Noord-Koreaanse Binance-hack van $6,3 mrd neemt wending met memecoins

Meme-munten bemoeilijken het spoor van de Binance-hack

Noord-Koreaanse witwassers maakten gebruik van memecoins en obscure tokens op Tron, Solana en Near, zo legde Tom Robinson, medeoprichter en hoofdwetenschapper van Elliptic, op 9 november uit. Bij Tron en Near ging het om nieuw gecreëerde munten; Solana maakte gebruik van bestaande activa.

Robinson schreef:

"De meeste mensen zien memetokens als grapmunten waarvan de prijzen stijgen en dalen op basis van hype. De witwassers uit Noord-Korea hebben er een andere toepassing voor gevonden: ze creëren tokens die niemand anders wil kopen en gebruiken deze om de verplaatsing van gestolen geld te verhullen."

Op Near kocht één groep de nieuwe munten met gestolen cryptovaluta via token-liquiditeitspools. Andere wallets verkochten aan dezelfde pools en incasseerden een bijna gelijkwaardige opbrengst, waarbij de verzend- en ontvangstadressen gescheiden werden gehouden.

Zes tokens die tussen 5 en 7 november werden gecreëerd, verwerkten ongeveer 117.000 NEAR ($430.000), waarbij vrijwel geen externe handel plaatsvond. Elke lancering kostte ongeveer $90. Vijf makers ontvingen financiering uit eerdere tokenverkopen kort voordat ze vervangende tokens lanceerden.

Het Federal Bureau of Investigation (FBI) schreef de Binance-diefstal van vorige maand op 31 oktober toe aan Noord-Korea en identificeerde de operatie als „Tradertraitor“, een door de staat gesponsorde Noord-Koreaanse groep die zich richt op cryptocurrency-bedrijven.

Noord-Korea ontkende echter op 3 november elke verantwoordelijkheid voor de hack. Kim Yo-jong, de zus van de Noord-Koreaanse leider Kim Jong-un, noemde de beschuldigingen van de FBI een „ernstige politieke provocatie“ die bedoeld was om de reputatie van het land te schaden.

Diefstal bij Binance leidde tot een race tegen bevriezingen

Chainalysis ontdekte dat gestolen activa uit de aanval op Binance op 29 oktober vermengd waren met opbrengsten uit de Bitget-diefstal in september. Het bedrijf verwees naar deze overlap bij het toeschrijven van de Binance-diefstal aan Tradertraitor. De beoordeling was gebaseerd op blockchain-activiteit die in de uren na de aanval werd waargenomen.

De aanvaller probeerde bevriezingen te omzeilen door middel van snelle omzettingen naar stablecoins, waarbij hij in bijna 20 minuten tijd 325 miljoen dollar aan middelen omwisselde voor ongeveer 285 miljoen dollar aan ether. Bij ether ontbreken de door de uitgever gecontroleerde bevriezingsmogelijkheden die voor die stablecoins wel beschikbaar zijn.

Elliptic signaleerde op 2 november een waardeloos Tron-token dat uitsluitend voor het witwassen was gecreëerd, en de volgende dag werd gestolen Solana via weinig verhandelde tokens verplaatst. Elliptic had eerder na de Bybit-diefstal in 2025 al minstens 24 miljoen dollar via een soortgelijk schema getraceerd.

Robinson lichtte de gelaagde aanpak toe en verklaarde:

"Geldwitwassers uit Noord-Korea vertrouwen zelden op één enkele techniek. In plaats daarvan stapelen ze vele goedkope technieken op elkaar, die elk voor een beetje extra vertraging zorgen. Zelfgemaakte memetokens zijn gewoon weer een extra laag."

Duizenden wallets leiden naar Bitcoin

Op 2 november waren de gestolen activa via ongeveer 12.000 wallets verspreid over 11 blockchains gegaan. Vaste tijdstippen en blinde herhalingen van mislukte transacties zonder aanpassingen duidden op conventionele automatisering. Elliptic vond geen bewijs voor door AI gestuurde beslissingen.

Een update van 7 november telde meer dan 20.000 wallets, 16 blockchains en ten minste 65.000 transacties. Elliptic volgde omzettingen naar ongeveer 2.300 bitcoin, destijds ter waarde van 175 miljoen dollar, vanuit activa waaronder Solana, XRP en Tron.

De omgezette opbrengsten bedroegen op 9 november ongeveer 3.000 bitcoin, met een waarde van 225 miljoen dollar. Elliptic traceerde ook ongeveer 7.000 ether (ter waarde van ongeveer 15 miljoen dollar) naar Tornado Cash, een mixer waarmee samengevoegde stortingen naar verschillende adressen kunnen worden opgenomen. Het bedrijf schatte dat waarschijnlijk slechts een verwaarloosbaar bedrag was uitbetaald.

Met betrekking tot blootstelling via handelspools waarschuwde de hoofdwetenschapper van Elliptic:

"Een wallet die zijn middelen uit een liquiditeitspool heeft ontvangen, mag niet standaard als 'schoon' worden beschouwd, aangezien deze mogelijk slechts twee transacties verwijderd is van gestolen middelen."