Das Blockchain-Analyseunternehmen Elliptic erklärte in einem gestern (9.11.) veröffentlichten Bericht, dass beim Ende Oktober erfolgten Hackerangriff auf Binance, bei dem Kryptowerte im Wert von rund 6,4 Milliarden US-Dollar gestohlen wurden, eine vergleichsweise neuartige Geldwäsche-Methode zum Einsatz kam: Nordkoreanische Geldwäscher gaben selbst Memecoins heraus, die so gut wie niemand kaufte, und verschoben die gestohlenen Gelder über Liquiditätspools.
Nordkoreanische Hacker erstellen eigene Memecoins, damit gestohlene Gelder nicht direkt weitergeleitet werden
Elliptic zufolge sind diese Memecoins für den einmaligen Gebrauch gedacht. Die Geldwäscher legen ihren Preis selbst fest, und außerhalb des Netzwerks kauft sie fast niemand. Die weiteren Schritte der Geldwäsche laufen wie folgt ab:
Bei der Vorgehensweise wird zunächst mit öffentlich verfügbaren Tools zur Token-Erstellung ein neuer Token erstellt und mit realen Vermögenswerten wie NEAR oder Stablecoins gepaart, um auf einer dezentralen Börse einen Liquiditätspool einzurichten.
Eine Gruppe von Wallets kauft mit gestohlenen Geldern Token. Eine andere Gruppe verkauft die Token anschließend zurück in denselben Pool und zieht reale Vermögenswerte ab.
Die gestohlenen Gelder werden so nicht direkt von den kaufenden Wallets an die Wallets der Empfänger übertragen. Diese erscheinen dadurch wie gewöhnliche Händler, die durch den Verkauf von Token Gewinne erzielt haben.
Elliptic zufolge entstehen täglich zahlreiche Memecoins, von denen die meisten schnell in Vergessenheit geraten. Ein weiterer kurzlebiger Token fällt daher kaum auf, und Wallets mit einer Handelshistorie für Memecoins werden leicht für Spekulanten gehalten.
Von Tron bis NEAR tauchten sie nacheinander auf
Elliptic zufolge kam diese Methode erstmals beim Bybit-Hackerangriff im Jahr 2025 zum Einsatz. Damals gaben die Geldwäscher auf der Tron-Blockchain wertlose Token heraus und verschoben damit mindestens 24 Millionen US-Dollar. Sowohl dieser Vorfall als auch der aktuelle Binance-Angriff werden TraderTraitor zugeschrieben, einer Organisation, die der Lazarus-Gruppe zugeordnet wird.
Auch am 2. November wurde auf der Tron-Blockchain ein ähnlicher Token entdeckt. Am 3. November wurden gestohlene SOL in einen wenig gehandelten, bereits bestehenden Token getauscht – mit demselben Ziel.
Auch die Transaktionen auf der NEAR-Blockchain zeichneten die Aktivitäten der nordkoreanischen Geldwäscher lückenlos auf.
Elliptic zufolge tauchten zwischen dem 5. und 7. November mindestens sechs Memecoins auf: FUK, OLCCL, MEILI, MMLI, DABI und SINU. Die Erstellung jedes einzelnen kostete etwa 90 US-Dollar. Die kaufenden Wallets erhielten insgesamt rund 117.000 NEAR aus gestohlenen Geldern, umgerechnet etwa 430.000 US-Dollar. Fast derselbe Betrag floss anschließend aus den Empfänger-Wallets ab; der Großteil wurde in Stablecoins getauscht oder über eine Cross-Chain-Bridge transferiert.
Elliptic geht davon aus, dass diese Token eigens zur Geldwäsche erstellt wurden. Dafür spricht unter anderem, dass alle Verkäufe und fast alle Käufe von Wallets aus dem Geldwäschenetzwerk stammten und dass jeder Token innerhalb von drei Stunden nach seiner Einführung verkauft wurde.
Geldwäsche-Spuren bleiben nachvollziehbar – die Branche muss ihre Prüfungen überarbeiten
Elliptic weist darauf hin, dass alle Schritte auf der Blockchain aufgezeichnet werden. Diese Methode kann Ermittlungen lediglich verlangsamen; die Geldflüsse lassen sich weiterhin nachverfolgen.
Die gestohlenen Gelder durchlaufen Token und Liquiditätspools und nehmen dabei mehrere Umwege. Ermittler müssen die Vorgänge Schicht für Schicht entwirren, um festzustellen, dass das Geld in den Empfänger-Wallets tatsächlich aus gestohlenen Geldern stammt. Bei der Geldwäsche zählt die Zeit: Werden Gelder transferiert, bevor sie als gestohlen markiert werden, lassen sie sich leichter zu Geld machen. Die Ermittlungen zu verlangsamen, ist daher für Geldwäscher von Vorteil.
Derzeit fließen zwar nur begrenzte Beträge über Memecoins, doch die rund 11,8 Millionen gestohlenen NEAR (etwa 43,7 Millionen US-Dollar) wurden noch nicht bewegt. Für Hacker ist diese Methode kostengünstig und könnte auch für größere Beträge genutzt werden.
Elliptic empfiehlt Compliance-Teams, Gelder aus Liquiditätspools nicht grundsätzlich als unbedenklich einzustufen – insbesondere, wenn neu erstellte Token beteiligt sind. Warnsignale können sein, dass im Pool nur wenige Wallets handeln oder dass neue Wallets kurz vor dem Handel Gelder erhalten. Unternehmen können die Gelder außerdem mit der öffentlich zugänglichen Liste der Binance-Hacker-Wallets von Elliptic abgleichen und bereits entgegengenommene Gelder erneut prüfen, wenn die Liste erweitert wird.
Dem Bericht zufolge kombinieren nordkoreanische Geldwäscher häufig mehrere kostengünstige Techniken. Die Erstellung eigener Memecoins ist nur ein Teil davon.
Obwohl das FBI und mehrere Cybersicherheitsunternehmen den Binance-Hackerangriff einer von Nordkorea geförderten Hackergruppe zuschreiben, bestritt Kim Yo-jong, die Schwester des nordkoreanischen Staatschefs Kim Jong-un und hochrangige Funktionärin der Arbeiterpartei, dies. Sie betonte, Pjöngjang habe keinen Grund, sich zu Verhandlungen mit den USA an einen Tisch zu setzen, solange diese ihre feindselige Politik gegenüber Nordkorea nicht aufgebe.
Weiterführende Artikel:
Geldwäsche nach dem Binance-Hackerangriff nachverfolgt: alle 25 Sekunden eine neue Wallet, über 11 Blockchains hinweg – bislang keine Hinweise auf den Einsatz von KI
So funktioniert die Geldwäsche nach dem Binance-Hackerangriff: ein beispielloses Muster – ein Token im Wert von 5 Millionen US-Dollar wurde verkauft, brachte aber nur 71 US-Dollar ein
Der Artikel „Nordkoreanische Hacker, die Binance 6,4 Milliarden US-Dollar stahlen, waschen Geld mit Memecoins, die niemanden interessieren – diese sechs Token dienten als Werkzeuge für den Angriff“ erschien zuerst bei „Crypto City“.