Wasmachines gelinkt aan Noord-Korea besteedden elk zo'n $90 aan het creëren van zes meme coins op de NEAR-blockchain en gebruikten deze om fondsen te verplaatsen die waren gestolen bij de hack van cryptovalutabeurs Binance op 29 oktober, aldus blockchain-analysebedrijf Elliptic. De operatie was gebouwd op zelfgelanceerde tokens en liquiditeitspools om de on-chain link tussen de gestolen stortingen en de wallets die ze ontvingen te verbreken.

Elliptic meldde dat ongeveer 117.000 NEAR, ter waarde van circa $430.000, tussen 5 en 7 november door de tokens stroomde. Het bedrijf beschreef de witwasoperatie in een rapport dat maandag werd gepubliceerd.

Het schema weerspiegelt de tactieken die aan Noord-Korea gelinkte groepen herhaaldelijk hebben gebruikt na grote inbreuken bij beurzen: fondsen laten circuleren via zelfgemaakte tokens, gedecentraliseerde beurzen en meerdere blockchains om hun oorsprong te verhullen.

De zes tokens — FUK, OLCCL, MEILI, MMLI, DABI en SINU — kostten elk ongeveer 25 NEAR om te lanceren met een publieke token-aanmaaktool op het layer-one-netwerk. Ze waren voorzien van stripachtige meme coin-illustraties: één toonde een aap met een roze strik, een andere een eend voor een Amerikaanse vlag, en een derde toonde Elon Musk onder een spandoek met de tekst "Elon 2028 President". Elliptic merkte op dat er geen aanwijzingen zijn dat Musk enige connectie heeft met de tokens.

Hoe de pools het spoor verhielden

De witwappers koppelden elk nieuwe token aan NEAR in een eigen liquiditeitspool — een pot van twee activa op een gedecentraliseerde beurs waar iedereen tegen kan handelen. Eén groep wallets gebruikte gestolen NEAR om het nieuwe token uit de pool te kopen, en een tweede groep verkocht het token vervolgens weer en haalde de NEAR eruit. Omdat de pool in het midden zat, verbond geen enkele overdracht de twee groepen wallets direct. De route steunt op een structureel kenmerk van gedecentraliseerde financiering: in tegenstelling tot gereguleerde gecentraliseerde platforms leggen gedecentraliseerde beurzen geen know-your-customer-controles of accountvereisten op, waardoor wallets waarde door een pool kunnen laten circuleren zonder zich te identificeren.

"Ze bestaan alleen om een pool te plaatsen tussen de gestolen fondsen en de volgende wallet", schreef Elliptic in een bericht op X.

Noord-Korea's witwappers creëren hun eigen meme coins om fondsen verplaatst die zijn gestolen van Binance. Tussen 5 en 7 november lanceerden ze minstens zes tokens op NEAR, getooid met meme coin-logo's zoals een aap met een roze strik en een eend voor een Amerikaanse vlag. Gestolen NEAR ging… — Elliptic (@elliptic) November 9, 2026

Volgens Elliptic toonden de handelsgegevens aan dat de tokens geen ander doel hadden dan witwassen. Wallets die aan de operatie waren gelinkt, plaatsten elke verkooporder in alle zes tokens en elke kooporder in vijf ervan. De enige uitzondering was een klein aantal aankopen van FUK op de lanceerdag, die slechts een fractie van de handelsactiviteit van dat token uitmaakten.

De tokens waren ook in een keten verbonden. In vijf gevallen had de wallet die de maker van een nieuw token financiert, het vorige token nog maar 2 tot 13 minuten voor de volgende lancering verkocht.

Een methode voor het eerst gezien bij Bybit

Elliptic meldde dat het de techniek voor het eerst opmerkte nadat Bybit in 2025 $1,5 miljard verloor bij een hack — de grootste cryptovalutadiefstal ooit geregistreerd — waarbij witwappers een waardeloos Tron-token gebruikten om ten minste $24 miljoen te verplaatsen. In het Binance-geval verscheen op 2 november een vergelijkbaar Tron-token, en een dag later bewoog gestolen SOL door bestaande Solana-tokens met dunne handel.

De NEAR-route beslaat minder dan 0,01% van de ongeveer $6,3 miljard die van Binance is buitgemaakt. De FBI schrijft de diefstal toe aan de Noord-Koreaanse hackergroep TraderTraitor, een cluster dat Amerikaanse instanties associëren met de Lazarus Group. Amerikaanse functionarissen en VN-experts hebben grootschalige crypto-diefstal herhaaldelijk aangemerkt als inkomstenbron voor de wapenprogramma's van het gesanctioneerde land.

Elliptic meldde dat ongeveer 3.000 bitcoin, ter waarde van rond de $225 miljoen, op nieuwe bitcoin-adressen zijn beland nadat ze waren omgezet uit andere gestolen activa. Ongeveer 11,8 miljoen NEAR, ter waarde van $43,7 miljoen, is nog niet verplaatst.

"De techniek vertraagt de onderzoekers eerder dan dat ze de fondsen verbergt", schreef Elliptic-medegrondlegger Tom Robinson. Hij voegde toe dat de Noord-Koreaanse witwappers "veel goedkope technieken stapelen, die elk iets meer vertraging toevoegen".

Enkele dagen voordat de tokens verschenen, zei Jonty, oprichter van Pangolin Intelligence, op Unchained dat dergelijke netwerken fondsen tussen wallets verplaatsen "om in feite de ogen van software voor transactiemonitoring te ontlopen".

Elliptic drong er bij complianceteams op aan fondsen die uit een liquiditeitspool komen niet standaard als schoon te beschouwen. Waarschuwingssignalen zijn onder meer tokens die slechts enkele dagen oud zijn, pools met weinig handelaren en wallets die alleen kopen of alleen verkopen. Het bedrijf adviseerde extra controle toe te passen op stortingen die terug te voeren zijn op pools met die kenmerken.

Geen van de zes NEAR-tokens is sinds 8 november nog verhandeld. Die middag haalden vier van de token-makers de fondsen die nog in hun pools zaten op, volgens Elliptic. Daarmee blijven de circa $43,7 miljoen aan slapende NEAR en de pas samengevoegde bitcoin de duidelijkste ijkpunten voor analisten die volgen wat er als volgende verplaatst wordt — en, volgens het door Elliptic gedocumenteerde multi-chain-patroon, zou een nieuwe golf van zelfgelanceerde tokens elders het signaal zijn dat de campagne een nieuwe fase is ingegaan.