I riciclatori nordcoreani stanno coniando proprie meme coin prive di valore e instradando attraverso esse i fondi rubati da Binance, assicurando che gli asset non si spostino mai direttamente da un wallet a un altro, ha riferito lunedì la società di analisi blockchain Elliptic.

Tra il 5 e il 7 novembre, gli operatori hanno creato almeno sei nuovi token sulla blockchain NEAR — FUK, OLCCL, MEILI, MMLI, DABI e SINU — abbinando ciascuno a NEAR in un pool di liquidità dedicato, acquistando i token con NEAR rubato da un primo gruppo di wallet e rivendendoli attraverso un secondo gruppo. Circa 117.000 NEAR, ovvero circa 430.000 dollari, sono transitati attraverso i sei token, come scritto da Elliptic.

Lo schema è un filo all'interno del riciclaggio molto più ampio del furto subito da Binance il 29 ottobre, valutato dall'exchange in 6,34 miliardi di dollari e che l'FBI ha attribuito al gruppo nordcoreano TraderTraitor. Rapportato a quel totale, il valore di circa 430.000 dollari transitato attraverso i sei token è una goccia — ma illustra lo stile distintivo dell'operazione più ampia: valore spinto avanti in molti piccoli passaggi monouso anziché in singoli trasferimenti di grandi dimensioni. L'aggiornamento più esteso di Elliptic colloca ora circa 3.000 BTC — circa 225 milioni di dollari — in nuovi indirizzi bitcoin convertiti da altri asset rubati, mentre circa 11,8 milioni di NEAR, ovvero 43,7 milioni di dollari, provenienti dal furto non si sono ancora mossi.

"La maggior parte delle persone considera i meme token monete scherzose il cui prezzo sale e scende in base all'hype", ha scritto il dottor Tom Robinson, cofondatore e chief scientist di Elliptic. "I riciclatori della Corea del Nord hanno trovato per loro un uso diverso."

Come funziona il trucco dei token fatti in casa

La tecnica è un salto in quattro passaggi. I riciclatori creano un token con uno strumento di lancio pubblico, aprono un pool di liquidità abbinandolo a un asset reale come NEAR o una stablecoin, acquistano il token con fondi rubati custoditi in un primo gruppo di wallet, poi lo rivendono nello stesso pool da un secondo gruppo di wallet che raccoglie l'asset reale.

In nessun momento i fondi rubati si trasferiscono direttamente da un wallet acquirente a un wallet collettore, perché in mezzo c'è il pool. A un osservatore superficiale, i wallet collettori sembrano trader ordinari che hanno venduto un token con profitto. In pratica, ogni token funziona come un tunnel a senso unico: creato per un singolo passaggio di riciclaggio e poi abbandonato, anziché mantenuto come mercato funzionante.

Ognuno dei sei token NEAR è costato circa 25 NEAR — circa 90 dollari — da creare. Tutti sono stati scambiati intensamente nel giro di ore usando NEAR rubato e poi abbandonati. Nessuno è stato scambiato dall'8 novembre, e quel pomeriggio i creatori di quattro di essi hanno ritirato la liquidità rimanente. I token formano anche una catena: cinque dei sei creatori sono stati finanziati da un wallet che aveva appena venduto un token precedente, tra due e 13 minuti prima del lancio successivo.

Elliptic aveva segnalato per la prima volta lo stesso approccio nel riciclaggio del furto a Bybit di febbraio 2025, attribuito anch'esso a TraderTraitor, quando un token Tron privo di valore ha permesso di spostare almeno 24 milioni di dollari. Nel caso Binance, la società ha osservato la tecnica anche su Tron, insieme a una variante simile su Solana che utilizzava token esistenti poco scambiati anziché fatti in casa.

Una tattica di rallentamento, non un atto di sparizione

Le meme coin non nascondono i fondi — ogni passaggio è pubblico on-chain. Ciò che acquistano è tempo. Ogni salto aggiuntivo rallenta gli investigatori mentre i riciclatori si affrettano a spostare il denaro prima che venga segnalato, e a circa 90 dollari l'uno i token sono abbastanza economici da poter essere gettati via.

La tattica si inserisce nello schema più ampio monitorato da Elliptic dal furto: oltre 20.000 wallet su 16 blockchain, almeno 36 servizi e almeno 65.000 transazioni. Binance ha detto che l'attacco è iniziato con un finto colloquio di lavoro ed è proseguito per cinque mesi prima che qualsiasi moneta si muovesse, e le società blockchain hanno collegato la violazione a TraderTraitor nell'arco di un giorno.

La conversione in bitcoin è la storia con i numeri maggiori. Tutti gli SOL rubati sono già stati scambiati, trasferiti su altre chain o mixer, e gran parte del percorso degli XRP è confluito anch'esso in bitcoin. Circa 2,85 miliardi di dollari del bottino originale sono stati congelati, mentre una quota trascurabile è probabilmente stata incassata finora, ha detto Elliptic.

La macchina nordcoreana del furto di criptovalute non è una novità. Elliptic ha stimato il bottino del regime nel 2025 oltre i 2 miliardi di dollari, trainato dall'exploit da 1,46 miliardi contro Bybit, e il totale cumulativo noto oltre i 6 miliardi di dollari già prima dell'incidente Binance.

Binance ha riaperto i prelievi a fasi e ha detto di aver coperto le perdite dei clienti con fondi propri. Per gli investigatori, la prova ora è se i pool di liquidità fatti in casa continueranno a moltiplicarsi più rapidamente delle blocklist che li raggiungono — e come verranno infine elaborati i NEAR che ancora non si sono mossi.

Questo articolo è stato originariamente pubblicato su Bitcoin Magazine ed è scritto da Micah Zimmerman.