Blockchainanalysebedrijf TRM Labs heeft uiteengezet hoe de aanvallers achter de Binance-exploit gestolen gelden witwassen via zelfgeslagen tokens, overdrachten van leenbewijzen en gekoppelde cross-chain swaps — technieken die zijn ontworpen om de directe betaalkoppelingen te verbreken waarop asset-bevriezingen steunen. In een update van 3 november die 31 oktober tot en met 2 november bestrijkt, de periode waarin bridges en nieuwe op TRON gebaseerde methoden voor het eerst in de traceering van het bedrijf verschenen, bracht TRM een reeks routes in kaart die rond één beginsel zijn opgebouwd: de wallet die met de hack verbonden fondsen aanhoudt, mag nooit betalen aan de wallet die uiteindelijk cash-out uitvoert.

Op 29 oktober verlieten ongeveer 6,36 miljard dollar de Binance-wallets verspreid over tien blockchains, volgens TRM. De FBI schreef de diefstal op 31 oktober toe aan Noord-Korea en duidde de activiteit aan als TraderTraitor — hetzelfde label dat het gebruikte voor de diefstal van 1,5 miljard dollar bij Bybit in februari 2025.

Issuers en netwerken handelden snel. Tether, Circle, Ripple, World Liberty Financial en de Arbitrum Security Council bevroren binnen enkele uren bijna 2,7 miljard dollar. TRM schat dat de aanvaller nog ongeveer 2,4 miljard dollar aan ETH en BTC aanhoudt, en die belangrijkste saldi vertoonden per 3 november geen nieuwe activiteit. De witwassing die het bedrijf nu volgt, is geconcentreerd op TRON, waarbij fondsen ook beginnen te stromen via een reeks Solana-wallets.

Op TRON lost elke nieuwe methode hetzelfde probleem voor de aanvaller op: een bevriezing of waarschuwing moet naar een specifiek adres wijzen.

Een token dat alleen de maker zelf kon slaan

Op 31 oktober creëerde een adres dat al in de Binance-traceering voorkwam een token dat alleen door zijn maker geslagen kan worden. De enige markt ervoor was één pool op een gedecentraliseerde beurs op TRON, waarin het token werd gepaard met een bewijstoken van een leenprotocol. TRM noemde de beurs noch het leenprotocol.

TRM verdeelt de route in drie stappen:

1. Financieren — Nieuwe kopers-wallets ontvangen TRX van een fan-out wallet in de hack-traceering, wisselen die om naar USDT, converteren dat naar het bewijstoken en kopen het nieuwe token.
2. Slagen — De maker slaat nieuwe tokens zonder kosten aan en stuurt ze naar een aparte verkopers-wallet.
3. Opnemen — De verkoper verkoopt in de pool, neemt de bewijstokens op en wisselt ze om naar USDT.

Omdat de tokens van de verkoper niets kostten om te creëren, was alles van waarde die hij uit de pool nam er eerder in gestort door de kopers-wallets — en die waren gefinancierd vanuit de hack. TRM vond geen overdracht tussen de kopers en de verkoper; de pool is hun enige verbinding. Een traceering die wallet-naar-wallet-betalingen volgt, ziet daarom een reeks schijnbaar ongerelateerde adressen die in een nieuw token handelen.

In één geval op 1 november stuurde de fan-out wallet ongeveer 2,94 miljoen TRX naar drie kopers-wallets. De maker sloeg vervolgens 300 miljoen tokens aan een verkopers-wallet, die ze binnen een minuut verkocht, bijna 100 miljoen bewijstokens opnam, deze omzette naar USDT en de opbrengst weer naar TRX converteerde.

Dat getal van 100 miljoen moet het beste worden gelezen als een aantal bewijstokens in plaats van dollars, omdat een bewijs tegen een door de leenmarkt bepaalde koers naar USDT converteert. De dollarschatting van TRM voor één dergelijke pool bedraagt ongeveer 2,7 miljoen dollar aan opnames per 1 november.

De exit naar Ethereum is slechts deels gevolgd

De verkopers-wallet splitste zijn TRX over vijf nieuwe wallets. Tussen 03:22 en 04:26 UTC plaatsten die wallets 38 orders ter waarde van 966.558 USDT via een swap-router die in een wallet-app was ingebouwd, waarbij elke betaling naar de bridge-wallets van dezelfde cross-chain dienst ging.

