I riciclatori della Corea del Nord hanno trovato un nuovo uso per i token-scherzo preferiti di internet: riciclare una parte dei $6,4 miliardi di dollari rubati da Binance.

Invece di spostare i fondi direttamente dal ladro al destinatario, i gruppi coniano meme coin artigianali e scambiano asset rubati attraverso pool di liquidità di exchange decentralizzati, secondo un rapporto della società di analisi blockchain Elliptic. La tecnica interrompe il collegamento diretto onchain tra il wallet del ladro e quello che raccoglie i proventi. Mostra anche come il riciclaggio si stia adattando alla struttura stessa della finanza decentralizzata, dove coniare un token e alimentare un pool di scambio è accessibile a chiunque per progetto.

Come funziona lo schema

I riciclatori coniano un token nuovo di zecca e lo abbinano a un asset reale come NEAR o una stablecoin in un pool di liquidità. Versano i fondi rubati nel pool tramite un gruppo di wallet per acquistare il token, poi lo rivendono tramite un gruppo separato di wallet per ritirare asset dall'aspetto pulito.

Poiché il pool si trova in mezzo, nessun fondo rubato si sposta direttamente dal wallet acquirente a quello di raccolta, e i wallet riceventi appaiono come normali trader che incassano una meme coin. Questo travestimento è più facile nei mercati delle meme coin, dove rapidi scatti di scambi attorno a token appena lanciati sono una consueta vista e non un segnale d'allarme.

Elliptic, in una ricerca attribuita al cofondatore Tom Robinson, ha dichiarato che i riciclatori hanno messo in atto la tattica su Tron e Near, con una variante simile osservata su Solana.

Sei token monouso su Near

L'esempio più evidente è arrivato su Near. Tra il 5 e il 7 novembre, i riciclatori hanno creato almeno sei token artigianali, ciascuno abbinato a NEAR nel proprio pool. Le monete portavano i consueti ornamenti delle meme coin: loghi cartoon di una scimmia con un fiocco, un papillon drappeggiato di bandiera, uno scimpanzé e una volpe. Uno presentava persino un'immagine "Elon 2028 President" di Elon Musk, che non ha alcun legame con i token. I nomi andavano dal volgare (FUK) a una variante sulle dog coin (SINU).

Ogni token è costato circa 25 NEAR—circa 90 dollari—per essere creato, una misura di quanto poca frizione le chain senza permessi frappongano alla creazione di un token con un marchio. Tutte e sei hanno seguito lo stesso percorso: lanciate, scambiate intensamente entro poche ore usando NEAR rubati, poi abbandonate, con la liquidità residua ritirata dai pool l'8 novembre.

In totale, circa 117.000 NEAR, ovvero circa 430.000 dollari, sono passati attraverso i sei token prima che gran parte dei fondi fluissesce verso stablecoin o un bridge cross-chain.

Tracciabile, ma più lento

Le somme sono finora modeste, un promemoria che la parte principale del bottino è ancora parcheggiata onchain. Elliptic aveva in precedenza stabilito che più di 3 miliardi di dollari della criptovaluta rubata dovevano ancora essere riciclati, e che i riciclatori stavano creando un nuovo wallet circa ogni 25 secondi per spostare fondi alla velocità della macchina.

Fondamentale: il trucco delle meme coin non nasconde in realtà il denaro. Elliptic ha sottolineato che la traccia rimane completamente tracciabile onchain; la manovra serve solo a rallentare gli investigatori, guadagnando tempo in quella che è essenzialmente una corsa per spostare i fondi prima che vengano segnalati. È uno strato economico e monouso tra i molti che i riciclatori nordcoreani sovrappongono.

Elliptic ha osservato per la prima volta la tattica l'anno scorso mentre rintracciava il furto di 1,5 miliardi di dollari da Bybit, attribuito anche al gruppo TraderTraitor responsabile della violazione di Binance.

Per i team di compliance, la società ha avvertito che i fondi provenienti da un pool di liquidità non devono essere considerati puliti, soprattutto quando sono coinvolti token appena coniati e un piccolo numero di wallet di trading. Con la parte principale del bottino record ancora da spostare, quell'avvertimento fornisce di fatto a exchange e team di screening uno schema concreto da monitorare: depositi che risalgono a token creati di recente e a un ristretto gruppo di wallet di trading.