. Per i lettori che seguono come verranno risolti i fondi rimanenti, gli indicatori osservabili sono quelli già registrati: ulteriori conferme di congelamento o intercettazione da parte dell'exchange e delle autorità, aggiornamenti delle liste di screening come la blocklist riportata di seguito, e i flussi on-chain documentati nella ricerca di Elliptic.

Elliptic ha pubblicato una blocklist gratuita di indirizzi illeciti provenienti dall'hack di Binance su elliptic.co/binance-hack-2026-blocklist per aiutare exchange, wallet e protocolli DeFi a vagliare i fondi in arrivo. La società non ha confermato né negato se agenti AI stiano dirigendo l'operazione; la sua valutazione ha indicato automazione convenzionale con supervisione umana piuttosto che un processo decisionale autonomo dell'AI.

La più ampia dislocazione di mercato derivante dall'hack ha continuato a manifestarsi negli ecosistemi di token settimane dopo il furto iniziale, con NEAR scambiato a 3,62 dollari e una capitalizzazione di mercato di circa 4,75 miliardi di dollari al momento della ricerca di Elliptic. L'episodio ricorda anche che le infrastrutture costruite per lanci legittimi di token — coniazione a basso costo, pool DEX pubblici e rapido impiego della liquidità — possono essere riutilizzate come strumenti di offuscamento a costo quasi nullo.

Gli utenti in cerca di aggiornamenti sulla sicurezza dell'account dovrebbero fare affidamento sulle comunicazioni ufficiali di Binance piuttosto che su segnalazioni di terze parti.