De dienst publiceert niet waar zijn orders worden uitbetaald, dus TRM koppelde ze op basis van bedrag en tijdstip. Elf van de 38 orders — ongeveer 290.000 dollar — sluiten aan bij uitbetalingen op Ethereum, waar de fondsen werden omgezet in ETH, goed voor circa 30% van de batch naar waarde. Toen het bedrijf publiceerde, volgde het nog de overige 27 orders en de Ethereum-wallets die de fondsen uiteindelijk ontvingen.

Een koppeling op bedrag en tijdstip is een gevolgtrekking, geen registratie van de dienst zelf. Het geeft onderzoekers specifieke Ethereum-adressen om te onderzoeken, terwijl het grootste deel van deze batch ongelokaliseerd blijft. De resterende orders en de wallets die de gerapporteerde Ethereum-uitbetalingen ontvangen, zijn daarmee de duidelijkste onopgeloste elementen in dit deel van de traceering van TRM.

In een ander gevolgd geval op dezelfde TRON-naar-Ethereum-route arriveerden fondsen van verschillende TRON-adressen op tussenliggende Ethereum-adressen. Ze werden vervolgens gebundeld, doorgestuurd naar een tweede adres en gesplitst in delen van 50 tot 80 ETH. Die ETH is gebleven waar hij terechtkwam. TRM omschrijft deze volgorde van wisselen, bundelen en herverdelen als kenmerkend voor Noord-Koreaanse witwassing.

Een stortingsoverdracht die tussen wallets wordt doorgegeven

TRM markeerde de tweede TRON-methode op 2 november. Wallet A stort USDT in een leenpool en ontvangt een bewijstoken dat zijn claim op die storting vertegenwoordigt. Het stuurt het bewijs in een gewone token-overdracht naar Wallet B. Wallet B loss het in, de pool betaalt USDT uit, en B stuurt die USDT naar een bridge die TRON verlaat.

Een traceering die alleen USDT volgt, breekt bij de pool: A stort USDT in en B neemt USDT op. Omdat de pool groot is en met vele andere storters wordt gedeeld, verbindt niets in de USDT-stromen de twee met elkaar. De enige tegenpartijen van B zijn de leenmarkt en een bridge, dus zijn historie oogt schoon. De koppeling bestaat alleen in de overdracht van het bewijstoken van A naar B.

Het bewijs draagt de storting zelf, geen kopie ervan. Als A 100.000 dollar stort en het bewijs overhandigt, kan B die storting onder de regels van de markt innemen, en A houdt geen eigen claim over.

Dit verschilt van de eerdere leen van ETH tegen gestolen stablecoins. Lenen laat een schuld na die is gedekt door gesteld onderpand. Het doorgeven van een bewijs draagt het eigendom van de storting volledig over.

Waarop een bevriezing moet neerkomen

Beide TRON-routes voorkomen dat de wallet die met de hack verbonden fondsen aanhoudt ooit betaalt aan de wallet die cash-out uitvoert. De bridges voegen daar een derde variant van hetzelfde idee aan toe. TRM heeft gezien dat de aanvaller twee cross-chain swaps aaneenschakelt en fondsen van een witwasadres rechtstreeks naar een stortingsadres bij een tweede bridge stuurt. Daarmee wordt de tussenliggende wallet overgeslagen waar — in de woorden van TRM — een waarschuwing of bevriezing normaal gesproken neerkomt.

De 2,7 miljard dollar die in de eerste uren werd tegengehouden, werd bevroren op adressen die issuers als besmet kenden. Het advies van TRM aan complianceteams vloeit voort uit wat deze routes verbreken: volg waarde via bewijstokens en pooltokens, screen meerdere hops stroomafwaarts — waaronder cross-chain uitbetalingen — en erken dat sommige uitbetalingen alleen op bedrag en tijdstip kunnen worden gekoppeld. Een controle die alleen kijkt naar wie een USDT-storting stuurde, zou Wallet B laten passeren.

De grootste saldi blijven geparkeerd. De circa 2,4 miljard dollar aan ETH en BTC was per 3 november niet verplaatst, terwijl de witwassing die TRM op TRON documenteerde liep van honderdduizenden tot enkele miljoenen dollars per keer. De oproep van de FBI om wallets die aan TraderTraitor zijn gelinkt te blokkeren, hangt ervan af dat iemand die wallets eerst identificeert. Elke route die in de update wordt beschreven, is zo ontworpen dat de volgende wallet in de keten geen zichtbare betaalhistorie heeft met de vorige.

Dit artikel is gebaseerd op het oorspronkelijke rapport van Coindoo, Binance Hackers Created a Token to Trade With Themselves.