Elliptic verfolgte zwischen dem 5. und 7. November rund 117.000 NEAR (etwa 430.000 US-Dollar) durch sechs neu erstellte Memecoins auf der NEAR-Blockchain.
Die Technik leitet gestohlene Gelder durch DEX-Liquiditätspools, sodass keine direkte Überweisung von Wallet zu Wallet stattfindet. Diese Methode wurde bereits nach dem Bybit-Hack 2025 eingesetzt, um mindestens 24 Millionen US-Dollar zu transferieren.
Einer der Token zeigte ein Bild von Elon Musk unter einem Banner mit der Aufschrift „Elon 2028 President“; Elliptic erklärte, es gebe keine Verbindung zu Musk.
Der Binance-Diebstahl vom 29. Oktober ist mit rund 6,4 Milliarden US-Dollar weiterhin der größte bekannte Krypto-Hack. Das FBI macht dafür die nordkoreanische Gruppe TraderTraitor verantwortlich.
Das Blockchain-Analyseunternehmen Elliptic hat eine neue Verschleierungsebene bei der Geldwäsche von Geldern aus dem rekordhohen Binance-Hack im Umfang von 6,4 Milliarden US-Dollar aufgedeckt. Dabei prägten mit Nordkorea verbundene Akteure sechs Wegwerf-Memecoins, um gestohlene NEAR-Token zu bewegen.
Laut einer am Montag veröffentlichten Analyse von Elliptic liefen etwa 117.000 NEAR, die zu diesem Zeitpunkt rund 430.000 US-Dollar wert waren, über die sechs Token, die zwischen dem 5. und dem 7. November erstellt wurden. Die Token mit den Namen FUK, OLCCL, MEILI, MMLI, DABI und SINU kosteten jeweils etwa 25 NEAR (rund 90 US-Dollar) in der Erstellung und wurden in eigenen Liquiditätspools auf dezentralen Börsen mit NEAR gepaart. The Block berichtete, dass die Token Tiermaskottchen zeigten, darunter einen Affen mit einer rosa Schleife und eine Ente vor einer US-Flagge; ein weiterer Token trug ein Bild von Elon Musk.
Die Methode funktioniert so: Eine Gruppe von Wallets kauft die Memecoins mit gestohlenen NEAR, während eine zweite Gruppe dieselben Token zurück in den Pool verkauft und NEAR erhält. Wie Elliptic anmerkte: „Zu keinem Zeitpunkt fließen die gestohlenen Gelder direkt von einem kaufenden Wallet zu einem empfangenden Wallet, denn dazwischen liegt der Pool.“ Dadurch entsteht der Anschein gewöhnlicher Handelsaktivitäten. Fast das gesamte Handelsvolumen stammte aus den Wallets der Geldwäscher selbst; bei mindestens einem Token entfielen weniger als 1 % des Handels auf externe Käufer. Die Aktivitäten endeten bis zum 8. November, als an diesem Tag die Liquidität aus vier Pools abgezogen wurde.
Dieser Ansatz ähnelt einer Taktik, die Elliptic erstmals bei der Geldwäsche von Erlösen aus dem Bybit-Hack vom Februar 2025 dokumentierte, bei dem mindestens 24 Millionen US-Dollar bewegt wurden. Ähnliche Aktivitäten wurden am 2. November auf Tron und am folgenden Tag auf Solana beobachtet. CoinDesk zitierte Elliptic-Mitgründer Tom Robinson mit den Worten, die Geldwäscher hätten „sechs dieser Krypto-Token erstellt und nur untereinander mit ihnen gehandelt. Dadurch sehen die gestohlenen Gelder wie Handelserlöse aus.“
Der zugrunde liegende Binance-Vorfall ereignete sich am 29. Oktober, als Angreifer Vermögenswerte über mehrere Blockchains hinweg abzweigten. Analyseunternehmen wie Elliptic, Chainalysis und TRM Labs bezeichneten den Vorfall als den größten Kryptodiebstahl aller Zeiten. Das FBI machte die Gruppe TraderTraitor für den Diebstahl verantwortlich. Die Memecoin-Aktivitäten machen zwar nur einen kleinen Teil der Gesamtbeute aus, zeigen jedoch, wie staatsnahe Akteure weiterhin kostengünstige On-Chain-Techniken miteinander kombinieren, um die Nachverfolgung zu erschweren – obwohl Börsen, Stablecoin-Emittenten und Analyseunternehmen zusammenarbeiten, um Gelder einzufrieren. Bislang wurden so bereits rund 2,85 Milliarden US-Dollar der gestohlenen Gelder blockiert.
Für Händler und Compliance-Teams unterstreicht diese Entwicklung die anhaltenden Risiken im Zusammenhang mit Hot-Wallet-Infrastrukturen und dem sich weiterentwickelnden Werkzeugkasten hochentwickelter Akteure. Elliptic betont, dass sich die Spur weiterhin On-Chain verfolgen lässt, und aktualisiert fortlaufend öffentliche Sperrlisten mit zugehörigen Adressen. Binance hat erklärt, die Verluste der Nutzer aus Unternehmensreserven zu decken und Auszahlungen schrittweise wieder freizugeben.