Aproximativ 117.000 NEAR, echivalentul a circa 430.000 de dolari furați de la Binance, au trecut prin șase tokenuri fără valoare, potrivit firmei de analiză blockchain Elliptic, citată de Bitcoin Magazine. Operatorii nord-coreeni ar fi creat aceste monede digitale între 5 și 7 noiembrie 2026, folosind rezerve de tranzacționare intermediare pentru a evita transferurile directe între portofele.
Tokenurile se numesc FUK, OLCCL, MEILI, MMLI, DABI și SINU. Fiecare a fost asociat cu moneda NEAR într-un pool de lichiditate, adică o rezervă din cele două active prin care se fac schimburile.
„Majoritatea oamenilor se gândesc la tokenurile meme ca la monede de glumă ale căror prețuri urcă și coboară pe baza entuziasmului. Cei care spală bani pentru Coreea de Nord le-au găsit o altă întrebuințare”, a scris, în analiza publicată de Elliptic, dr. Tom Robinson, cofondator și cercetător-șef al firmei.
Rezerva de lichiditate separă portofelele care plătesc de cele care încasează
Elliptic descrie un circuit în patru etape:
Operatorii emit un token printr-un instrument public de lansare.
Deschid un pool de lichiditate în care îl asociază cu un activ precum NEAR sau cu un stablecoin, o monedă digitală concepută să aibă o valoare stabilă.
Dintr-un prim grup de portofele cumpără tokenul nou, plătind cu fondurile furate.
Dintr-un alt grup de portofele vând tokenul în aceeași rezervă și încasează activul cu care acesta a fost asociat.
Banii trec astfel prin pool, fără o plată directă din portofelul cumpărător către cel care încasează. Pentru cine privește superficial tranzacțiile, beneficiarii pot părea comercianți obișnuiți care au vândut un token în profit.
Urmele rămân însă publice pe blockchain, registrul tranzacțiilor. Potrivit Elliptic, etapele suplimentare încetinesc investigațiile și le oferă operatorilor timp să mute fondurile înainte ca acestea să fie semnalate.
Tokenurile au fost abandonate după câteva ore de tranzacții intense
Emiterea fiecărei monede a presupus aproximativ 25 NEAR, adică circa 90 de dolari. Costul redus permite folosirea lor pentru scurt timp și abandonarea ulterioară.
Toate cele șase au fost tranzacționate intens cu NEAR furat în primele ore. Din 8 noiembrie nu s-au mai înregistrat schimburi, iar în după-amiaza acelei zile creatorii a patru tokenuri au scos lichiditatea rămasă, arată Elliptic.
Firma a identificat și legături între lansări. În cinci cazuri, creatorii au primit finanțare de la un portofel care vânduse un token anterior cu două până la 13 minute înainte de emiterea următorului.
Conversiile în bitcoin însumează valori mult mai mari
Circuitul acestor monede face parte din mutarea fondurilor sustrase de la Binance la 29 octombrie. Platforma a evaluat furtul la 6,34 miliarde de dolari. FBI a atribuit atacul grupării nord-coreene TraderTraitor; această atribuire nu constituie, în sine, o constatare judiciară a vinovăției.
Actualizarea Elliptic identifică aproximativ 3.000 de bitcoin, cu o valoare de circa 225 de milioane de dolari, în adrese noi, după conversia altor active furate. Alte aproximativ 11,8 milioane NEAR, echivalente cu 43,7 milioane de dolari, au rămas nemișcate.
Monedele SOL sustrase au fost deja schimbate, mutate între blockchainuri sau trecute prin servicii care amestecă fondurile. Și o mare parte a traseului XRP a dus la conversii în bitcoin.
Din valoarea inițială a furtului, aproximativ 2,85 miliarde de dolari au fost înghețate. Elliptic estimează că, până acum, probabil numai o parte neglijabilă a ajuns să fie convertită în bani.
Urmărirea întregului traseu a implicat peste 20.000 de portofele, distribuite pe 16 blockchainuri, minimum 36 de servicii și cel puțin 65.000 de tranzacții.
Metoda fusese identificată și după furtul de la Bybit
Elliptic a documentat prima dată acest mecanism după atacul asupra Bybit din februarie 2025, atribuit tot TraderTraitor. Atunci, un token fără valoare emis pe Tron a fost folosit pentru mutarea a cel puțin 24 de milioane de dolari.
În urmărirea banilor de la Binance, firma a găsit aceeași metodă pe Tron. Pe Solana a observat o variantă care folosea tokenuri deja existente, dar cu puține tranzacții, în locul unor monede nou-create.
Potrivit estimărilor Elliptic, regimul nord-coreean a sustras criptomonede de peste 2 miliarde de dolari în 2025, inclusiv cele 1,46 miliarde de dolari din atacul Bybit. Totalul cunoscut al furturilor sale depășea 6 miliarde de dolari înainte de incidentul Binance.
Binance a explicat că atacul a pornit de la un interviu de angajare fals și s-a desfășurat timp de cinci luni înainte de mutarea monedelor. Firmele de analiză blockchain au legat breșa de TraderTraitor în decurs de o zi.
Pentru clienți, platforma a reluat retragerile treptat. Binance a declarat că pierderile acestora au fost acoperite din banii proprii ai companiei.
