Elliptic: Nordkorea wäscht Binance-Beute über eigene Memecoins

Die Angreifer hinter dem Binance-Hack legen nach einer Analyse von Elliptic eigene Wegwerf-Token an, um gestohlene Coins durch Liquiditätspools zu schleusen. Auf NEAR liefen so seit dem 5. November rund 117.000 NEAR, etwa 430.000 Dollar. Gemessen an der Beute ist das wenig, und die Spur bleibt nach Elliptic auf der Blockchain sichtbar.

Die Analyse von Elliptic-Mitgründer Tom Robinson erschien am Montag und knüpft an die Auswertung vom Wochenende an, nach der die Angreifer gestohlene Altcoins in rund 2.300 Bitcoin getauscht hatten. Neu ist der Weg über selbst gebaute Memecoins, und Elliptic rechnet den Hack, den Binance selbst auf 6,3 Milliarden Dollar Schaden schätzt, mit 6,4 Milliarden Dollar der nordkoreanischen Gruppe TraderTraitor zu.

Die Angreifer kaufen ihre eigenen Token und verkaufen sie an sich selbst zurück

Das Verfahren kommt nach der Darstellung von Elliptic mit vier Schritten aus:

• Die Angreifer legen mit einem öffentlichen Werkzeug einen neuen Token an.
• Sie paaren ihn auf einer dezentralen Börse in einem Liquiditätspool mit einem echten Coin wie NEAR oder einem Stablecoin.
• Eine Gruppe von Wallets zahlt gestohlene Coins in den Pool und erhält dafür den neuen Token.
• Eine zweite Gruppe verkauft den Token in denselben Pool zurück und zieht den echten Coin ab.

Zwischen Absender und Empfänger steht damit immer der Pool. Von außen sehen die Empfänger aus wie Händler, die einen Token mit Gewinn verkauft haben.

Auf NEAR entstanden binnen drei Tagen sechs Wegwerf-Token

Am 2. November fand Elliptic einen solchen Token auf Tron. Tags darauf tauschten die Angreifer gestohlene SOL in wenig gehandelte, bereits bestehende Token auf Solana. Diese verkauften sie gegen USDC und schickten das Geld auf andere Blockchains.

Am deutlichsten zeigt sich das Muster auf NEAR. Dort legten die Angreifer am 5. November um 0:25 Uhr UTC den ersten Token an, am 6. November vier weitere und am 7. November um 10:06 Uhr UTC den sechsten. Jeder kostete nach Elliptic rund 25 NEAR, etwa 90 Dollar. Die Logos ahmen gängige Memecoins nach, von einem Affen mit rosa Schleife bis zu einem Bild von Elon Musk, der nach Elliptic nichts mit den Token zu tun hat.

Seit dem 8. November wurde keiner der sechs mehr gehandelt.

Dass es um Geldwäsche geht, belegt Elliptic an drei Beobachtungen. Außer dem Netz der Angreifer kaufte praktisch niemand, Fremdkäufe machten beim ersten Token weniger als ein Prozent aus. Jeder neue Token wurde mit dem Erlös des vorigen bezahlt, zwei bis 13 Minuten vor dem Start. Und die Menge NEAR, die hineinging, kam fast genau so wieder heraus.

Robinson hält das Verfahren für billig, aber nicht für ein Versteck. “It does not hide the funds so much as slow down the people tracing them”, schreibt er: Die Token verbergen das Geld nicht, sie bremsen die Ermittler, denn Geldwäsche sei ein Wettlauf, das Geld zu bewegen, bevor es markiert wird.

Elliptic rät Börsen und Zahlungsdiensten deshalb, Guthaben aus einem Liquiditätspool nicht automatisch als sauber zu behandeln, vor allem wenn frisch angelegte Token im Spiel sind. Folgen die Börsen dem Rat, gerät auch in eine Herkunftsprüfung, wer Coins aus einem solchen Pool einzahlt. Rund 11,8 Millionen NEAR aus dem Hack, nach Elliptic etwa 43,7 Millionen Dollar, haben die Angreifer noch gar nicht bewegt.