Riciclatori legati alla Corea del Nord hanno speso circa 90 dollari ciascuno per creare sei meme coin sulla blockchain NEAR, usandole per spostare i fondi rubati nell'hack del 29 ottobre ai danni dell'exchange di criptovalute Binance, secondo la società di analisi blockchain Elliptic. L'operazione si è basata su token lanciati autonomamente e su liquidity pool per rompere il collegamento on-chain tra i depositi rubati e i wallet che li hanno ricevuti.

Elliptic ha dichiarato che circa 117.000 NEAR, per un valore di circa 430.000 dollari, sono transitati attraverso i token tra il 5 e il 7 novembre. La società ha illustrato l'operazione di riciclaggio in un rapporto pubblicato lunedì.

Lo schema ricalca le tattiche che i gruppi affiliati alla Corea del Nord hanno ripetutamente utilizzato dopo grandi violazioni agli exchange, facendo ruotare i fondi attraverso token creati autonomamente, exchange decentralizzati e più blockchain per oscurarne l'origine.

I sei token — FUK, OLCCL, MEILI, MMLI, DABI e SINU — sono costati circa 25 NEAR l'uno da lanciare, utilizzando uno strumento pubblico di creazione di token sulla rete di livello uno. Portavano grafiche cartoon in stile meme coin: una raffigurava una scimmia con un fiocco rosa, un'altra un'anatra davanti a una bandiera americana, e una terza mostrava Elon Musk sotto uno striscione "Elon 2028 President". Elliptic ha precisato che non vi è alcuna indicazione di un collegamento di Musk con i token.

Come i pool hanno nascosto le tracce

I riciclatori hanno abbinato ogni nuovo token a NEAR in un proprio liquidity pool — un insieme di due asset su un exchange decentralizzato contro cui chiunque può negoziare. Un gruppo di wallet ha usato NEAR rubate per acquistare il nuovo token dal pool, e un secondo gruppo di wallet ha poi rivenduto il token ritirando le NEAR. Poiché il pool stava in mezzo, nessun trasferimento collegava direttamente i due gruppi di wallet. Il percorso sfrutta una caratteristica strutturale della finanza decentralizzata: a differenza delle piattaforme centralizzate regolamentate, gli exchange decentralizzati non impongono controlli know-your-customer né requisiti di account, così i wallet possono far ruotare valore attraverso un pool senza identificarsi.

"Esistono solo per mettere un pool tra i fondi rubati e il wallet successivo", ha scritto Elliptic in un post su X.

I riciclatori della Corea del Nord stanno creando le proprie meme coin per spostare i fondi rubati a Binance. Tra il 5 e il 7 novembre hanno lanciato almeno sei token su NEAR, travestiti con loghi in stile meme coin come una scimmia con un fiocco rosa e un'anatra davanti a una bandiera statunitense. Le NEAR rubate sono andate… — Elliptic (@elliptic) 9 novembre 2026

Secondo Elliptic, i dati di trading mostravano che i token non avevano alcun scopo oltre il riciclaggio. I wallet legati all'operazione hanno piazzato ogni ordine di vendita su tutti e sei i token e ogni ordine di acquisto su cinque di essi. L'unica eccezione è stata un numero limitato di acquisti di FUK il giorno del lancio, che ha rappresentato una porzione minima dell'attività di trading di quel token.

I token erano anche collegati in una catena. In cinque casi, il wallet che aveva finanziato il creatore di un nuovo token aveva venduto il token precedente appena 2-13 minuti prima del lancio successivo.

Un metodo visto per la prima volta con Bybit

Elliptic ha dichiarato di aver individuato per la prima volta la tecnica dopo che Bybit ha perso 1,5 miliardi di dollari in un hack nel 2025, il più grande furto di criptovalute mai registrato, in cui i riciclatori hanno usato un token Tron privo di valore per spostare almeno 24 milioni di dollari. Nel caso Binance, un token Tron simile è apparso il 2 novembre, e un giorno dopo SOL rubate sono transitate attraverso token Solana esistenti con trading limitato.

Il percorso su NEAR copre meno dello 0,01% dei circa 6,3 miliardi di dollari sottratti a Binance. L'FBI ha attribuito il furto al gruppo di hacker TraderTraitor nordcoreano, un raggruppamento che le agenzie statunitensi hanno associato al Lazarus Group. Funcionari statunitensi ed esperti delle Nazioni Unite hanno ripetutamente indicato il furto di criptovalute su larga scala come fonte di entrate per i programmi di armamenti dello Stato sanzionato.

Elliptic ha dichiarato che circa 3.000 bitcoin, per un valore di circa 225 milioni di dollari, sono finiti su nuovi indirizzi bitcoin dopo essere stati convertiti da altri asset rubati. Circa 11,8 milioni di NEAR, per un valore di 43,7 milioni di dollari, non si sono ancora mossi.

"La tecnica rallenta gli investigatori più che nascondere i fondi", ha scritto il cofondatore di Elliptic Tom Robinson. Ha aggiunto che i riciclatori nordcoreani "sovrappongono molte tecniche economiche, ognuna delle quali aggiunge un po' di ritardo."

Pochi giorni prima della comparsa dei token, Jonty, fondatore di Pangolin Intelligence, aveva dichiarato su Unchained che queste reti spostano fondi tra wallet "per eludere in sostanza gli occhi dei software di monitoraggio delle transazioni."

Elliptic ha esortato i team di compliance a non considerare per impostazione predefinita come puliti i fondi in uscita da un liquidity pool. I segnali d'allarme includono token nati da pochi giorni, pool con pochi trader e wallet che solo acquistano o solo vendono. La società ha consigliato di applicare un controllo aggiuntivo ai depositi riconducibili a pool con queste caratteristiche.

Nessuno dei sei token NEAR è stato scambiato dall'8 novembre. Quel pomeriggio, quattro dei creatori dei token hanno ritirato i fondi ancora presenti nei loro pool, secondo Elliptic. Ciò lascia i circa 43,7 milioni di dollari in NEAR quiescenti e il bitcoin appena consolidato come indicatori più evidenti per gli analisti che monitorano le prossime movimentazioni — e, secondo lo schema multichain documentato da Elliptic, un'altra ondata di token lanciati autonomamente altrove sarebbe il segnale che la campagna è entrata in una nuova fase.