La società di analisi blockchain Elliptic ha tracciato come i fondi rubati da Binance siano stati fatti girare attraverso sei meme coin auto-creati sulla blockchain NEAR in uno schema che faceva apparire i wallet dedicati al riciclaggio come trader in profitto. I risultati, pubblicati in un'indagine del 9 novembre, costituiscono l'ultimo rapporto della società sul furto, nel quale circa 6,4 miliardi di dollari hanno lasciato i wallet di Binance il 29 ottobre. Due giorni dopo, l'FBI ha attribuito l'attacco alla Corea del Nord sotto la designazione TraderTraitor, già applicata al furto da Bybit del 2025. TraderTraitor è l'etichetta che le agenzie statunitensi applicano ai gruppi informatici nordcoreani che prendono di mira le aziende cripto, un'attività documentata in ripetuti avvisi governativi statunitensi.

Coindoo aveva già trattato un token TRON auto-coniato tracciato da TRM Labs, in cui un pool di liquidità era l'unico collegamento tra acquirente e venditore. I risultati di Elliptic su NEAR ora quantificano entrambi i lati di un pool di liquidità, su sei token di una seconda blockchain.

Sei token con quasi nessun trader esterno

Ognuno dei sei token è stato abbinato al NEAR nel proprio pool su un exchange decentralizzato ed è costato circa 25 NEAR, ovvero circa 90 dollari, per la creazione. La creazione su un exchange decentralizzava è permissionless: nessuna approvazione di quotazione o verifica dell'identità si interpone tra l'utente e un nuovo pool, quindi il prezzo è l'unico vero ostacolo. A quel prezzo, un token può essere usato una volta e abbandonato — ed è esattamente ciò che è avvenuto per tutti e sei.

Un token appena lanciato dominato da pochi wallet non è, di per sé, prova di riciclaggio. Molti lanci legittimi iniziano così, con il creatore e un piccolo gruppo di acquirenti precoci che effettuano la maggior parte del trading. Il caso di Elliptic poggia su tre riscontri che hanno senso solo insieme.

Il primo riguarda chi ha fatto trading. I wallet della rete di riciclaggio hanno eseguito ogni vendita di tutti e sei i token e acquistato ogni unità di cinque di essi. Gli acquisti dall'esterno della rete si sono ridotti a una manciata di piccoli acquisti di FUK nel suo primo giorno, pari a meno dell'1% del volume di quel token.

Il secondo riguarda come ogni token è stato finanziato. Cinque dei sei creatori sono stati finanziati da un wallet che aveva già venduto un token precedente tra 2 e 13 minuti prima del nuovo lancio. I proventi di un token hanno pagato il successivo, il che significa che i sei formano una catena anziché sei scommesse separate.

Il terzo riguarda quanto brevemente ogni token è vissuto. Ognuno è stato venduto per la prima volta entro tre ore dal lancio e ha effettuato almeno tre quarti del proprio trading nell'arco di un'unica giornata. Nessuno ha più fatto trading dall'8 novembre, e in quel pomeriggio i creatori di quattro token hanno ritirato la liquidità residua nei propri pool.

I dati citati qui sono di Elliptic. Coindoo non ha riprodotto in modo indipendente i record delle transazioni dei sei pool.

Perché i venditori sembrano vincenti

Nulla nel branding dei token spiccava. Elliptic descrive loghi in stile meme coin standard — da una scimmia con un fiocco rosa e un'anatra davanti a una bandiera statunitense a uno striscione "Elon 2028 President" sopra l'immagine di Elon Musk, che Elliptic non collega ai token. I nomi seguono la stessa abitudine: FUK è una battuta volgare, e SINU prende in prestito il suffisso "-INU" usato dalle coin a tema cane. I wallet portavano nomi casuali assegnati da una popolare app di wallet, quindi nemmeno le loro etichette rimandavano a nulla.

Migliaia di nuovi token appaiono ogni giorno, e quella è la copertura. Nella lettura di Elliptic, un wallet che fa trading su una meme coin appena lanciata passa per uno speculatore a meno che qualcuno non verifichi da dove provengano i suoi fondi.

È in quella verifica che il profitto apparente svanisce. I wallet acquirenti erano stati finanziati con circa 117.000 NEAR, trasferiti dal wallet principale che deteneva i NEAR rubati attraverso contatti intermedi. Una quantità quasi identica è poi uscita dai wallet di raccolta, in gran parte convertita in stablecoin o inviata a un bridge cross-chain, il servizio che sposta asset da una blockchain a un'altra. Ai prezzi in vigore alla pubblicazione di Elliptic, equivalgono a circa 430.000 dollari.

