Aanvallenden met banden tot Noord-Korea maken gebruik van nieuw aangemaakte memetokens en liquiditeitspools van gedecentraliseerde beurzen (DEX) om cryptocurrency te verplaatsen die is gestolen in de Binance-hack van circa $6,4 miljard, aldus blockchain-analysebedrijf Elliptic.

Tussen 5 en 7 november routeerde de operatie ongeveer 117.000 NEAR, ter waarde van rond $430.000, via ten minste zes tokens die specifiek voor deze activiteit zijn aangemaakt. Memetokens, die doorgaans bestaan voor handel en gemeenschapsbelang in plaats van enige onderliggende functionaliteit, kunnen tegen minimale kosten worden uitgegeven, waardoor ze handige wegwerpvoertuigen zijn voor dit soort routering. De techniek voegt lagen van complexiteit toe aan het traceren van transacties zonder de on-chain geschiedenis van de fondsen te verwijderen.

Zes NEAR-memetokens in kaart gebracht in het witwasproces

In een onderzoek van 9 november identificeerde Elliptic zes memetokens die tussen 5 en 7 november zijn aangemaakt: FUK, OLCCL, MEILI, MMLI, DABI en SINU. Elk token was gekoppeld aan NEAR in een aparte liquiditeitspool — een slim-contractreserve van twee tokens op een gedecentraliseerde beurs die geautomatiseerde swaps mogelijk maakt zonder traditioneel orderboek — waarmee de aanvallenden gestolen NEAR konden omwisselen voor nieuw uitgegeven tokens en die tokens later via andere wallets weer terugkonden omzetten in NEAR. Elliptic schatte dat het aanmaken van elk token ongeveer 25 NEAR kostte, zo'n $90.

Het analysebedrijf volgde rond 117.000 NEAR, ter waarde van ongeveer $430.000, via de zes tokenpools. Het constateerde dat wallets die aan de operatie gelinkt zijn vrijwel alle koop- en verkoopactiviteit controleerden, met weinig bewijs van echte externe vraag. De tokens werden kort na creatie gebruikt en vervolgens verlaten, en de makers van vier ervan trokken op 8 november de resterende poolliquiditeit op. Het onderzoek van Elliptic beschrijft de on-chain bevindingen.

Liquiditeitspools compliceren het traceren van gestolen crypto

De techniek werkt door een nieuw aangemaakt token te plaatsen tussen de wallets die gestolen fondsen ontvangen en de wallets die de activa na de swaps opvangen. De ene groep wallets wisselt gestolen NEAR in voor het nieuwe token, terwijl een andere groep dat token via de pool verkoopt om NEAR te ontvangen. Als gevolg daarvan bewegen de fondsen nooit direct tussen de kopende en opvangende wallets, waardoor het transactiespoor moeilijker te interpreteren is.

De methode wist echter niet de blockchainregistratie en maakt de fondsen niet onvindbaar. Elliptic zei dat de transacties zichtbaar blijven, maar dat elke extra swap en wallet meer werk creëert voor onderzoekers en afdelingen die aan compliance werken. Het bedrijf waarschuwde ook dat cryptocurrencybedrijven fondsen die via liquiditeitspools worden ontvangen niet automatisch als legitiem moeten behandelen, met name wanneer nieuw aangemaakte tokens en ongebruikelijke handelspatronen betrokken zijn.

Onderzoek naar Binance-diefstal onthult bredere witwasoperatie

De NEAR-activiteit maakt deel uit van een veel grotere inspanning om activa te verplaatsen die zijn gestolen in het Binance-incident van 29 oktober. Elliptic schatte de diefstal op ongeveer $6,43 miljard en zei dat de witwasoperatie meer dan 20.000 wallets op 16 blockchains heeft omvat, naast ten minste 36 diensten en 65.000 transacties. De FBI schreef de aanval toe aan de TraderTraitor-groep van Noord-Korea, volgens het onderzoek van Elliptic. TraderTraitor is een aanduiding die Amerikaanse autoriteiten gebruiken voor cyberactoren gelinkt aan Noord-Korea achter cryptocurrency-diefstallen gericht op de sector.

Per haar update van 7 november meldde Elliptic dat ongeveer $2,85 miljard was bevroren of in beslag genomen, terwijl rond $3,13 miljard bleef staan op adressen gelinkt aan de diefstal. Het bedrijf identificeerde ook eerdere witwasactiviteit involving Tron en Solana, waaruit blijkt dat de aanvallenden meerdere blockchains en transactiemethoden hebben gebruikt. Het Binance-hackonderzoek van Elliptic volgt de beweging van de gestolen activa.

Bybit-precedent roept zorgen op voor crypto-complianeteams

Elliptic zei eerder een vergelijkbare techniek te hebben waargenomen tijdens de witwassing van fondsen gestolen in de Bybit-hack van 2025. In dat geval maakten aanvallenden een ongewenst token op Tron aan en gebruikten een stablecoin-liquiditeitspool om ten minste $24 miljoen te verplaatsen. De herhaling suggereert dat het aanmaken van tijdelijke tokens en het routeren van fondsen via DEX-pools een andere methode is geworden in het witwasrepertoire dat wordt toegeschreven aan actoren gelinkt aan Noord-Korea.

De bevindingen roepen zorgen op voor beurzen, gedecentraliseerde financieringsplatforms en compliance-aanbieders die verdachte crypto-deposito's monitoren. Het screenen van alleen de wallet die fondsen verstuurt, kan onvoldoende zijn wanneer activa via een liquiditeitspool binnenkomen, omdat de voorafgaande swaps banden met illegale activiteit kunnen verhullen voor een basiscontrole.

Elliptic zei dat de NEAR-operatie ongeveer $430.000 betrof, terwijl rond 11,8 miljoen NEAR, ter waarde van ongeveer $43,7 miljoen ten tijde van het rapport, onverplaatst bleef. Verdere verplaatsing van die fondsen zou onderzoekers extra bewijs kunnen opleveren over de operatie.