La società di analisi blockchain TRM Labs ha descritto in dettaglio come gli autori dell'exploit di Binance stanno riciclando i proventi rubati tramite token auto-coniati, trasferimenti di ricevute di prestito e swap cross-chain concatenati — tecniche studiate per interrompere i collegamenti di pagamento diretti da cui dipendono i congelamenti degli asset. In un aggiornamento del 3 novembre che copre il periodo dal 31 ottobre al 2 novembre, quando i bridge e i nuovi metodi basati su TRON sono comparsi per la prima volta nelle tracce dell'azienda, TRM ha mappato una serie di rotte costruite attorno a un unico principio: il wallet che detiene fondi collegati all'hack non deve mai pagare il wallet che incassa definitivamente.

Circa 6,36 miliardi di dollari hanno lasciato i wallet di Binance su dieci blockchain il 29 ottobre, secondo TRM. L'FBI ha attribuito il furto alla Corea del Nord il 31 ottobre, designando l'attività TraderTraitor — la stessa etichetta applicata al furto di 1,5 miliardi di dollari da Bybit a febbraio 2025.

Emettitori e reti hanno agito rapidamente. Tether, Circle, Ripple, World Liberty Financial e l'Arbitrum Security Council hanno congelato quasi 2,7 miliardi di dollari entro poche ore. TRM stima che l'attaccante detenga ancora circa 2,4 miliardi di dollari in ETH e BTC, e questi saldi principali non hanno mostrato nuova attività al 3 novembre. Il riciclaggio che l'azienda sta ora seguendo è concentrato su TRON, con fondi che hanno iniziato a transitare anche attraverso una serie di wallet Solana.

Su TRON, ogni nuovo metodo risolve lo stesso problema per l'attaccante: un congelamento o un allarme deve puntare a un indirizzo specifico.

Un token che solo il suo creatore poteva coniare

Il 31 ottobre, un indirizzo già presente nella traccia di Binance ha creato un token che solo il suo creatore può coniare. Il suo unico mercato era un singolo pool su un exchange decentralizzato su TRON, che accoppiava il token con il token di ricevuta di un protocollo di prestito. TRM non ha nominato né l'exchange né il protocollo di prestito.

TRM scompone la rotta in tre passaggi:

1. Finanziamento — Nuovi wallet acquirenti ricevono TRX da un wallet di dispersione presente nella traccia dell'hack, li scambiano in USDT, li convertono nel token di ricevuta e acquistano il nuovo token.
2. Coniazione — Il creatore conia nuovi token senza costi e li invia a un wallet venditore separato.
3. Prelievo — Il venditore vende nel pool, preleva i token di ricevuta e li riscatta in USDT.

Poiché i token del venditore non costano nulla da creare, tutto il valore prelevato dal pool era stato depositato lì dai wallet acquirenti — e questi erano finanziati dall'hack. TRM non ha trovato alcun trasferimento tra gli acquirenti e il venditore; il pool è il loro unico collegamento. Una traccia che monitora i pagamenti wallet-to-wallet vede quindi un insieme di indirizzi apparentemente non correlati che fanno trading su un nuovo token.

In un caso il 1° novembre, il wallet di dispersione ha inviato circa 2,94 milioni di TRX a tre wallet acquirenti. Il creatore ha quindi coniato 300 milioni di token verso un wallet venditore, che li ha venduti entro un minuto, ha prelevato quasi 100 milioni di token di ricevuta, li ha riscattati in USDT e ha riconvertito il ricavato in TRX.

Quella cifra di 100 milioni va letta meglio come un conteggio di token di ricevuta piuttosto che di dollari, poiché una ricevuta si converte in USDT a un tasso stabilito dal mercato di prestito. La stima in dollari di TRM per uno di questi pool è di circa 2,7 milioni di dollari prelevati al 1° novembre.

L'uscita verso Ethereum è tracciata solo in parte

Il wallet venditore ha diviso i suoi TRX su cinque nuovi wallet. Tra le 03:22 e le 04:26 UTC, questi wallet hanno effettuato 38 ordini per un valore di 966.558 USDT attraverso un router di swap integrato in un'app wallet, con ogni pagamento diretto ai wallet bridge dello stesso servizio cross-chain.

