Noord-Koreaanse witwassers slaan hun eigen waardeloze meme-munten en leiden gestolen Binance-fondsen erdoorheen, zodat de activa nooit rechtstreeks van de ene wallet naar de andere bewegen, meldde blockchainanalysebedrijf Elliptic maandag.

Tussen 5 en 7 november creëerden de operatoren ten minste zes nieuwe tokens op de NEAR-blockchain — FUK, OLCCL, MEILI, MMLI, DABI en SINU — koppelden elk aan NEAR in een eigen liquiditeitspool, kochten de tokens met gestolen NEAR uit een eerste set wallets en verkochten ze weer via een tweede set. Circa 117.000 NEAR, zo'n 430.000 dollar, passeerde de zes tokens, schreef Elliptic.

De constructie is één draad in de veel bredere witwassing van de Binance-diefstal van 29 oktober, die de beurs waardeert op 6,34 miljard dollar en die de FBI heeft toegeschreven aan de Noord-Koreaanse groep TraderTraitor. Vergeleken met dat totaal is de circa 430.000 dollar die via de zes tokens bewoog een schijntje — maar het illustreert de kenmerkende stijl van de bredere operatie: waarde die in vele kleine, wegwerpelijke sprongen wordt doorgeschoven in plaats van in enkele grote overschrijvingen. De ruimere update van Elliptic plaatst inmiddels circa 3.000 BTC — ongeveer 225 miljoen dollar — op nieuwe bitcoinadressen, omgezet uit andere gestolen activa, terwijl circa 11,8 miljoen NEAR, oftewel 43,7 miljoen dollar, uit de diefstal nog niet is verplaatst.

"De meeste mensen zien meme-tokens als grapmunten waarvan de prijzen op hype stijgen en dalen", schreef dr. Tom Robinson, medeoprichter en chief scientist van Elliptic. "Noord-Korea's witwassers hebben er een ander gebruik voor gevonden."

Hoe de truc met zelfgemaakte tokens werkt

De techniek is een sprong van vier stappen. De witwassers creëren een token met een publiek lanceerinstrument, openen een liquiditeitspool die het koppelt aan een echte asset zoals NEAR of een stablecoin, kopen het token met gestolen fondsen uit een eerste set wallets en verkopen het weer in dezelfde pool vanaf een tweede set wallets die de echte asset opstrijken.

Op geen enkel moment worden de gestolen fondsen rechtstreeks overgemaakt van een kopende wallet naar een ontvangende wallet, omdat de pool ertussen zit. Voor een toevallige waarnemer zien de ontvangende wallets eruit als gewone handelaren die een token met winst verkochten. In de praktijk werkt elk token als een eenrichtingstunnel: gemaakt voor één witwasronde en daarna verlaten, in plaats van als functionerende markt in stand gehouden.

Elk van de zes NEAR-tokens kostte ongeveer 25 NEAR — ruwweg 90 dollar — om te maken. Alle werden binnen enkele uren actief verhandeld met gestolen NEAR en vervolgens verlaten. Geen ervan heeft sinds 8 november verhandeld, en die middag haalden de makers van vier ervan de resterende liquiditeit op. De tokens vormen bovendien een keten: vijf van de zes makers werden gefinancierd door een wallet die net eerder een token had verkocht, tussen twee en dertien minuten voor de volgende lancering.

Elliptic meldde dezelfde aanpak eerder bij de witwassing van de Bybit-diefstal van februari 2025, eveneens toegeschreven aan TraderTraitor, toen een waardeloos Tron-token hielp ten minste 24 miljoen dollar te verplaatsen. In het Binance-geval heeft het bedrijf de techniek ook op Tron waargenomen, plus een nauwe variant op Solana die bestaand dun verhandelde tokens gebruikte in plaats van zelfgemaakte.

Een vertragende tactiek, geen verdwijningstruc

De meme-munten verbergen de fondsen niet — elke stap is publiekelijk zichtbaar on-chain. Wat ze opleveren is tijd. Elke extra sprong vertraagt onderzoekers, terwijl witwassers racen om geld te verplaatsen voordat het wordt gemarkeerd, en tegen circa 90 dollar per stuk zijn de tokens goedkoop genoeg om weg te gooien.

De tactiek past in het grotere patroon dat Elliptic sinds de diefstal volgt: meer dan 20.000 wallets op 16 blockchains, ten minste 36 diensten en ten minste 65.000 transacties. Binance heeft gezegd dat de aanval begon met een nep-sollicitatiegesprek en vijf maanden liep voordat er munten bewogen, en blockchainbedrijven koppelden de inbraak binnen een dag aan TraderTraitor.

De omrekening naar bitcoin is het grotere dollarverhaal. Al het gestolen SOL is al geruild, gebrugd of gemixt, en ook veel van het XRP-pad is in bitcoin gevloeid. Ongeveer 2,85 miljard dollar van de oorspronkelijke buit is bevroren, terwijl naar verwachting tot nu toe een verwaarloosbaar bedrag is ingewisseld, aldus Elliptic.

Noord-Korea's machine voor cryptodiefstal is niet nieuw. Elliptic stelde de buit van het regime in 2025 op meer dan 2 miljard dollar, aangedreven door de Bybit-exploit van 1,46 miljard dollar, en het cumulatieve bekende totaal lag al boven de 6 miljard dollar vóór het Binance-incident.

Binance heeft opnames in fasen heropend en gezegd de klantverliezen uit eigen middelen te hebben gedekt. Voor onderzoekers is de vraag nu of zelfgemaakte liquiditeitspools zich blijven vermenigvuldigen, sneller dan de blocklists die ze achterhalen — en hoe de NEAR die nog niet is verplaatst uiteindelijk wordt verwerkt.

Dit artikel is oorspronkelijk gepubliceerd op Bitcoin Magazine en is geschreven door Micah Zimmerman.