Gli attaccanti collegati alla Corea del Nord stanno utilizzando meme token di nuova creazione e pool di liquidità di exchange decentralizzati (DEX) per spostare criptovalute rubate nell'hack a Binance da circa 6,4 miliardi di dollari, secondo la società di analisi blockchain Elliptic.

Tra il 5 e il 7 novembre, l'operazione ha instradato circa 117.000 NEAR, per un valore di circa 430.000 dollari, attraverso almeno sei token creati specificamente per questa attività. I meme token, che in genere esistono per finalità di trading e interesse della community piuttosto che per una sottostante utilità, possono essere emessi a costi minimi, rendendoli comodi strumenti monouso per questo tipo di instradamento. La tecnica aggiunge livelli di complessità alla tracciabilità delle transazioni senza cancellare la cronologia on-chain dei fondi.

Sei meme token NEAR mappati nel flusso di riciclaggio

In un'indagine del 9 novembre, Elliptic ha identificato sei meme token creati tra il 5 e il 7 novembre: FUK, OLCCL, MEILI, MMLI, DABI e SINU. Ciascun token è stato accoppiato con NEAR in un pool di liquidità separato — una riserva di smart contract di due token su un exchange decentralizzato che consente swap automatizzati senza un tradizionale order book — permettendo agli attaccanti di scambiare i NEAR rubati con i token di nuova emissione e di convertire successivamente tali token nuovamente in NEAR tramite altri wallet. Elliptic ha stimato che la creazione di ciascun token è costata circa 25 NEAR, ossia circa 90 dollari.

La società di analisi ha tracciato circa 117.000 NEAR, per un valore di circa 430.000 dollari, attraverso i sei pool di token. Ha riscontrato che i wallet collegati all'operazione controllavano quasi tutta l'attività di acquisto e vendita, con poche evidenze di una reale domanda esterna. I token sono stati utilizzati poco dopo la creazione e poi abbandonati, e i creatori di quattro di essi hanno ritirato la liquidità residua del pool l'8 novembre. L'indagine di Elliptic dettaglia i riscontri on-chain.

I pool di liquidità complicano la tracciabilità delle criptovalute rubate

La tecnica funziona inserendo un token di nuova creazione tra i wallet che ricevono i fondi rubati e quelli che raccolgono gli asset dopo gli swap. Un gruppo di wallet scambia i NEAR rubati con il nuovo token, mentre un altro gruppo vende tale token attraverso il pool per ricevere NEAR. Di conseguenza, i fondi non si spostano mai direttamente tra i wallet acquirenti e quelli di raccolta, rendendo il flusso delle transazioni più difficile da interpretare.

Il metodo, tuttavia, non cancella il registro della blockchain né rende i fondi non tracciabili. Elliptic ha dichiarato che le transazioni rimangono visibili, ma ogni swap e wallet aggiuntivo crea più lavoro per gli investigatori e i team di compliance. La società ha inoltre avvertito che le imprese di criptovalute non dovrebbero trattare automaticamente come legittimi i fondi ricevuti dai pool di liquidità, in particolare quando sono coinvolti token di nuova creazione e pattern di trading insoliti.

L'indagine sul furto a Binance rivela un'operazione di riciclaggio più ampia

L'attività su NEAR fa parte di uno sforzo molto più ampio per spostare gli asset rubati nell'incidente Binance del 29 ottobre. Elliptic ha stimato il furto in circa 6,43 miliardi di dollari e ha dichiarato che l'operazione di riciclaggio ha coinvolto oltre 20.000 wallet su 16 blockchain, insieme ad almeno 36 servizi e 65.000 transazioni. L'FBI ha attribuito l'attacco al gruppo TraderTraitor della Corea del Nord, secondo l'indagine di Elliptic. TraderTraitor è la designazione utilizzata dalle autorità statunitensi per gli attori informatici collegati alla Corea del Nord responsabili di furti di criptovalute mirati al settore.

Al suo aggiornamento del 7 novembre, Elliptic ha riferito che circa 2,85 miliardi di dollari erano stati congelati o sequestrati, mentre circa 3,13 miliardi di dollari rimanevano in indirizzi collegati al furto. La società ha inoltre identificato precedenti attività di riciclaggio che coinvolgevano Tron e Solana, dimostrando che gli attaccanti hanno utilizzato molteplici blockchain e metodi di transazione. L'indagine di Elliptic sull'hack a Binance monitora gli spostamenti degli asset rubati.

Il precedente Bybit preoccupa i team di compliance delle criptovalute

Elliptic ha dichiarato di aver precedentemente osservato una tecnica simile durante il riciclaggio dei fondi rubati nell'hack a Bybit del 2025. In quel caso, gli attaccanti hanno creato un token indesiderato su Tron e hanno utilizzato un pool di liquidità in stablecoin per spostare almeno 24 milioni di dollari. La ricorrenza suggerisce che la creazione di token temporanei e l'instradamento dei fondi tramite pool DEX siano diventati un altro metodo nel repertorio di riciclaggio attribuito agli attori collegati alla Corea del Nord.

I riscontri destano preoccupazioni per gli exchange, le piattaforme di finanza decentralizzata e i fornitori di compliance che monitorano depositi cripto sospetti. Verificare soltanto il wallet che invia i fondi può essere insufficiente quando gli asset arrivano tramite un pool di liquidità, perché gli swap precedenti possono nascondere i collegamenti ad attività illecite a un controllo basilare.

Elliptic ha dichiarato che l'operazione su NEAR ha coinvolto circa 430.000 dollari, mentre circa 11,8 milioni di NEAR, per un valore di circa 43,7 milioni di dollari al momento del rapporto, rimanevano fermi. Ulteriori movimenti di tali fondi potrebbero fornire agli investigatori ulteriori prove sull'operazione.