Blockchainanalysebedrijf Elliptic meldde dat portemonnees die gelinkt zijn aan de Binance-hack werden gebruikt om zes memetokens op NEAR te slaan en te verhandelen, waarbij liquiditeitspools van decentrale exchanges (DEX) werden ingezet in een vermeende poging de stroom van gestolen gelden te verhullen.

Elliptic en de FBI schreven de diefstal toe aan TraderTraitor, een Noord-Koreaanse cybercrimegroep die opereert onder de paraplu van de Lazarus Group — een collectief dat door Amerikaanse onderzoekers al lang wordt gelinkt aan grootschalige cryptodiefstallen. Volgens het bedrijf betrof het incident $6,43 miljard die op 29 oktober 2026 van Binance, de grootste cryptobeurs ter wereld naar handelsvolume, werd gestolen en verspreid over 11 blockchains — wat Elliptic omschreef als een ongekende compromittering van een enkele beurs.

Zes gethematiseerde tokens geslagen op NEAR

Tussen 5 en 7 november 2026 werden zes tokens op NEAR geslagen: FUK, OLCCL, MEILI, MMLI, DABI en SINU. NEAR is een layer-one-blockchain die het creëren van tokens tegen lage kosten ondersteunt. Elliptics on-chain-analyse toonde aan dat de tokens cartoonlogo's van dieren droegen — waaronder een aap met een strik, een eend in een vlag, een chimpansee en een vos — naast een afbeelding met het label “Elon 2028 President.” Elk token kostte ongeveer 25 NEAR, destijds rond de $90, om te slaan.

Hoe het vermeende witwasmechanisme werkte

Elliptic beschreef het schema als een proces in vier stappen. Eerst worden een nieuw token en een liquiditeitspool op een decentrale exchange gecreëerd. Vervolgens komen fondsen die als gestolen zijn geïdentificeerd vanaf een set portemonnees binnen om het token te kopen. Een afzonderlijke set portemonnees verkoopt het token terug in de pool om assets op te nemen. Het effect is dat de directe on-chain-link tussen de oorspronkelijke fondsen en de uitstapportemonnee wordt verbroken.

Het bedrijf wees erop dat DABI, MMLI en SINU elk precies één kportemonnee en één verkoopportemonnee hadden — een patroon dat volgens Elliptic consistent is met gecontroleerde witwaspraktijken in plaats van organische handelsactiviteit.

Alle liquiditeit werd op 8 november 2026 opgehaald, volgens Elliptic. Externe handel over alle zes tokens samen bedroeg minder dan 1% van het totale volume, wat de beoordeling van het bedrijf versterkte dat het hier niet ging om speculatieve retailtokens, maar om instrumenten die waren ontworpen om waarde te verplaatsen. Ongeveer 117.000 NEAR, destijds waard rond de $430.000, stroomde door de zes tokens.

Dezelfde techniek werd volgens berichten voor het eerst ingezet tijdens de Bybit-hack in februari 2025 — een incident dat behoort tot de grootste cryptodiefstallen ooit — toen ten minste $24 miljoen via een waardeloos token op het Tron-netwerk werd verplaatst. De herontdekking ervan in de Binance-hack, na het Bybit-precedent, betekent dat zelfgemaakte memetokens een herhaalbare witwastechniek zijn in plaats van een eenmalig geval — het patroon dat ten grondslag ligt aan de compliance-alarmsignalen waar Elliptic cryptobedrijven op wees.

Witwasactiviteit strekte zich verder uit dan NEAR

Elliptic meldde dat de memecoin-activiteit op NEAR geen geïsoleerd geval was. Het bedrijf documenteerde ook een waardeloos Tron-token dat op 2 november werd gebruikt, en verklaarde dat op 3 november SOL dat als gestolen was geïdentificeerd werd geruild voor dun verhandelde Solana-tokens en vervolgens werd verkocht voor USDC, een op de dollar gebaseerde stablecoin uitgegeven door Circle, wat de sporen over meerdere chains verder bemoeilijkte.

