Het blockchain-analysebedrijf Elliptic heeft een ongebruikelijke witwastechniek geïdentificeerd die de hackers verantwoordelijk voor de Binance-hack van 6,43 miljard dollar hebben toegepast: in plaats van gestolen activa direct tussen wallets te verplaatsen, sloegen de aanvallers eigen meme coins aan en verhandelden ze via liquiditeitspools van gedecentraliseerde exchanges (DEX's), waarna ze de tokens volledig in de steek lieten.

De FBI schrijft de inbraak toe aan de Noord-Koreaanse groep TraderTraitor, een benaming die Amerikaanse autoriteiten gebruiken voor door de staat gesteunde Noord-Koreaanse cyberactoren die zich op de cryptosector richten. Volgens de analyse van Elliptic dienden de nieuw aangemaakte tokens als een soort offerbuffer tussen de wallets met de gestolen crypto en de adressen die uiteindelijk de opbrengsten ontvingen. De techniek blijft on-chain detecteerbaar, maar kan onderzoekers vertragen en compliance-screening bemoeilijken.

Zes meme coins verplaatsten 117.000 gestolen NEAR

Het witwasnetwerk, opgezet tussen 5 en 11 november, produceerde ten minste zes tokens op de NEAR-blockchain: FUK, OLCCL, MEILI, MMLI, DABI en SINU, volgens Elliptic. Het bedrijf schat dat ongeveer 117.000 NEAR, ter waarde van rond de 430.000 dollar, via liquiditeitspools die aan deze tokens gekoppeld zijn, is verwerkt. Het aanmaken van elk token kostte ongeveer 90 dollar, waardoor de tussenlaag goedkoop op te zetten was in verhouding tot de verplaatste bedragen.

De coins kenden vrijwel geen echte markthandel. Wallets die deel leken uit te maken van de witwasoperatie verzorgden alle verkopen van alle zes tokens en bijna alle aankopen, stelde Elliptic vast. De meeste tokens werden binnen enkele uren verkocht en gedumpt, en sinds 8 november — een dag nadat Elliptic zijn analyse publiceerde — heeft er geen handelsactiviteit meer plaatsgevonden.

Hoe de route met wegwerptokens werkt

Het schema voegt een witwaslaag in tussen de gestolen crypto en de wallet die uiteindelijk de opbrengsten incasseert. Eerst maken de aanvallers een nieuw token aan en koppelen dit aan een gevestigd activum zoals NEAR in een DEX-liquiditeitspool. Gestolen NEAR op één wallet wordt vervolgens gebruikt om het zojuist aangemaakte token te kopen. Een aparte wallet verkoopt daarna dat token terug aan de pool en neemt NEAR op.

Daardoor verplaatsen de gestolen activa zich nooit rechtstreeks van de eerste wallet naar het adres dat ze incasseert. Op het eerste gezicht lijkt de ontvangende wallet gewoon geld te hebben verkregen door handel in een obscuur meme coin — en omdat DEX's elke wallet zonder tussenkomst van een derde partij laten handelen in nieuw uitgebrachte tokens, kan zo'n adres doorgaan voor een gewone meme coin-handelaar totdat het patroon zelf wordt herkend.

De blockchain-sporen zijn echter nog steeds zichtbaar. Elliptic zei dat de strategie wrijving veroorzaakt voor onderzoekers in plaats van de gestolen fondsen onvindbaar te maken.

Witwassen rond de Binance-hack strekt zich uit over meerdere chains

De NEAR-activiteit is slechts één onderdeel van een veel grotere witwasoperatie rond de Binance-hack. Elliptic heeft de gestolen opbrengsten gevolgd via meer dan 20.000 wallets, over 16 blockchains, met betrokkenheid van ten minste 36 diensten en ongeveer 65.000 transacties. Het bedrijf meldde dat zich ongeveer 3 miljard dollar bevindt op adressen die volgens haar gelinkt zijn aan gestolen fondsen.

Vergelijkbare op tokens gebaseerde methodes zijn ook toegepast op andere blockchainsystemen, zoals Tron en Solana. Elliptic verbond de techniek bovendien met de Bybit-hack in 2025, waarbij aan Noord-Korea gelinkte dieven naar verluidt meer dan 24 miljoen dollar pompten via een fictief token dat op het Tron-netwerk werd gelanceerd. De techniek keert terug in afzonderlijke incidenten en op verschillende chains en is daardoor een herkenbaar patroon geworden waarop screeningtools kunnen worden gebouwd; toekomstige verplaatsingen van de ongeveer 3 miljard dollar aan getraceerde fondsen zouden on-chain zichtbaar blijven.

Voor cryptocomplianceteams is één nieuw signaal ontstaan: fondsen die het systeem binnenkomen vanuit een liquiditeitspool op een gedecentraliseerde exchange die net is gelanceerd en minimale handelsvolume toont. Dat signaal komt uit dezelfde openbare on-chain data die Elliptic gebruikte om de operatie te traceren — de tokens die werden aangemaakt om de directe wallet-naar-wallet-link te verbreken, dienen nu tevens als markeringen waar geautomatiseerde monitoring op kan screenen.