Binance-Hack: Nordkoreas Geldwäscher tarnen Beute mit Wegwerf-Meme-Coins

Meme-Coins erschweren die Rückverfolgung des Binance-Hacks

Nordkoreanische Geldwäscher nutzten Meme-Coins und kaum gehandelte Token auf Tron, Solana und Near, schrieb Tom Robinson, Mitgründer und Chefwissenschaftler von Elliptic, am 9. November. Auf Tron und Near schufen sie eigene Token, auf Solana griffen sie auf bestehende, wenig gehandelte Token zurück.

„Die meisten Menschen halten Meme-Token für Scherz-Coins, deren Kurse mit dem Hype steigen und fallen. Nordkoreas Geldwäscher haben dafür eine andere Verwendung gefunden: Sie schaffen Token, die sonst niemand kaufen will, und verschleiern damit die Bewegung gestohlener Gelder“,

schrieb Robinson.

Auf Near kaufte eine Gruppe von Wallets die neuen Token mit gestohlenen Kryptowerten über Liquiditätspools dezentraler Börsen. Andere Wallets verkauften sie in dieselben Pools zurück und zogen fast den gleichen Betrag ab. So flossen die Gelder nie direkt von den Absender- zu den Empfängeradressen.

Sechs zwischen dem 5. und 7. November geschaffene Token bewegten etwa 117.000 NEAR, nach aktuellem Kurs rund 430.000 Dollar (rund 386.000 Euro). Außerhalb des Netzwerks wurde mit ihnen kaum gehandelt. Jede Einführung kostete etwa 25 NEAR, rund 90 Dollar (rund 81 Euro). Fünf der sechs Token-Ersteller erhielten ihr Startkapital 2 bis 13 Minuten vor dem Start von einer Wallet, die zuvor schon einen älteren Token verkauft hatte.

Das FBI hatte den Diebstahl vom 29. Oktober am 31. Oktober Nordkorea zugeschrieben und der staatlich unterstützten Gruppe Tradertraitor zugeordnet, die es auf Kryptounternehmen abgesehen hat.

Nordkorea wies die Vorwürfe am 3. November zurück. Kim Yo-jong, die Schwester von Machthaber Kim Jong-un, nannte sie laut der staatlichen Nachrichtenagentur KCNA eine „schwere politische Provokation“, die den Ruf des Landes beschädigen solle.

Der Binance-Diebstahl löste einen Wettlauf gegen Sperren aus

Laut dem Analysehaus Chainalysis vermischten sich Gelder aus dem Angriff vom 29. Oktober auf der Blockchain mit der Beute aus dem Hack bei Bitget im September. Diese Verbindung führte Chainalysis als stärksten Beleg dafür an, dass Tradertraitor hinter dem Binance-Diebstahl steckt. Die Einschätzung stützte sich auf Aktivitäten, die in den Stunden nach dem Angriff zu beobachten waren.

Um Sperren zu entgehen, tauschte der Angreifer Stablecoins rasch in Ether: In knapp 20 Minuten wurden aus Stablecoins im Wert von 325 Millionen Dollar (rund 292 Millionen Euro) Ether im Wert von rund 285 Millionen Dollar (rund 256 Millionen Euro). Anders als bei diesen Stablecoins kann bei Ether kein Emittent Guthaben einfrieren.

Am 2. November entdeckte Elliptic einen wertlosen Token auf Tron, der allein für die Geldwäsche geschaffen worden war, am Tag darauf floss gestohlenes SOL über wenig gehandelte Token auf Solana weiter. Schon nach dem Hack bei Bybit 2025 hatte Elliptic mindestens 24 Millionen Dollar (rund 21,5 Millionen Euro) verfolgt, die über ein ähnliches Schema liefen. Robinson beschreibt das Vorgehen als Schichtsystem:

„Nordkoreas Geldwäscher verlassen sich selten auf eine einzige Technik. Stattdessen schichten sie viele billige Techniken übereinander, von denen jede ein wenig mehr Verzögerung bringt. Selbst gemachte Meme-Token sind einfach eine weitere Schicht.“

Auch deutsche Ermittler sind der Bybit-Beute nachgegangen. Am 30. April 2025 schalteten das BKA und die Frankfurter Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) den Tauschdienst Exch ab und stellten Kryptowerte im Wert von rund 34 Millionen Euro sicher. Über Exch soll laut der Mitteilung des BKA auch ein Teil der Bybit-Beute von 1,5 Milliarden Dollar (rund 1,35 Milliarden Euro) getauscht worden sein.

Tausende Wallets führen zu Bitcoin

Bis zum 2. November waren die gestohlenen Kryptowerte durch rund 12.000 Wallets auf 11 Blockchains geflossen. Feste Zeitabstände und blinde Wiederholungen fehlgeschlagener Vorgänge deuteten auf herkömmliche Automatisierung hin, Hinweise auf Entscheidungen durch KI fand Elliptic nicht.

Ein Update vom 7. November zählte mehr als 20.000 Wallets, 16 Blockchains und mindestens 65.000 Transaktionen. Elliptic verfolgte zudem, wie gestohlene Kryptowerte wie SOL, XRP und TRX in etwa 2.300 Bitcoin getauscht wurden, damals 175 Millionen Dollar (rund 157 Millionen Euro) wert.

Bis zum 9. November summierten sich die umgetauschten Erlöse auf etwa 3.000 Bitcoin im Wert von 225 Millionen Dollar (rund 202 Millionen Euro). Seit dem 8. November gingen zudem rund 7.000 ETH, etwa 15 Millionen Dollar (rund 13,5 Millionen Euro), an den Mixer Tornado Cash, wie Elliptic in seinem fortlaufend aktualisierten Überblick schreibt. Bei Tornado Cash landen Einzahlungen in einem gemeinsamen Topf und lassen sich an andere Adressen abheben. In staatliches Geld getauscht wurde nach Einschätzung von Elliptic bislang wohl nur ein vernachlässigbarer Teil der Beute. Mit Blick auf die Handelspools warnte Robinson:

„Eine Wallet, die ihre Gelder aus einem Liquiditätspool erhalten hat, sollte nicht automatisch als sauber gelten, denn sie kann nur zwei Tauschvorgänge von gestohlenen Geldern entfernt sein.“