“Nog een laagje”: waarom memecoins het opsporen bemoeilijken

Tom Robinson, medeoprichter van Elliptic, legde de strategische logica uit: “Memecoins worden duizenden keren gelanceerd en verhandeld, en de meeste verdwijnen binnen enkele dagen, dus nog een kortstondig token met een cartoonlogo trekt weinig aandacht. Een portemonnee waarvan de geschiedenis handel in een nieuwe memecoin toont, lijkt op een speculant in plaats van een witwasser — tenzij iemand controleert waar het geld vandaan kwam.”

Robinson schetste ook de grenzen van de techniek: “Zelfgemaakte memetokens zijn simpelweg nog een laagje. Het verbergt de fondsen niet zozeer als dat het de mensen die ze natrekken vertraagt.” Blockchaintransacties blijven publiek zichtbaar, hoeveel tussenliggende assets ze ook passeren, maar elke stap voegt opzoekwerk en tijd toe.

Elliptic meldde dat een bredere vermeende witwasoperatie op een schaal draaide die de memecoin-activiteit liet lijken op een kleine test. Elliptics apart rapport over geautomatiseerde witwaspraktijken volgde 546 transfers vanaf een enkele portemonnee die elke circa 96 seconden afschoot, en die $7 tot $11 miljoen per uur verplaatste zonder pauze gedurende meer dan 31 uur. Het bedrijf identificeerde meer dan 20.000 portemonnees en 16 chains die volgens haar bij de operatie betrokken waren, die door de FBI formeel aan TraderTraitor werd toegeschreven.

Compliance-alarmsignalen

Elliptic waarschuwde cryptobedrijven het memecoin-patroon als een compliance-alarmsignaal te behandelen, met als voorbeelden vers geslagen tokens, liquiditeitspools met slechts een handvol portemonnees, portemonnees die alleen kopen versus portemonnees die alleen verkopen, en nieuwe portemonnees die vlak voor de handel in ronde bedragen werden gefinancierd. Het bedrijf waarschuwde dat fondsen die via liquiditeitspools binnenkomen niet als inherent schoon moeten worden beschouwd.

Bevroren fondsen, herstelinspanningen en marktcontext

Binance-medeceo Richard Teng bevestigde dat $2,85 miljard aan gestolen fondsen was bevroren of onderschept ten tijde van Elliptics rapportage. Ongeveer $3,2 miljard was op dat moment nog niet gewit, waarbij herstelinspanningen in meerdere rechtsgebieden en op meerdere chains voortduren. De reactie van de Amerikaanse autoriteiten kreeg publieke erkenning van het bestuur van de beurs. Voor lezers die volgen hoe de resterende fondsen worden opgelost, zijn de waarneembare markeringen die die al in de administratie staan: verdere bevestigingen van bevriezingen of onderscheppingen door de beurs en autoriteiten, updates van screeningslijsten zoals de blocklist hieronder, en de on-chain-stromen gedocumenteerd in Elliptics onderzoek.

Elliptic publiceerde een gratis blocklist van illegale adressen uit de Binance-hack op elliptic.co/binance-hack-2026-blocklist om beurzen, portemonnees en DeFi-protocollen te helpen inkomende fondsen te screenen. Het bedrijf bevestigde noch ontkende of AI-agenten de operatie sturen; haar beoordeling wees op conventionele automatisering met menselijk toezicht in plaats van autonome AI-besluitvorming.

De bredere marktverstoring door de hack bleek weken na de oorspronkelijke diefstal nog steeds zichtbaar in token-ecosystemen, waarbij NEAR handelde op $3,62 met een marktkapitalisatie van ongeveer $4,75 miljard ten tijde van Elliptics onderzoek. De affaire herinnert er ook aan dat infrastructuur die is gebouwd voor legitieme tokenlanceringen — goedkoop slaan van tokens, openbare DEX-pools en snelle liquiditeitsinzet — tegen vrijwel nulkosten kan worden hergebruikt als verhullingstool.

Gebruikers die updates over accountbeveiliging zoeken, moeten vertrouwen op officiële communicatie van Binance in plaats van berichtgeving van derden.