Binance-Hacker waschen ihre Beute über Meme-Coins

Die Bande, die rund 6,3 Milliarden Dollar von Binance abgezogen hat, hat damit begonnen, Meme-Coins zu prägen. Niemand soll diese kaufen. Sie dienen lediglich dazu, das gestohlene Geld für ein paar Stunden zu verstecken.

Die Geschichte verbreitete sich schnell auf X, wo StalkHQ auf die Einführung der Meme-Coins aufmerksam machte; die Details stammen aus einem Bericht des Blockchain-Analyseunternehmens Elliptic vom Montag. Laut Elliptic haben Geldwäscher, die für die nordkoreanische Gruppe „TraderTraitor“ arbeiten, zwischen dem 5. und 7. November mindestens sechs Wegwerf-Token auf NEAR erstellt. Auf einem ist ein Affe mit einer rosa Schleife zu sehen. Ein anderer zeigt eine in eine US-Flagge gehüllte Ente. Ein weiterer zeigt Elon Musk unter einem Banner mit der Aufschrift „Elon 2028 President“, was laut Elliptic nichts mit Musk zu tun hat. Zu den Namen gehören FUK und SINU.

Die Beträge sind gering. Etwa 117.000 NEAR, rund 430.000 US-Dollar, flossen über die sechs Token, was weniger als 0,01% der Beute ausmacht. Die Vorgehensweise ist dabei besonders bemerkenswert.

Über den Hack selbst haben wir bereits berichtet, als er stattfand. Kurz gesagt: Am 29. Oktober transferierten Angreifer innerhalb von etwa 20 Minuten Milliardenbeträge, und CEO Richard Teng erklärte später, der Angreifer habe einen Selbstzerstörungsmechanismus genutzt, der die Werkzeuge und Spuren auf dem Weg löschte. Zwei Tage später nannte das FBI „TraderTraitor“ als Verantwortliche. Es handelt sich um dieselbe Gruppe, die das FBI bereits für den Bybit-Diebstahl in Höhe von 1,4 Milliarden Dollar im Jahr 2025 verantwortlich gemacht hatte.

Wie ein wertloser Token echtes Geld „wäscht“

Der Trick ist einfach und kostengünstig. Die Ausgabe jedes Tokens kostete etwa 25 NEAR, was rund 90 US-Dollar entspricht. Die Geldwäscher koppeln ihn in einem Liquiditätspool auf einer dezentralen Börse mit einem echten Vermögenswert wie NEAR. Eine Gruppe von Wallets zahlt gestohlene Gelder in den Pool ein und erhält den neuen Token zurück. Eine zweite Gruppe von Wallets verkauft den Token in denselben Pool und zieht scheinbar sauberes NEAR ab.

Gestohlenes Geld fließt niemals direkt von der ersten Gruppe von Wallets zur zweiten. Der Pool fungiert als Zwischenstation, und die empfangenden Wallets wirken wie gewöhnliche Händler, die eine Meme-Coin mit Gewinn verkauft haben. Tom Robinson, Mitbegründer von Elliptic, brachte es auf X auf den Punkt: Die Coins dienen als Tarnung, aber jeder Schritt findet on-chain statt und wurde von Elliptic zurückverfolgt.

Elliptics Beweise dafür, dass diese Token nie einen echten Markt hatten, sind schwer zu widerlegen. Wallets im Geldwäschernetzwerk tätigten jeden Verkauf aller sechs Token und kauften jede Einheit von fünf davon. Fünf der sechs Entwickler wurden von einer Wallet finanziert, die wenige Minuten zuvor den vorherigen Token verkauft hatte, sodass jede Coin die nächste finanzierte. Alle sechs wurden innerhalb von drei Stunden nach dem Launch verkauft und anschließend abgestoßen. Seit dem 8. November wurde keiner mehr gehandelt, und die Entwickler von vier davon zogen noch am selben Nachmittag die verbleibende Liquidität ab.

