Hackarna bakom Binance-attacken tvättar sitt byte via mememynt

Den grupp som tömde Binance på ungefär 6,3 miljarder dollar har börjat ge ut mememynt. Ingen är tänkt att köpa dem. De finns bara för att de stulna pengarna ska ha någonstans att gömma sig i några timmar.

Nyheten spred sig snabbt på X, där StalkHQ uppmärksammade lanseringarna av mememynt, och detaljerna kommer från en rapport från måndagen av blockchain-analysföretaget Elliptic. Enligt Elliptic skapade penningtvättare som arbetar för den nordkoreanska gruppen TraderTraitor minst sex engångstoken på NEAR mellan den 5 och 7 november. En visar en apa med en rosa rosett. En annan visar en anka insvept i en amerikansk flagga. En visar Elon Musk under en banderoll med texten ”Elon 2028 President”, vilket enligt Elliptic inte har något med Musk att göra. Namnen inkluderar FUK och SINU.

Beloppen är små. Cirka 117 000 NEAR, ungefär 430 000 dollar, passerade genom de sex tokenen, vilket är mindre än 0,01% av det totala bytet. Det är metoden som är värd att uppmärksamma.

Vi har redan rapporterat om själva hacket när det inträffade. Kortfattat: den 29 oktober flyttade angriparna ut miljarder på cirka 20 minuter, och VD Richard Teng sa senare att angriparen använde en självförstöringsmekanism som raderade verktyg och spår längs vägen. FBI pekade ut TraderTraitor två dagar senare. Det är samma grupp som FBI anklagade för stölden från Bybit på 1,4 miljarder dollar år 2025.

Hur en värdelös token tvättar riktiga pengar

Tricket är enkelt och billigt. Varje token kostar cirka 25 NEAR, ungefär 90 dollar, att lansera. Penningtvättarna kopplar ihop den med en verklig tillgång som NEAR i en likviditetspool på en decentraliserad börs. En uppsättning plånböcker betalar in stulna medel till poolen och får tillbaka den nya tokenen. En andra uppsättning plånböcker säljer tokenen till samma pool och tar ut NEAR som ser rent ut.

Stulna pengar flyttas aldrig direkt från den första uppsättningen plånböcker till den andra. Poolen ligger emellan, och de mottagande plånböckerna ser ut som vanliga handlare som sålt en mememynt med vinst. Elliptics medgrundare Tom Robinson uttryckte det tydligt på X: mynten är en förklädnad, men varje steg sker på blockkedjan och Elliptic har spårat det.

Det är svårt att bestrida Elliptics bevis för att dessa tokens aldrig hade någon verklig marknad. Plånböckerna i tvättnätverket stod för varje försäljning av alla sex tokens och köpte varje enhet av fem av dem. Fem av de sex skaparna finansierades av en plånbok som hade sålt den föregående token några minuter tidigare, så varje mynt betalade för nästa. Alla sex såldes först inom tre timmar efter lanseringen och dumpades sedan. Ingen har handlas sedan den 8 november, och skaparna av fyra av dem tog ut den kvarvarande likviditeten samma eftermiddag.

Inget nytt, bara större

Nordkorea har gjort detta tidigare. Elliptic upptäckte det först efter Bybit-hacket, då minst 24 miljoner dollar gick genom en värdelös token på Tron. Den här gången var gänget på plats inom några dagar. En Tron-token dök upp den 2 november, och den 3 november byttes stulna SOL ut mot Solana-tokens med låg omsättning innan de såldes för USDC. NEAR-partiet kom senare under veckan.

Meme-mynt fungerar som en bra täckmantel eftersom tusentals lanseras varje dag och de flesta försvinner inom några dagar. En plånbok med ett nytt tecknat token i sin historik ser ut som en spekulant, inte en penningtvättare, såvida inte någon kontrollerar var pengarna kommer ifrån.

En sidouppvisning till huvudmaskinen

Elliptic är tydliga med att detta lager inte döljer någonting. Det bromsar utredarna, och i en penningtvättskapplöpning är fördröjning själva poängen.

Den större verksamheten ser annorlunda ut. Elliptics sammanställning omfattar nu mer än 20 000 plånböcker fördelade på 16 blockkedjor och minst 36 tjänster. I början av veckan uppgav företaget att medel hoppade över till en ny plånbok ungefär var 25:e sekund, och Robinson beskrev det som penningtvätt på autopilot, troligen automatiserad med mänsklig övervakning. Elliptics egen varning var att statiska listor och engångskontroller kommer att missa ett sådant kluster. Chainalysis pekade också på automatiseringen bakom penningtvätten.

Andra vägar är också öppna. Cirka 7 000 ETH, ungefär 15 miljoner dollar, har gått in i Tornado Cash sedan söndagen. Cirka 3 000 BTC, ungefär 225 miljoner dollar, finns nu på nya bitcoin-adresser, och en del av de stulna medlen har flyttats via THORChain, vilket poddare redan diskuterade i samband med FBI:s tillskrivning.

En del av bytet fick aldrig chansen. FBI uppger att 2,85 miljarder dollar frystes på blockkedjan av Tether, Circle, Ripple, Arbitrum och Optimism. TRM uppskattar siffran till närmare 2,7 miljarder dollar, och Binance uppger cirka 3 miljarder dollar. Elliptic rapporterade också att 11,8 miljoner stulna NEAR, värda cirka 43,7 miljoner dollar, ännu inte har flyttats.

En varning från dem som följer Nordkorea i sitt yrke. Michael Barnhart på DTEX berättade för Recorded Future News att TraderTraitor brukar snabbt överföra pengar till kinesiska penningtvättsnätverk, så en del av det som analytikerna ser på blockkedjan kan vara dessa nätverk i aktion. Elliptic betecknar fortfarande aktiviteten kring mememynt som nordkoreansk.

Vad compliance-team bör hålla utkik efter

Elliptics råd är att sluta behandla medel i likviditetspooler som rena per automatik. En plånbok som finansierats via en swap kan befinna sig två steg bort från stulna pengar. Varningssignalerna är en token som skapats under de senaste dagarna, en pool med endast ett fåtal handlare, plånböcker som endast köper eller endast säljer, samt nya plånböcker som fyllts på med jämna belopp strax innan handeln inleds. Företaget publicerar även en kostnadsfri svartlista över adresser från Binance-hacket och uppger att den uppdateras löpande.

För tillfället är siffran att hålla koll på de orörda 11,8 miljoner NEAR.