Nordkoreanische Geldwäscher verbrachten letzte Woche drei Tage damit, eigene Meme-Coins auf der NEAR-Blockchain zu prägen und wieder zu verwerfen, um Gelder aus dem Binance-Diebstahl vom 29. Oktober zu verschieben, so ein Update von Elliptic. Sechs Token – FUK, OLCCL, MEILI, MMLI, DABI und SINU – wurden zwischen dem 5. und 7. November erstellt und genutzt, um rund 117.000 NEAR, etwa 430.000 US-Dollar, durch die Chain zu schleusen. Das FBI hat den zugrundeliegenden Binance-Angriff der Gruppe TraderTraitor zugeschrieben.
Wie die NEAR-Coins funktionierten
Jeder Token wurde für etwa 25 NEAR, rund 90 US-Dollar, erstellt – billig genug, um ihn zu verbrennen. Die Ersteller paarten jeden davon mit NEAR in einem eigenen Liquiditätspool, kauften mit gestohlenen NEAR und verkauften dann über eine zweite Gruppe von Wallets zurück. Der Handel war für einige Stunden intensiv und stoppte dann. Keiner der sechs wurde seit dem 8. November gehandelt. Am Nachmittag dieses Tages zogen die Ersteller von vier der Token die verbleibende Liquidität ab.
Die Wallet-Spur zeigt, dass es sich nicht um sechs unabhängige Projekte handelte. Fünf der sechs Ersteller wurden von einer Wallet finanziert, die zwischen zwei und 13 Minuten vor dem nächsten Launch gerade einen früheren Token verkauft hatte. Es ist eine Kette, kein Portfolio.
Elliptic hat das schon gesehen
Elliptic hat die Methode mit selbst hergestellten Token erstmals während des Bybit-Diebstahls im Februar 2025 gemeldet, der ebenfalls TraderTraitor zugeschrieben wird, als ein wertloser Tron-Token half, mindestens 24 Millionen US-Dollar zu verschieben. Im Binance-Fall hat die Firma nach eigenen Angaben die Technik auch auf Tron und eine nahe Variante auf Solana gesehen – letztere nutzt bestehende, dünn gehandelte Token statt frisch geprägter.
Der Umfang der Nachverfolgung ist größer, als die sechs NEAR-Coins vermuten lassen. Elliptic gibt an, seit dem Diebstahl mehr als 20.000 Wallets über 16 Blockchains, mindestens 36 Dienste und mindestens 65.000 Transaktionen verfolgt zu haben.
Wohin der Rest des Geldes ging
Der Großteil der Geldwäsche hat NEAR längst hinter sich gelassen. Laut dem Elliptic-Update befinden sich rund 3.000 BTC – etwa 225 Millionen US-Dollar – in neuen Bitcoin-Adressen, die aus anderen gestohlenen Vermögenswerten umgewandelt wurden. Alle gestohlenen SOL wurden bereits getauscht, gebrückt oder gemischt, und ein Großteil der XRP-Route floss in Bitcoin. Etwa 11,8 Millionen NEAR im Wert von 43,7 Millionen US-Dollar haben sich noch nicht bewegt.
Binance hat den Diebstahl auf 6,34 Milliarden US-Dollar beziffert und Auszahlungen schrittweise wieder geöffnet, wobei das Unternehmen angab, Kundenverluste aus eigenen Mitteln gedeckt zu haben. Etwa 2,85 Milliarden US-Dollar der ursprünglichen Beute wurden eingefroren. Blockchain-Firmen brachten den Angriff innerhalb eines Tages mit TraderTraitor in Verbindung, obwohl Binance erklärte, der Angriff habe mit einem gefälschten Vorstellungsgespräch begonnen und fünf Monate gedauert, bevor Coins bewegt wurden.
Kleine Auszahlung, langer Schwanz
Trotz des Volumens gibt Elliptic an, dass bisher wahrscheinlich nur ein vernachlässigbarer Teil der gestohlenen Gelder ausgezahlt wurde. Die Firma bezifferte Nordkoreas Krypto-Beute für 2025 auf über 2 Milliarden US-Dollar, getrieben durch den Bybit-Exploit von 1,46 Milliarden US-Dollar, mit einer kumulierten bekannten Gesamtsumme von über 6 Milliarden US-Dollar noch bevor Binance getroffen wurde.
Die kurzfristige Frage ist, ob die rund 11,8 Millionen NEAR, die still liegen, die nächste Charge wegwerfbarer Token werden oder ob die Geldwäscher sie ganz woandershin bewegen. Die Wallet-Verfolgung von Elliptic hat noch keine Bewegung gezeigt.