Nichts Neues, nur größer

Nordkorea hat das schon einmal gemacht. Elliptic beobachtete dies erstmals nach dem Bybit-Hack, als mindestens 24 Millionen US-Dollar über einen wertlosen Token auf Tron flossen. Diesmal war die Gruppe innerhalb weniger Tage zur Stelle. Am 2. November tauchte ein Tron-Token auf, und am 3. November wurden gestohlene SOL in wenig gehandelte Solana-Token umgetauscht, bevor sie gegen USDC verkauft wurden. Die NEAR-Charge folgte später in der Woche.

Meme-Coins eignen sich gut als Tarnung, da täglich Tausende davon auf den Markt kommen und die meisten innerhalb weniger Tage wieder verschwinden. Ein Wallet mit einem neuen Cartoon-Token in seiner Historie wirkt wie das eines Spekulanten und nicht wie das eines Geldwäschers – es sei denn, jemand überprüft, woher das Geld stammt.

Eine Nebenschau zur Hauptmaschine

Elliptic stellt klar, dass diese Ebene nichts verbirgt. Sie bremst die Ermittler aus, und im Wettlauf um die Geldwäsche ist Verzögerung das Ziel.

Die größere Operation sieht anders aus. Elliptics Bestandsaufnahme umfasst mittlerweile mehr als 20.000 Wallets über 16 Blockchains und mindestens 36 Dienste hinweg. Anfang der Woche teilte das Unternehmen mit, dass Gelder etwa alle 25 Sekunden in eine neue Wallet umgeleitet wurden, und Robinson beschrieb dies als Geldwäsche im Autopilot-Modus, wahrscheinlich automatisiert unter menschlicher Aufsicht. Elliptic selbst warnte davor, dass statische Listen und einmalige Überprüfungen einen solchen Cluster übersehen würden. Auch Chainalysis wies auf die Automatisierung hinter der Geldwäsche hin.

Auch andere Wege stehen offen. Seit Sonntag sind etwa 7.000 ETH, rund 15 Millionen US-Dollar, in Tornado Cash geflossen. Rund 3.000 BTC, etwa 225 Millionen US-Dollar, befinden sich nun auf neuen Bitcoin-Adressen, und ein Teil der gestohlenen Gelder wurde über THORChain transferiert, worüber Podcaster bereits im Zusammenhang mit der Zuordnung durch das FBI diskutiert hatten.

Ein Teil der Beute hatte nie eine Chance. Nach Angaben des FBI wurden 2,85 Milliarden US-Dollar von Tether, Circle, Ripple, Arbitrum und Optimism in der Blockchain eingefroren. TRM beziffert den Betrag eher auf 2,7 Milliarden US-Dollar, und Binance spricht von etwa 3 Milliarden US-Dollar. Elliptic berichtete zudem, dass 11,8 Millionen gestohlene NEAR im Wert von etwa 43,7 Millionen US-Dollar noch nicht bewegt wurden.

Eine Einschränkung von denjenigen, die Nordkorea beruflich beobachten: Michael Barnhart von DTEX erklärte gegenüber Recorded Future News, dass TraderTraitor dazu neige, Geld schnell an chinesische Geldwäschernetzwerke weiterzuleiten, sodass ein Teil dessen, was Analysten in der Blockchain sehen, möglicherweise auf die Aktivitäten dieser Netzwerke zurückzuführen sei. Elliptic stuft die Aktivitäten rund um die Meme-Coins weiterhin als nordkoreanisch ein.

Worauf Compliance-Teams achten sollten

Elliptic rät dazu, Gelder aus Liquiditätspools nicht mehr standardmäßig als „sauber“ zu betrachten. Ein über einen Swap aufgefülltes Wallet kann nur zwei Schritte von gestohlenem Geld entfernt sein. Warnzeichen sind ein Token, das erst in den letzten Tagen erstellt wurde, ein Pool mit nur einer Handvoll Händlern, Wallets, die nur kaufen oder nur verkaufen, sowie neue Wallets, die kurz vor Handelsbeginn mit runden Beträgen aufgefüllt wurden. Das Unternehmen veröffentlicht zudem eine kostenlose Blockliste mit Adressen aus dem Binance-Hack und gibt an, diese regelmäßig zu aktualisieren.

Derzeit ist die Zahl von 11,8 Millionen NEAR, die noch nicht angegriffen wurden, im Blick zu behalten.