Hackere fra Binance hvitvasker byttet sitt gjennom mememynt

Gruppen som tappet omtrent 6,3 milliarder dollar fra Binance, har begynt å utstede meme-mynter. Det er ikke meningen at noen skal kjøpe dem. De eksisterer bare for at de stjålne pengene skal ha et sted å gjemme seg i noen timer.

Historien spredte seg raskt på X, der StalkHQ varslet lanseringene av meme-myntene, og detaljene kommer fra en rapport fra mandag utgitt av blockchain-analysefirmaet Elliptic. Ifølge Elliptic opprettet hvitvaskere som jobber for den nordkoreanske gruppen TraderTraitor minst seks engangstokener på NEAR mellom 5. og 7. november. Én viser en ape med en rosa sløyfe. En annen viser en and innpakket i et amerikansk flagg. Én viser Elon Musk under et banner med teksten «Elon 2028 President», som ifølge Elliptic ikke har noe med Musk å gjøre. Navnene inkluderer FUK og SINU.

Beløpene er små. Omtrent 117 000 NEAR, tilsvarende rundt 430 000 dollar, gikk gjennom de seks tokenene, noe som utgjør under 0,01% av det totale byttet. Det er metoden som er verdt å følge med på.

Vi har allerede dekket selve hacket da det skjedde. Kortversjonen: 29. oktober flyttet angriperne ut milliarder på omtrent 20 minutter, og administrerende direktør Richard Teng sa senere at angriperen brukte en selvdestruksjonsmekanisme som slettet verktøy og spor underveis. FBI navnga «TraderTraitor» to dager senere. Det er den samme gruppen som FBI beskyldte for Bybit-tyveriet på 1,4 milliarder dollar i 2025.

Hvordan et verdiløst token hvitvasker ekte penger

Trikset er enkelt og billig. Hvert token koster rundt 25 NEAR, omtrent 90 dollar, å lansere. Hvitvaskerne kobler det sammen med en ekte eiendel som NEAR i en likviditetspool på en desentralisert børs. Et sett med lommebøker setter inn stjålne midler i puljen og får det nye tokenet tilbake. Et annet sett med lommebøker selger tokenet inn i den samme puljen og tar ut «rent» utseende NEAR.

Stjålne penger beveger seg aldri direkte fra den første gruppen lommebøker til den andre. Puljen ligger i mellom, og de mottakende lommebøkene ser ut som vanlige handelsmenn som har solgt en meme-mynt med fortjeneste. Elliptics medgrunnlegger Tom Robinson sa det rett ut på X: myntene er en forkledning, men hvert trinn skjer på blokkjeden, og Elliptic har sporet det.

Elliptics bevis på at disse tokenene aldri hadde et reelt marked, er vanskelig å bestride. Lommebøker i hvitvaskingsnettverket sto for hvert salg av alle seks tokenene og kjøpte hver eneste enhet av fem av dem. Fem av de seks skaperne ble finansiert av en lommebok som hadde solgt den forrige tokenen noen minutter tidligere, så hver mynt betalte for den neste. Alle seks ble først solgt innen tre timer etter lanseringen og deretter dumpet. Ingen har blitt handlet siden 8. november, og skaperne av fire av dem trakk ut den gjenværende likviditeten den ettermiddagen.

Ikke nytt, bare større

Nord-Korea har gjort dette før. Elliptic oppdaget det først etter Bybit-hacket, da minst 24 millioner dollar gikk gjennom et verdiløst token på Tron. Denne gangen var gjengen på plass i løpet av få dager. Et Tron-token dukket opp 2. november, og 3. november ble stjålet SOL byttet inn i Solana-tokens med lav omsetning før de ble solgt for USDC. NEAR-partiet kom senere i uken.

Meme-mynter er et godt dekke fordi tusenvis lanseres hver dag og de fleste dør ut i løpet av få dager. En lommebok med et nytt tegneserietoken i historikken ser ut som en spekulant, ikke en hvitvasker, med mindre noen sjekker hvor pengene kom fra.

Et sideshow til hovedmaskinen

Elliptic er tydelig på at dette laget ikke skjuler noe. Det bremser etterforskerne, og i et hvitvaskingsløp er forsinkelse poenget.

Den større operasjonen ser annerledes ut. Elliptics oversikt omfatter nå mer enn 20 000 lommebøker fordelt på 16 blokkjeder og minst 36 tjenester. Tidlig i uken sa selskapet at midler hoppet over til en ny lommebok omtrent hvert 25. sekund, og Robinson beskrev det som hvitvasking på autopilot, sannsynligvis automatisert med menneskelig tilsyn. Elliptics egen advarsel var at statiske lister og engangskontroller vil overse en slik klynge. Chainalysis pekte også på automatiseringen bak hvitvaskingen.

Andre ruter er også åpne. Omtrent 7 000 ETH, tilsvarende rundt 15 millioner dollar, har gått inn i Tornado Cash siden søndag. Rundt 3 000 BTC, omtrent 225 millioner dollar, ligger nå på nye bitcoin-adresser, og noen av de stjålne midlene har blitt flyttet via THORChain, noe podkastere allerede diskuterte i sammenheng med FBIs tilskrivning.

En del av byttet fikk aldri sjansen. FBI opplyser at 2,85 milliarder dollar ble frosset på blokkjeden av Tether, Circle, Ripple, Arbitrum og Optimism. TRM anslår tallet til nærmere 2,7 milliarder dollar, mens Binance oppgir rundt 3 milliarder dollar. Elliptic rapporterte også at 11,8 millioner stjålne NEAR, verdt rundt 43,7 millioner dollar, ennå ikke har blitt flyttet.

Et forbehold fra de som lever av å spore Nord-Korea. Michael Barnhart hos DTEX fortalte Recorded Future News at TraderTraitor har en tendens til å overføre penger raskt til kinesiske hvitvaskingsnettverk, så noe av det analytikerne ser på blokkjeden kan være disse nettverkene i aksjon. Elliptic betegner fortsatt meme-myntaktiviteten som nordkoreansk.

Hva compliance-team bør se etter

Elliptics råd er å slutte å behandle midler i likviditetspooler som «rene» som standard. En lommebok finansiert gjennom en byttehandel kan være to trinn unna stjålne penger. Advarselstegnene er et token opprettet de siste dagene, en pool med bare en håndfull tradere, lommebøker som kun kjøper eller kun selger, og nye lommebøker som er finansiert med runde beløp kort tid før handelen starter. Selskapet publiserer også en gratis blokkeringsliste over adresser fra Binance-hacket og sier at de oppdaterer den kontinuerlig.

Foreløpig er tallet å holde øye med de uberørte 11,8 millioner NEAR.