Blockchain-analysebedrijf Elliptic heeft achterhaald hoe middelen die van Binance waren gestolen werden gerouleerd via zes zelfgeschepte meme coins op de NEAR-blockchain, in een constructie waarbij wallets die voor het witwassen werden gebruikt zich konden voordoen als winstgevende handelaren. De bevindingen, gepubliceerd in een onderzoek van 9 november, vormen het nieuwste rapport van het bedrijf over de diefstal, waarbij op 29 oktober ongeveer 6,4 miljard dollar uit Binance-wallets werd overgemaakt. Twee dagen later schreef de FBI de aanval toe aan Noord-Korea onder de TraderTraitor-aanduiding die ook werd toegepast op de diefstal bij Bybit in 2025. TraderTraitor is het label dat Amerikaanse instanties gebruiken voor Noord-Koreaanse cybergroepen die zich richten op cryptobedrijven, een activiteit die in herhaalde Amerikaanse overheidsadviezen is gedocumenteerd.

Coindoo berichtte eerder over een zelfgeschepte TRON-token die door TRM Labs werd gevolgd, waarbij een liquiditeitspool de enige verbinding was tussen koper en verkoper. Elliptics NEAR-bevindingen geven nu getallen aan beide kanten van een liquiditeitspool, verspreid over zes tokens op een tweede blockchain.

Zes tokens met vrijwel geen externe handelaren

Elk van de zes tokens was gekoppeld aan NEAR in een eigen pool op een gedecentraliseerde beurs en kostte ongeveer 25 NEAR, oftewel ruwweg 90 dollar, om te creëren. Het creëren op een gedecentraliseerde beurs is toestemmingsvrij: geen enkele listing-goedkeuring of identiteitscontrole staat tussen een gebruiker en een nieuwe pool, dus de prijs is de enige echte drempel. Voor die prijs kan een token één keer worden gebruikt en vervolgens worden weggegooid — en dat is precies wat er met alle zes gebeurde.

Een gloednieuw token dat door een paar wallets wordt gedomineerd is op zichzelf geen bewijs van witwassen. Veel legitieme lanceringen beginnen zo, waarbij de maker en een kleine groep vroege kopers het grootste deel van de handel doen. Elliptics zaak rust op drie bevindingen die alleen samen betekenis hebben.

De eerste is wie er handelde. Wallets in het witwasnetwerk voerden elke verkoop van alle zes tokens uit en kochten elke eenheid van vijf ervan. Aankopen van buiten het netwerk kwamen neer op een handvol kleine aankopen van FUK op de eerste dag, goed voor minder dan 1% van het handelsvolume van dat token.

De tweede is hoe elk token werd betaald. Vijf van de zes makers werden gefinancierd door een wallet die tussen 2 en 13 minuten vóór de nieuwe lancering een eerder token aan het verkopen was. De opbrengsten van het ene token betaalden het volgende, waardoor de zes een keten vormen in plaats van zes losse weddenschappen.

De derde is hoe kort elk token bestond. Elk werd binnen drie uur na lancering voor het eerst verkocht en deed ten minste driekwart van zijn handel binnen één dag. Sinds 8 november is er geen handel meer geweest, en die middag trokken de makers van vier van de tokens de resterende liquiditeit uit hun pools.

De hier genoemde cijfers komen van Elliptic. Coindoo heeft de transactiegegevens van de zes pools niet onafhankelijk gereproduceerd.

Waarom de verkopers er als winnaars uitzien

Niets aan de branding van de tokens viel op. Elliptic beschrijft logo's in de standaard meme coin-stijl — van een aap met een roze strik en een eend voor een Amerikaanse vlag tot een "Elon 2028 President"-banier over een afbeelding van Elon Musk, die door Elliptic niet aan de tokens wordt gelinkt. De namen volgen hetzelfde patroon: FUK is een grove grap, en SINU leent de "-INU"-uitgang die hondengerichte munten gebruiken. De wallets droegen willekeurige namen die door een populaire wallet-app waren toegewezen, dus hun labels wezen ook nergens op.

Elke dag verschijnen duizenden nieuwe tokens, en dat is de dekmantel. Volgens Elliptic geldt een wallet die in een verse meme coin handelt als speculant, tenzij iemand nagaat waar het geld vandaan kwam.

Bij die controle verdwijnt de schijnbare winst. De kopers-wallets werden gefinancierd met ongeveer 117.000 NEAR, doorgegeven vanuit de hoofdwallet met de gestolen NEAR via tussenliggende accounts. Vrijwel exact hetzelfde bedrag verliet vervolgens de verzamel-wallets, waarvan een groot deel werd omgewisseld in stablecoins of naar een cross-chain bridge werd gestuurd, de dienst die activa van de ene blockchain naar de andere verplaatst. Tegen de prijzen op het moment van publicatie door Elliptic kwam dat neer op ongeveer 430.000 dollar.

