Binance-hackere hvidvasker deres bytte via meme-coins

Den gruppe, der stjal omkring 6,3 milliarder dollar fra Binance, er begyndt at udstede mememønter. Det er ikke meningen, at nogen skal købe dem. De findes kun for at give de stjålne penge et sted at gemme sig i et par timer.

Historien spredte sig hurtigt på X, hvor StalkHQ gjorde opmærksom på lanceringerne af meme-mønterne, og detaljerne stammer fra en rapport fra mandag udarbejdet af blockchain-analysefirmaet Elliptic. Ifølge Elliptic oprettede hvidvaskere, der arbejder for den nordkoreanske gruppe TraderTraitor, mindst seks engangstokens på NEAR mellem den 5. og 7. november. Den ene viser en abe med en lyserød sløjfe. En anden viser en and indpakket i et amerikansk flag. En tredje viser Elon Musk under et banner med teksten »Elon 2028 President«, hvilket ifølge Elliptic ikke har noget med Musk at gøre. Navnene omfatter blandt andet FUK og SINU.

Beløbene er små. Omkring 117.000 NEAR, svarende til cirka 430.000 dollars, passerede gennem de seks tokens, hvilket udgør under 0,01% af det samlede bytte. Det er metoden, der er værd at holde øje med.

Vi har allerede dækket selve hacket, da det fandt sted. Kort fortalt: Den 29. oktober flyttede angriberne milliarder på cirka 20 minutter, og CEO Richard Teng sagde senere, at angriberen anvendte en selvdestruktionsmekanisme, der slettede værktøjer og spor undervejs. FBI navngav TraderTraitor to dage senere. Det er den samme gruppe, som FBI beskyldte for Bybit-tyveriet på 1,4 milliarder dollar i 2025.

Sådan hvidvasker et værdiløst token rigtige penge

Tricket er simpelt og billigt. Hvert token kostede omkring 25 NEAR, svarende til ca. 90 dollar, at lancere. Hvidvaskerne parrer det med et ægte aktiv som NEAR i en likviditetspulje på en decentraliseret børs. Et sæt tegnebøger indbetaler de stjålne midler til puljen og får det nye token tilbage. Et andet sæt tegnebøger sælger tokenet til den samme pulje og trækker "rene" NEAR ud.

De stjålne penge flyttes aldrig direkte fra den første gruppe af tegnebøger til den anden. Puljen ligger imellem, og de modtagende tegnebøger ligner almindelige handlere, der har solgt en mememønt med fortjeneste. Elliptics medstifter Tom Robinson sagde det klart på X: Mønterne er en forklædning, men hvert trin foregår på blockchainen, og Elliptic har sporet det.

Det er svært at modsige Elliptics beviser for, at disse tokens aldrig har haft et reelt marked. Wallets i hvidvaskningsnetværket stod for hvert eneste salg af alle seks tokens og købte hver eneste enhed af fem af dem. Fem af de seks skabere blev finansieret af en tegnebog, der havde solgt den forrige token få minutter tidligere, så hver mønt betalte for den næste. Alle seks blev først solgt inden for tre timer efter lanceringen og derefter dumpet. Ingen er blevet handlet siden 8. november, og skaberne af fire af dem trak den resterende likviditet ud samme eftermiddag.

Ikke nyt, bare større

Nordkorea har gjort det før. Elliptic opdagede det først efter Bybit-hacket, hvor mindst 24 millioner dollars gik gennem et værdiløst token på Tron. Denne gang nåede gruppen frem inden for få dage. Et Tron-token dukkede op den 2. november, og den 3. november blev stjålne SOL byttet til Solana-tokens med lav handelsvolumen, inden de blev solgt for USDC. NEAR-partiet kom senere på ugen.

Meme-coins er en god dækning, fordi der lanceres tusindvis hver dag, og de fleste forsvinder inden for få dage. En tegnebog med et nyt tegneserietoken i sin historik ligner en spekulant, ikke en hvidvasker, medmindre nogen tjekker, hvor pengene kommer fra.

Et sideshow til hovedmaskinen

Elliptic gør det klart, at dette lag ikke skjuler noget. Det bremser efterforskerne, og i et hvidvaskningskapløb er forsinkelse netop pointen.

Den større operation ser anderledes ud. Elliptics opgørelse dækker nu mere end 20.000 tegnebøger på tværs af 16 blockchains og mindst 36 tjenester. Tidligt på ugen oplyste firmaet, at midlerne sprang over til en ny tegnebog cirka hvert 25. sekund, og Robinson beskrev det som hvidvaskning på autopilot, sandsynligvis automatiseret med menneskelig overvågning. Elliptics egen advarsel var, at statiske lister og engangskontroller vil overse en klynge som denne. Chainalysis pegede også på automatiseringen bag hvidvaskningen.

Der er også andre veje åbne. Omkring 7.000 ETH, svarende til cirka 15 millioner dollars, er siden søndag strømmet ind i Tornado Cash. Omkring 3.000 BTC, svarende til ca. 225 millioner dollar, ligger nu på nye bitcoin-adresser, og nogle af de stjålne midler er blevet flyttet via THORChain, hvilket podcastere allerede diskuterede i forbindelse med FBI's tilskrivning.

En del af byttet fik aldrig chancen. FBI oplyser, at 2,85 milliarder dollar blev indefrosset på blockchainen af Tether, Circle, Ripple, Arbitrum og Optimism. TRM anslår tallet til nærmere 2,7 milliarder dollar, og Binance angiver omkring 3 milliarder dollar. Elliptic rapporterede også, at 11,8 millioner stjålne NEAR, til en værdi af omkring 43,7 millioner dollar, endnu ikke er blevet flyttet.

En advarsel fra dem, der lever af at overvåge Nordkorea. Michael Barnhart fra DTEX fortalte Recorded Future News, at TraderTraitor har en tendens til hurtigt at overføre penge til kinesiske hvidvaskningsnetværk, så noget af det, analytikerne ser på blockchainen, kan være disse netværk i aktion. Elliptic betegner stadig aktiviteten omkring memecoins som nordkoreansk.

Hvad compliance-teams bør holde øje med

Elliptics råd er at holde op med at betragte midler i likviditetspuljer som rene som udgangspunkt. En tegnebog, der er finansieret via en swap, kan være to trin væk fra stjålne penge. Advarselstegnene er et token, der er oprettet inden for de seneste par dage, en pool med kun en håndfuld handlere, tegnebøger, der kun køber eller kun sælger, samt nye tegnebøger, der er finansieret med runde beløb kort før handlen starter. Virksomheden offentliggør også en gratis blokliste over adresser fra Binance-hacket og oplyser, at den løbende opdateres.

Foreløbig er det tal, man skal holde øje med, de uberørte 11,8 millioner NEAR.