La società di analisi blockchain Elliptic ha riferito lunedì che hacker nordcoreani hanno utilizzato memecoin monouso per smuovere asset rubati da Binance, una tecnica che, secondo la società, aumenta i rischi di screening per le aziende che ricevono fondi da pool di liquidità decentralizzati.

Nella sua analisi del 9 novembre, Elliptic ha tracciato 117.000 NEAR (il token nativo della blockchain layer-one NEAR), per un valore di 430.000 dollari, attraverso sei token. Ogni token è costato circa 25 NEAR, ovvero 90 dollari, per essere creato. La società ha dichiarato che i trasferimenti sono rimasti tracciabili nonostante gli ulteriori passaggi di transazione.

Come i token monouso hanno oscurato l'origine dei fondi

Tra il 5 e il 7 novembre, i wallet impegnati nel riciclaggio hanno lanciato sei token su NEAR, ha rilevato Elliptic. Ciascuno è stato abbinato a NEAR in un pool di liquidità separato su un exchange decentralizzato, dove le operazioni si regolano contro riserve comuni anziché tra controparti nominali. Un gruppo di wallet ha acquistato i token utilizzando NEAR rubati, mentre un altro ha venduto gli stessi token per recuperare i fondi, senza lasciare trasferimenti diretti tra i due gruppi di wallet.

Secondo Elliptic, questo schema avrebbe potuto far apparire i wallet destinatari come trader in profitto. Tuttavia, i dati di rete hanno collegato acquirenti, venditori e creatori dei token agli stessi fondi rubati. Cinque dei creatori di token hanno ricevuto fondi da wallet che avevano venduto token precedenti appena due o tredici minuti prima, secondo la società. I wallet esterni hanno rappresentato meno dell'1% del volume di scambi di uno dei token, e gli altri cinque non hanno avuto acquirenti esterni.

Tutti e sei i token hanno cessato di essere scambiati entro l'8 novembre, e quattro emittenti hanno ritirato la liquidità residua quel pomeriggio. Elliptic ha identificato circa 11,8 milioni di NEAR rubati rimasti fermi al momento dello snapshot riportato, lasciando quel saldo come indicatore più chiaro per chiunque stia seguendo il caso, dato che la società ha accertato che la tecnica ha mantenuto i trasferimenti tracciabili onchain.

Perché i depositi dai pool di liquidità richiedono controlli più accurati

Elliptic ha avvertito che i fondi provenienti da pool di liquidità non dovrebbero ricevere automaticamente una classificazione pulita. Poiché i mercati con riserve comuni instradano ogni scambio attraverso riserve condivise, la fonte onchain immediata di un deposito è il pool stesso anziché la controparte dell'operazione. La società ha identificato token appena creati, scambi concentrati e wallet a uso singolo come potenziali segnali d'allarme.

Secondo la società, l'approccio non ha mascherato ogni movimento onchain. Ha invece creato ulteriore lavoro di tracciamento, mentre gli asset rubati continuavano a attraversare le reti.

Elliptic ha documentato una tattica simile dopo la violazione di Bybit del 2025, uno dei furti di criptovalute più grandi mai registrati, riferendo che almeno 24 milioni di dollari sono passati attraverso un token privo di valore su Tron. Nel caso di Binance, ha osservato un altro token artigianale su Tron il 2 novembre, e il giorno successivo gli aggressori hanno smosso SOL rubati attraverso token esistenti poco scambiati.

L'indagine sull'hack di Binance continua

L'FBI ha attribuito il furto del 29 ottobre all'operazione TraderTraitor della Corea del Nord, un gruppo di hacking legato allo Stato che le agenzie statunitensi hanno collegato a precedenti furti di exchange di criptovalute. Pyongyang ha negato ogni responsabilità.

Come riportato in precedenza da Blockonomi, gli aggressori hanno avuto accesso all'infrastruttura di wallet di Binance dopo aver compromesso i dispositivi dei dipendenti. Un report separato di Blockonomi ha trattato l'attribuzione dell'FBI e i primi movimenti delle criptovalute rubate.

Binance ha dichiarato il 3 novembre che l'incidente ha coinvolto circa 6,34 miliardi di dollari. Ha riferito che circa 2,85 miliardi di dollari sono stati congelati o intercettati e che il 98% degli asset coinvolti è stato ripristinato. Tali ripristini sono stati finanziati da Binance stessa, non da fondi recuperati.