Gelezen per verzamel-wallet apart, ziet het verzoek ernaar uit als een reeks schone exits: tokens verkocht, NEAR ontvangen. Gelezen over het hele netwerk, ging dezelfde NEAR één keer rond en kwam terug, minus ongeveer 540 dollar aan tokencreatiekosten plus netwerkkosten. Het enige geld dat van buiten het netwerk binnenkwam, waren de kleine FUK-aankopen op dag één.

De winstcijfers van een wallet vergelijken wat hij ontving met wat hij betaalde. Het kan niet laten zien dat de kopers aan de andere kant met dezelfde gestolen wallet werden gefinancierd. En als een verkoper zijn tokens per overboetting ontving in plaats van ze in de pool te kopen, is er mogelijk helemaal geen aankoopprijs om af te trekken.

Waarom witwassers een truc gebruiken die onderzoekers kunnen volgen

Elke stap ligt op een publieke blockchain, en Elliptic volgde die. Volgens het bedrijf is het doel vertraging verhullen. Elke extra hop kost onderzoekers tijd om uit te pluizen, en witwassen is een race om geld te verplaatsen voordat het wordt gemarkeerd. Voor ongeveer 90 dollar per token kunnen de witwassers zich veroorloven er veel te maken en elk weg te gooien.

Het spelboek is niet nieuw. Elliptic zag voor het eerst zelfgemaakte tokens bij het witwassen van de Bybit-diefstal in 2025, toen ten minste 24 miljoen dollar via een waardeloos TRON-token werd verplaatst. In de Binance-zaak identificeerde het op 2 november een vergelijkbaar TRON-token. Een dag later zag het gestolen SOL die door dun verhandelde bestaande tokens op Solana werd gerouteerd voordat het voor USDC werd verkocht en over een bridge werd verplaatst. TRM Labs beschreef hetzelfde TRON-patroon in zijn eigen tracering.

De NEAR-bedragen zijn klein naast wat er nog over is. Ongeveer 11,8 miljoen NEAR, ter waarde van ruwweg 43,7 miljoen dollar, was nog niet verplaatst ten tijde van Elliptics rapport, en het bedrijf stelt dat de techniek goedkoop genoeg is om veel grotere bedragen te vervoeren. Voor wie de zaak volgt, zijn de concrete markeringen vanaf hier updates van Elliptics publieke blocklist naarmate nieuwe witwasadressen worden bevestigd, en elke eerste beweging uit dat onaangeroerde saldo. Elliptic benadrukt ook dat de lanceertool, de beurs en de wallet-app niets fout hebben gedaan; de witwassers gebruikten ze zoals elke andere gebruiker dat kon.

Vijf controles voordat je een winnende reeks van een wallet vertrouwt

Wallet-trackers en copy-trading-feeds brengen regelmatig accounts met grote gerealiseerde winsten naar voren. Elliptics waarschuwingssignalen voor compliance-teams zijn direct toepasbaar, en een block explorer is genoeg om ze uit te voeren:

1. Leeftijd van het token. Controleer wanneer het tokencontract is gecreëerd. Grote verkopen binnen dagen na de lancering verdienen een nadere blik.
2. Aantal handelaren. Open de transactiegeschiedenis van de pool. Een handjevol wallets dat bijna al het volume doet, betekent weinig echte tegenpartijen.
3. Eenrichtingswallets. Let op wallets die alleen kopen naast wallets die alleen verkopen. Die splitsing is een van Elliptics rode vlaggen.
4. Verse financiering. Traceer de eerste storting naar de belangrijkste kopers. Nieuwe wallets die vlak voor het begin van de handel worden gefinancierd, vaak in ronde bedragen, zijn een waarschuwingssignaal.
5. Liquiditeit opgenomen. Kijk of de maker wat er in de pool over was snel na het stoppen van de handel heeft opgenomen.

Eén enkele vlag beschrijft een groot deel van de meme coin-markt. Meerdere vlaggen bij dezelfde wallet betekenen dat het winstcijfers eerst de kant van de kopers uit het grootboek moet worden onderzocht voordat iemand zijn transacties kopieert.

Voor beurzen luidt Elliptics advies dat fondsen die uit een liquiditeitspool binnenkomen niet standaard als schoon moeten worden behandeld. De publieke blocklist van wallets die met de Binance-hack zijn gelinkt, groeit naarmate nieuwe adressen worden geïdentificeerd, dus een storting die bij binnenkomst door de screening kwam, kan later alsnog worden gemarkeerd. Elliptic vertelt bedrijven om stortingen die ze al hebben geaccepteerd opnieuw te controleren telkens wanneer de lijst wordt bijgewerkt.