Het blockchain-analysebedrijf Elliptic meldde maandag dat Noord-Koreaanse hackers wegwerp-memecoins gebruikten om activa die van Binance waren gestolen te routen, een techniek die volgens het bedrijf screeningrisico's oplevert voor bedrijven die fondsen ontvangen uit gedecentraliseerde liquiditeitspools.

In zijn analyse van 9 november volgde Elliptic 117.000 NEAR (de native token van de layer-one-blockchain NEAR), ter waarde van $430.000, via zes tokens. Elk token kostte ongeveer 25 NEAR, of $90, om aan te maken. Het bedrijf zei dat de overbokingen traceerbaar bleven ondanks de extra transactiestappen.

Hoe wegwerptokens de oorsprong van de fondsen verhulden

Tussen 5 en 7 november brachten de witwas-wallets zes tokens uit op NEAR, constateerde Elliptic. Elk werd gekoppeld aan NEAR in een aparte liquiditeitspool van een gedecentraliseerde beurs, waar transacties worden afgewikkeld tegen gepoolde reserves in plaats van tussen benoemde tegenpartijen. Eén groep wallets kocht de tokens met gestolen NEAR, terwijl een andere dezelfde tokens verkocht om de fondsen terug te krijgen, waardoor er geen directe overboking tussen de twee walletgroepen bestond.

Elliptic zei dat het patroon ontvangende wallets kon laten lijken op winstgevende handelaren. Netwerkgegevens verbonden de kopers, verkopers en tokenmakers echter aan dezelfde gestolen fondsen. Vijf van de tokenmakers ontvingen financiering van wallets die twee tot dertien minuten eerder nog eerdere tokens hadden verkocht, aldus het bedrijf. Externe wallets waren verantwoordelijk voor minder dan 1% van het handelsvolume in één token, en de andere vijf hadden helemaal geen externe kopers.

Alle zes tokens stopten met verhandelen op 8 november, en vier uitgevers trokken die middag de resterende liquiditeit terug. Elliptic identificeerde ongeveer 11,8 miljoen gestolen NEAR die op het moment van de gerapporteerde snapshot nog niet verplaatst waren, waardoor dat saldo het duidelijkste kenmerk is voor iedereen die de zaak volgt, aangezien het bedrijf vaststelde dat de techniek de overbokingen onchain traceerbaar hield.

Waarom stortingen in liquiditeitspools nauwkeuriger controles vereisen

Elliptic waarschuwde dat fondsen die uit liquiditeitspools voortkomen niet automatisch een schone classificatie moeten krijgen. Omdat gepoolde markten elke swap via gedeelde reserves leiden, is de directe onchain-bron van een storting de pool zelf in plaats van de partij aan de andere kant van de transactie. Het bedrijf wees recent aangemaakte tokens, geconcentreerde handel en wallets met één doel aan als mogelijke waarschuwingssignalen.

Volgens het bedrijf verhulde de aanpak niet elke onchain beweging. In plaats daarvan ontstond extra traceerwerk terwijl de gestolen activa bleven oversteken tussen netwerken.

Elliptic documenteerde een vergelijkbare tactiek na de inbraak bij Bybit in 2025, een van de grootste cryptodiefstallen ooit, en meldde dat ten minste $24 miljoen via een waardeloos token op Tron ging. In het Binance-geval observeerde het op 2 november nog een zelfgemaakt Tron-token, en de volgende dag routen de aanvallers gestolen SOL via bestaande dun verhandelde tokens.

Onderzoek naar Binance-hack gaat verder

De FBI schreef de diefstal van 29 oktober toe aan de TraderTraitor-operatie van Noord-Korea, een aan de staat gelinkte hackinggroep die Amerikaanse instanties eerder al verbonden hadden aan eerdere cryptobeurs-diefstallen. Pyongyang heeft elke verantwoordelijkheid ontkend.

Zoals Blockonomi eerder meldde, kregen de aanvallers toegang tot de wallet-infrastructuur van Binance nadat ze apparaten van medewerkers hadden gecompromitteerd. Een apart rapport van Blockonomi behandelde de toeschrijving door de FBI en de vroege verplaatsing van de gestolen crypto.

Binance zei op 3 november dat het incident ongeveer $6,34 miljard betrof. Het meldde dat ongeveer $2,85 miljard bevroren of onderschept was en dat 98% van de getroffen activa was aangevuld. Die vervangingen werden door Binance zelf gefinancierd, niet uit teruggevonden buit.