Il servizio non pubblica dove i suoi ordini vengono pagati, quindi TRM li ha abbinati per importo e tempistica. Undici dei 38 ordini — circa 290.000 dollari — corrispondono a pagamenti su Ethereum, dove i fondi sono stati scambiati in ETH, rappresentando circa il 30% del lotto per valore. Quando l'azienda ha pubblicato, stava ancora tracciando gli altri 27 ordini e i wallet Ethereum che avevano infine ricevuto i fondi.

Un abbinamento per importo e tempistica è un'inferenza, non un registro del servizio stesso. Fornisce agli investigatori indirizzi Ethereum specifici da esaminare, lasciando however la maggior parte di questo lotto non collocata. Gli ordini rimanenti e i wallet che ricevono i pagamenti Ethereum segnalati sono quindi gli elementi irrisolti più evidenti in questa parte della traccia di TRM.

In un altro caso tracciato sulla stessa rotta TRON-Ethereum, fondi provenienti da diversi indirizzi TRON sono arrivati a indirizzi Ethereum intermedi. Sono stati poi consolidati, inoltrati a un secondo indirizzo e suddivisi in tranche da 50 a 80 ETH. Quell'ETH è rimasto dove è atterrato. TRM descrive questa sequenza di scambio, consolidamento e ridistribuzione come tipica del riciclaggio nordcoreano.

Un diritto di deposito trasferito tra wallet

TRM ha segnalato il secondo metodo TRON il 2 novembre. Il wallet A deposita USDT in un pool di prestito e riceve un token di ricevuta che rappresenta il suo diritto su quel deposito. Invia la ricevuta al wallet B con un normale trasferimento di token. Il wallet B la riscatta, il pool paga USDT, e B invia quegli USDT a un bridge fuori da TRON.

Una traccia che segue solo gli USDT si interrompe al pool: A invia USDT in entrata, e B preleva USDT in uscita. Poiché il pool è grande e condiviso con molti altri depositanti, nulla nei flussi USDT collega i due. Le uniche controparti di B sono il mercato di prestito e un bridge, quindi il suo storico appare pulito. Il collegamento esiste solo nel trasferimento del token di ricevuta da A a B.

La ricevuta contiene il deposito stesso, non una copia. Se A deposita 100.000 dollari e consegna la ricevuta, B può riscattare quel deposito secondo le regole del mercato, e A rimane senza alcun diritto proprio.

Questo differisce dal precedente prelievo di ETH a fronte di stablecoin rubate. Il prestito lascia un debito garantito da collateral depositato. Il passaggio di una ricevuta trasferisce la proprietà del deposito a titolo definitivo.

Su cosa deve agganciarsi un congelamento

Entrambe le rotte TRON impediscano al wallet che detiene fondi collegati all'hack di pagare mai il wallet che incassa. I bridge aggiungono una terza versione della stessa idea. TRM ha visto l'attaccante concatenare due swap cross-chain, inviando fondi da un indirizzo di riciclaggio direttamente a un indirizzo di deposito presso un secondo bridge. Questo salta il wallet intermedio dove, secondo le parole di TRM, un allarme o un congelamento normalmente si aggancerebbe.

I 2,7 miliardi di dollari bloccati nelle prime ore sono stati congelati presso indirizzi che gli emettitori sapevano essere compromessi. Il consiglio di TRM ai team di compliance deriva da ciò che queste rotte interrompono: seguire il valore attraverso i token di ricevuta e i token di pool, esaminare più salti a valle — inclusi i pagamenti cross-chain — e riconoscere che alcuni pagamenti possono essere abbinati solo per importo e tempistica. Un controllo che guarda solo a chi ha inviato un deposito USDT farebbe passare il wallet B.

I saldi maggiori restano fermi. I circa 2,4 miliardi di dollari in ETH e BTC non si erano mossi al 3 novembre, mentre il riciclaggio documentato da TRM su TRON si muoveva da centinaia di migliaia a pochi milioni di dollari alla volta. La richiesta dell'FBI di bloccare i wallet collegati a TraderTraitor dipende dal fatto che qualcuno identifichi prima quei wallet. Ogni rotta descritta nell'aggiornamento è progettata in modo che il wallet successivo della catena non abbia alcuno storico di pagamento visibile con il precedente.

Questo articolo è adattato dal rapporto originale di Coindoo, Binance Hackers Created a Token to Trade With Themselves.