Secondo un aggiornamento di Elliptic, la scorsa settimana i riciclatori nordcoreani hanno trascorso tre giorni a coniare e scartare le proprie meme coin sulla blockchain NEAR per spostare i fondi del furto a Binance del 29 ottobre. Sei token — FUK, OLCCL, MEILI, MMLI, DABI e SINU — sono stati creati tra il 5 e il 7 novembre e utilizzati per far passare circa 117.000 NEAR, circa 430.000 dollari, attraverso la catena. L'FBI ha attribuito la violazione di Binance al gruppo TraderTraitor.
Come funzionavano le monete NEAR
Ogni token è stato creato per circa 25 NEAR, ovvero circa 90 dollari — abbastanza economico da poter essere bruciato. I creatori hanno abbinato ciascuno di essi a NEAR nel proprio pool di liquidità, acquistato con NEAR rubati, e poi rivenduto attraverso un secondo set di wallet. Il trading è stato intenso per alcune ore e poi si è fermato. Nessuno dei sei è stato scambiato dal 8 novembre. Nel pomeriggio di quel giorno, i creatori di quattro dei token hanno ritirato la liquidità rimasta.
La traccia dei wallet mostra che non si trattava di sei progetti indipendenti. Cinque dei sei creatori sono stati finanziati da un wallet che aveva appena venduto un token precedente, tra due e 13 minuti prima del lancio successivo. È una catena, non un portafoglio.
Elliptic ha già visto questo
Elliptic ha segnalato per la prima volta il metodo dei token fatti in casa durante il furto a Bybit del febbraio 2025, anch'esso attribuito a TraderTraitor, quando un token Tron senza valore ha contribuito a spostare almeno 24 milioni di dollari. Nel caso Binance, l'azienda afferma di aver visto la tecnica anche su Tron e una variante simile su Solana — quella utilizza token esistenti scarsamente scambiati anziché token appena coniati.
La portata del tracciamento è maggiore di quanto suggeriscano le sei monete NEAR. Elliptic afferma di aver tracciato oltre 20.000 wallet su 16 blockchain, almeno 36 servizi e almeno 65.000 transazioni dal furto.
Dove è finito il resto del denaro
La maggior parte del riciclaggio si è spostata ben oltre NEAR. L'aggiornamento di Elliptic stima circa 3.000 BTC — circa 225 milioni di dollari — in nuovi indirizzi bitcoin convertiti da altri asset rubati. Tutti i SOL rubati sono già stati scambiati, bridged o mixati, e gran parte del percorso XRP è confluito in bitcoin. Circa 11,8 milioni di NEAR, del valore di 43,7 milioni di dollari, non sono ancora stati mossi.
Binance ha valutato il furto a 6,34 miliardi di dollari e ha riaperto i prelievi a fasi, affermando di aver coperto le perdite dei clienti con fondi propri. Circa 2,85 miliardi di dollari del bottino originale sono stati congelati. Le società blockchain hanno collegato la violazione a TraderTraitor entro un giorno, sebbene Binance abbia dichiarato che l'attacco è iniziato con un falso colloquio di lavoro ed è durato cinque mesi prima che qualsiasi moneta fosse mossa.
Piccolo incasso, lunga coda
Nonostante il volume, Elliptic afferma che finora è stata probabilmente incassata una quantità trascurabile dei fondi rubati. L'azienda ha stimato il bottino crypto della Corea del Nord nel 2025 superiore a 2 miliardi di dollari, trainato dall'exploit di Bybit da 1,46 miliardi di dollari, con il totale cumulativo noto superiore a 6 miliardi di dollari anche prima che Binance fosse colpita.
La domanda a breve termine è se i circa 11,8 milioni di NEAR rimasti fermi diventeranno il prossimo lotto di token usa e getta, o se i riciclatori li sposteranno altrove. Il tracciamento dei wallet di Elliptic non ha ancora mostrato alcun movimento.