Leggendo un wallet di raccolta alla volta, il registro appare come una serie di uscite pulite: token venduti, NEAR ricevuti. Leggendo attraverso la rete, gli stessi NEAR hanno compiuto un giro e sono tornati, al netto di circa 540 dollari di commissioni di creazione più i costi di rete. L'unico denaro arrivato dall'esterno della rete è stato il piccolo acquisto di FUK nel primo giorno.

La cifra di profitto di un wallet confronta ciò che ha ricevuto con ciò che ha pagato. Non può dimostrare che gli acquirenti dall'altro lato siano stati finanziati dallo stesso wallet dei fondi rubati. E se un venditore ha ricevuto i propri token tramite trasferimento anziché acquistarli nel pool, potrebbe non esserci alcun prezzo di acquisto da sottrarre.

Perché i riciclatori usano un trucco che gli investigatori possono seguire

Ogni passo si trova su una blockchain pubblica, e Elliptic l'ha seguito. Secondo la società, l'obiettivo è ritardare piuttosto che nascondere. Ogni passaggio aggiuntivo richiede tempo agli investigatori per essere analizzato, e il riciclaggio è una gara per spostare i fondi prima che vengano segnalati. A circa 90 dollari per token, i riciclatori possono permettersi di crearne molti e buttarne via uno dopo l'altro.

Lo schema non è nuovo. Elliptic ha osservato per la prima volta token autoprodotti nel riciclaggio del furto da Bybit del 2025, quando almeno 24 milioni di dollari sono passati attraverso un token TRON privo di valore. Nel caso Binance, ha identificato un token TRON simile il 2 novembre. Un giorno dopo, ha visto SOL rubati instradati attraverso token esistenti poco scambiati su Solana prima di essere venduti per USDC e trasferiti via bridge. TRM Labs ha descritto lo stesso schema TRON nel proprio tracciamento.

Le somme in NEAR sono piccole rispetto a quanto rimane. Circa 11,8 milioni di NEAR, del valore di circa 43,7 milioni di dollari, non si erano mossi alla data del rapporto di Elliptic, e la società sostiene che la tecnica sia abbastanza economica da poter trasferire somme molto maggiori. Per chi segue il caso, i punti di riferimento concreti da qui in avanti sono gli aggiornamenti della blocklist pubblica di Elliptic man mano che nuovi indirizzi di riciclaggio vengono confermati, e qualsiasi primo movimento da quel saldo intatto. Elliptic sottolinea inoltre che lo strumento di lancio, l'exchange e l'app di wallet non hanno fatto nulla di sbagliato; i riciclatori li hanno usati come farebbe qualsiasi altro utente.

Cinque controlli prima di fidarsi della serie vincente di un wallet

I tracker di wallet e i feed di copy-trading mettono regolarmente in evidenza account con ampi guadagni realizzati. I segnali d'allarme di Elliptic per i team di compliance si applicano direttamente, e un block explorer basta per eseguirli:

1. Età del token. Verificare quando il contratto del token è stato creato. Vendite di grandi dimensioni entro pochi giorni dal lancio meritano un esame più attento.
2. Numero di trader. Aprire lo storico delle operazioni del pool. Una manciata di wallet che genera quasi tutto il volume significa pochi controparti reali.
3. Wallet a senso unico. Cercare wallet che acquistano solo accanto a wallet che vendono solo. Quella divisione è uno dei segnali d'allarme di Elliptic.
4. Finanziamenti freschi. Tracciare il primo deposito verso i principali acquirenti. Nuovi wallet finanziati poco prima dell'inizio del trading, spesso in cifre tonde, sono un segnale d'allarme.
5. Liquidità ritirata. Verificare se il creatore ha ritirato quanto rimasto nel pool poco dopo la fine del trading.

Un singolo segnale descrive gran parte del mercato delle meme coin. Diversi sullo stesso wallet significano che la sua cifra di profitto richiede l'esame del lato acquirenti del registro prima che qualcuno copi le sue operazioni.

Per gli exchange, il consiglio di Elliptic è che i fondi in arrivo da un pool di liquidità non debbano essere trattati come puliti per impostazione predefinita. La sua blocklist pubblica di wallet collegati all'hack di Binance cresce man mano che nuovi indirizzi vengono identificati, quindi un deposito passato allo screening all'arrivo può essere segnalato in seguito. Elliptic invita le aziende a riverificare i depositi già accettati ogni volta che la lista viene aggiornata.