Nordkorea-nahe Geldwäscher nutzen Einweg-Memecoins, um Binance-Hack-Gelder zu verschieben
Die Blockchain-Analysefirma Elliptic erklärt, Akteure mit Verbindungen nach Nordkorea hätten auf NEAR sechs Einweg-Memecoins erstellt, um rund 430.000 US-Dollar aus dem Binance-Diebstahl im Umfang von 6,34 Milliarden US-Dollar über Liquiditätspools zu verschieben. Elliptic zufolge seien etwa 2,85 Milliarden US-Dollar der Beute eingefroren, und nur ein verschwindend geringer Betrag dürfte bisher zu Geld gemacht worden sein.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Die Memecoin-Methode
Elliptic berichtete am 9. November, die Betreiber hätten zwischen dem 5. und 7. November sechs neue Token auf NEAR geprägt, mit den Namen FUK, OLCCL, MEILI, MMLI, DABI und SINU. Die Erstellung jedes Tokens habe etwa 25 NEAR gekostet, also rund 90 US-Dollar. Die Betreiber hätten jeden Token mit NEAR in einem eigenen Liquiditätspool gepaart und etwa 117.000 NEAR, also rund 430.000 US-Dollar, durch die Pools geleitet.
Die Mechanik trennt die kaufenden und die einsammelnden Wallets. Eine Gruppe von Wallets kaufte die Token mit gestohlenen Mitteln, eine zweite verkaufte zurück in denselben Pool und vereinnahmte den eigentlichen Vermögenswert. Da der Pool zwischen beiden liegt, fließen keine Mittel direkt von einer Wallet zur anderen, und die einsammelnden Wallets können wie gewöhnliche Trader aussehen, die Gewinne mitnehmen. Elliptic schrieb, die Spur sei weiterhin on-chain sichtbar, und warnte Compliance-Teams davor anzunehmen, Gelder seien sauber, nur weil sie aus einem Liquiditätspool stammten.
Umfang der Geldwäsche
Der separate Tracker von Elliptic, aktualisiert am 9. November um 13:15 UTC, zählt mehr als 20.000 Wallets in 16 Blockchains, mindestens 36 Dienste und mindestens 65.000 Transaktionen. Ähnliche Aktivitäten zeigten sich auf Tron, und eine Solana-Variante nutzte bestehende, dünn gehandelte Token statt selbst erstellter. Elliptic hatte dieselbe Technik zuvor bei der Geldwäsche des Bybit-Diebstahls vom Februar 2025 identifiziert, bei dem ein wertloser Tron-Token half, mindestens 24 Millionen US-Dollar zu verschieben.
Bitcoin-Umwandlungen und eingefrorene Vermögenswerte
Die größeren Dollarbewegungen finden sich in Umwandlungen und nicht in den Memecoins. Der Tracker von Elliptic zeigt, dass rund 3.000 BTC, etwa 225 Millionen US-Dollar, nach Umwandlungen anderer gestohlener Vermögenswerte in neuen Adressen angesammelt wurden, während die wichtigsten Bitcoin- und Ether-Bestände unbewegt blieben. Seit dem 8. November haben mit dem Diebstahl verbundene Wallets etwa 7.000 ETH im Wert von 15 Millionen US-Dollar bei Tornado Cash eingezahlt.
Die Quellen weichen bei der Größe des verbleibenden Pools voneinander ab. Der Tracker von Elliptic, wie von Crypto.news zusammengefasst, nennt etwa 3 Milliarden US-Dollar in Adressen mit Verbindung zum Diebstahl, davon 2,85 Milliarden US-Dollar eingefroren. Bitcoin Magazine beschreibt unter Berufung auf das umfassendere Update derselben Firma rund 11,8 Millionen NEAR, also 43,7 Millionen US-Dollar, als noch nicht bewegt. Die beiden Angaben beschreiben unterschiedliche Teile der Bestände, und keine nennt eine abgestimmte Gesamtsumme. Beide stimmen darin überein, dass wahrscheinlich nur ein verschwindend geringer Betrag zu Geld gemacht wurde.
Zuordnung und der Einbruch
Das FBI schrieb den Diebstahl am 31. Oktober der nordkoreanischen Gruppe TraderTraitor zu und forderte Dienste, darunter THORChain-Betreiber, auf, verknüpfte Transaktionen zu blockieren. Binance beziffert den Verlust auf 6,34 Milliarden US-Dollar und erklärte, man habe mehr als den gesamten Betrag zur Deckung der Verluste zurückgestellt. Die Darstellung vom 3. November beschreibt ein monatelanges Eindringen, das mit einem gefälschten Bewerbungsgespräch begann und mit schädlichem Code, der die Endpoint-Sicherheit umging. Crypto.news berichtet, der Angreifer habe später die Rechner von Wallet-Ingenieuren erreicht und gestohlene Zugangsdaten für die Bereitstellung von Containern genutzt, um auf Signaturvorgänge zuzugreifen. Die erste Untersuchung von Binance fand keinen Hinweis auf einen abgeflossenen privaten Wallet-Schlüssel. Eine separate Analyse von Blockaid beschrieb bösartige EIP-7702-Autorisierungen, die in einer einzigen Transaktion übermittelt wurden, wobei eine mit dem Transaktionszähler der Binance-14-Wallet übereinstimmte.
Rückführung und Kontext
Am 5. November forderte Binance die Rückgabe eingefrorener Vermögenswerte, darunter 8.425,997 ETH und 74,56 Millionen ARB, die auf Arbitrum blockiert sind. Binance hat die Auszahlungen schrittweise wieder eröffnet. Elliptic bezifferte die Gesamtsumme der Diebstähle Nordkoreas im Jahr 2025 auf über 2 Milliarden US-Dollar, getrieben vom Bybit-Exploit über 1,46 Milliarden US-Dollar, und die kumulierte bekannte Summe auf über 6 Milliarden US-Dollar, selbst vor dem Binance-Vorfall.
Warum es wichtig ist
Für Trader
Liquiditätspools auf NEAR, Tron und Solana könnten während der fortgesetzten Geldwäsche plötzliche Aktivitätsspitzen verzeichnen. Neue, dünn gehandelte Token bergen deshalb erhöhte Manipulations- und Ausstiegsrisiken.
Für Investoren
Wiederholte Diebstähle mit Verbindung nach Nordkorea über 6 Milliarden US-Dollar unterstreichen den anhaltenden Druck auf zentralisierte Börsen durch staatliche Akteure sowie die Aussichten auf eine Rückführung eingefrorener Gelder.
Für Entwickler
Bösartige EIP-7702-Autorisierungen und das Routing über Liquiditätspools zeigen, dass Signaturabläufe in Wallets und Werkzeuge für Token-Starts strengere Autorisierungsprüfungen und Überwachung benötigen.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
