Noord-Koreaans verbonden witwassers gebruiken wegwerp-memecoins om Binance-hackgeld te verplaatsen
Blockchain-analysebedrijf Elliptic zegt dat met Noord-Korea verbonden operators zes wegwerp-memecoins op NEAR hebben aangemaakt om ongeveer $430.000 aan geld uit de diefstal van $6,34 miljard bij Binance via liquiditeitspools te verplaatsen. Volgens Elliptic is ongeveer $2,85 miljard van de buit bevroren en is waarschijnlijk slechts een verwaarloosbaar bedrag te gelde gemaakt.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
De memecoin-methode
Elliptic meldde op 9 nov. dat operators tussen 5 en 7 nov. zes nieuwe tokens op NEAR hebben gemint, met de namen FUK, OLCCL, MEILI, MMLI, DABI en SINU. Het aanmaken van elk token kostte ongeveer 25 NEAR, oftewel ruwweg $90. De operators koppelden elk token aan NEAR in een eigen liquiditeitspool en stuurden vervolgens ongeveer 117.000 NEAR, oftewel ruwweg $430.000, door de pools.
Het mechanisme scheidt de koop- en incasseerwallets. Eén reeks wallets kocht de tokens met gestolen geld, en een tweede reeks verkocht terug in dezelfde pool en incasseerde het echte actief. Omdat de pool tussen beide in zit, gaat er geen geld rechtstreeks van de ene wallet naar de andere, en kunnen de incasseerwallets eruitzien als gewone handelaren die winst nemen. Elliptic schreef dat het spoor nog steeds on-chain zichtbaar is, en waarschuwde compliance-teams om niet aan te nemen dat geld schoon is omdat het uit een liquiditeitspool komt.
Omvang van het witwassen
De afzonderlijke tracker van Elliptic, bijgewerkt op 9 nov. om 13:15 UTC, telt meer dan 20.000 wallets verspreid over 16 blockchains, minstens 36 diensten en minstens 65.000 transacties. Vergelijkbare activiteit verscheen op Tron, en een Solana-variant gebruikte bestaande, nauwelijks verhandelde tokens in plaats van zelfgemaakte. Elliptic had dezelfde techniek eerder vastgesteld bij het witwassen van de Bybit-diefstal van februari 2025, waarbij een waardeloos Tron-token hielp om minstens $24 miljoen te verplaatsen.
Bitcoin-conversies en bevroren activa
De grotere bedragen in dollars zitten in conversies en niet in de memetokens. De tracker van Elliptic laat zien dat ongeveer 3.000 BTC, zo'n $225 miljoen, is opgebouwd in nieuwe adressen na conversies van andere gestolen activa, terwijl de belangrijkste Bitcoin- en Ether-posities niet zijn verplaatst. Sinds 8 nov. hebben wallets die aan de diefstal zijn gekoppeld ongeveer 7.000 ETH, ter waarde van $15 miljoen, naar Tornado Cash gestort.
Bronnen verschillen over de omvang van de resterende pool. De tracker van Elliptic, zoals samengevat door Crypto.news, becijfert ongeveer $3 miljard in aan de diefstal gekoppelde adressen, waarvan $2,85 miljard bevroren. Bitcoin Magazine, dat zich baseert op de bredere update van hetzelfde bedrijf, beschrijft ongeveer 11,8 miljoen NEAR, oftewel $43,7 miljoen, dat nog niet is verplaatst. De twee bronnen beschrijven verschillende delen van de posities, en geen van beide meldt een gekkeld totaal. Beide stellen dat waarschijnlijk slechts een verwaarloosbaar bedrag te gelde is gemaakt.
Toerekening en de inbreuk
Het FBI schreef de diefstal op 31 okt. toe aan de Noord-Koreaanse groep TraderTraitor en drong er bij diensten, waaronder THORChain-operators, op aan gekoppelde transacties te blokkeren. Binance becijferde de verliezen op $6,34 miljard en zei meer dan het volledige bedrag apart te hebben gezet om verliezen te dekken. Het verslag van Binance van 3 nov. beschrijft een maandenlange inbraak die begon met een nepsollicitatiegesprek en kwaadaardige code die endpoint-beveiliging omzeilde. Crypto.news meldt dat de aanvaller later toegang kreeg tot de machines van wallet-engineers en met gestolen inloggegevens voor containerdeployments toegang kreeg tot signeringsprocessen. Het eerste onderzoek van Binance vond geen bewijs van een gelekte private key van een wallet. Aparte analyse van Blockaid beschreef kwaadaardige EIP-7702-autorisaties die in één transactie waren ingediend, waarvan er één overeenkwam met de transactieteller van de Binance 14-wallet.
Herstel en context
Op 5 nov. vroeg Binance om teruggave van bevroren activa, waaronder 8.425,997 ETH en 74,56 miljoen ARB die op Arbitrum waren geblokkeerd. Binance heeft opnames gefaseerd weer opengesteld. Elliptic becijferde de totale buit van Noord-Korea in 2025 op meer dan $2 miljard, voornamelijk door de exploit bij Bybit van $1,46 miljard, en het cumulatieve bekende totaal op meer dan $6 miljard, zelfs vóór het Binance-incident.
Waarom het ertoe doet
Voor handelaren
Liquiditeitspools op NEAR, Tron en Solana kunnen plotselinge pieken in activiteit vertonen zolang het witwassen doorgaat, dus nieuwe, nauwelijks verhandelde tokens dragen een verhoogd risico op manipulatie en uittreding.
Voor beleggers
Herhaalde, met Noord-Korea verbonden diefstallen boven $6 miljard onderstrepen de aanhoudende druk op gecentraliseerde beurzen door staten en de herstelkansen voor bevroren fondsen.
Voor bouwers
Kwaadaardige EIP-7702-autorisaties en de routering via liquiditeitspools tonen aan dat signeringsprocessen van wallets en tools voor tokenlanceringen strengere autorisatiecontroles en monitoring nodig hebben.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
