I riciclatori nordcoreani dell’hack di Binance hanno cominciato a coniare memecoin proprie su NEAR e a scambiarle soltanto tra loro: lo ha comunicato lunedì 9 novembre la società di analisi blockchain Elliptic. Sei token usa e getta, creati tra smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il 5 e il 7 novembre, hanno portato circa 117.000 NEAR (intorno a 430.000 dollari) di fondi rubati da un gruppo di wallet a un altro, secondo l’analisi di Elliptic. Nessuno dei sei è stato scambiato dopo l’8 novembre.
La somma è minuscola rispetto ai 6,43 miliardi di dollari che Elliptic conta come rubati a Binance il 29 ottobre. A fare notizia è il metodo. Elliptic aveva visto questo trucco per la prima volta dopo il furto a Bybit del 2025, e il suo ritorno nel riciclaggio dell’hack di Binance mostra che il gruppo chiamato TraderTraitor da Elliptic e dall’FBI riusa ciò che ha funzionato. La parte più grossa dei NEAR rubati, circa 11,8 milioni di token, non si era ancora mossa quando Elliptic ha pubblicato.
L’attacco in sé è nel nostro articolo sull’hack di Binance da 6,4 miliardi di dollari, l’attribuzione nel pezzo sull’FBI che indica TraderTraitor.
Come funziona il riciclaggio dell’hack di Binance con i memecoin su NEAR
Lo schema poggia su un pool di liquidità di un exchange decentralizzato: il fondo comune di due token che permette a chiunque di scambiare l’uno con l’altro a un prezzo fissato dal saldo del fondo stesso. Elliptic descrive il ciclo in quattro passaggi:
- I riciclatori creano un nuovo memecoin e lo abbinano a NEAR in un pool di un exchange decentralizzato. Crearne uno è costato circa 25 NEAR, cioè 90 dollari circa, stando a Elliptic.
- I wallet «di acquisto», finanziati con NEAR rubati, versano quei NEAR nel pool e ricevono il nuovo token.
- Wallet «di raccolta» separati rivendono il token al pool e ritirano NEAR.
- Il token viene abbandonato. Secondo Elliptic, ognuno ha avuto la stessa vita: creato, scambiato intensamente nel giro di poche ore con NEAR rubati, poi lasciato.
Il punto sta nel vuoto che c’è nel mezzo. «In nessun momento i fondi rubati passano direttamente da un wallet di acquisto a un wallet di raccolta, perché in mezzo c’è il pool», ha scritto Elliptic, citata da The Block. Su un block explorer, i wallet di raccolta sembrano trader che hanno comprato presto una monetina e l’hanno rivenduta in guadagno.
Elliptic aggiunge un dettaglio che aiuta la copertura: i wallet di acquisto e di raccolta hanno nomi casuali, generati da un’app di wallet molto diffusa, quindi i nomi non li collegano. A collegarli è il finanziamento. Secondo Elliptic, i NEAR rubati entrati in ciascun token corrispondevano a quelli usciti.
Sei token in tre giorni, tutti fermi dall’8 novembre
Elliptic ha indicato i sei ticker e l’ora di creazione di ciascuno. Il primo, FUK, è comparso alle 00:25 UTC del 5 novembre; l’ultimo, SINU, alle 10:06 UTC del 7 novembre. Per i quattro token del 6 novembre, Elliptic dà un’unica finestra e non un’ora per ciascuno.
| Token | Creato (UTC) | Cosa riferisce Elliptic |
|---|---|---|
| FUK | 5 nov, 00:25 | L’unico con acquirenti esterni: piccoli acquisti il primo giorno, meno dell’1% del suo volume |
| OLCCL | 6 nov, tra le 07:19 e le 14:27 | Ogni vendita fatta dalla rete di riciclaggio |
| MEILI | 6 nov, tra le 07:19 e le 14:27 | Ogni vendita fatta dalla rete di riciclaggio |
| MMLI | 6 nov, tra le 07:19 e le 14:27 | Un wallet che compra e un wallet che vende |
| DABI | 6 nov, tra le 07:19 e le 14:27 | Un wallet che compra e un wallet che vende |
| SINU | 7 nov, 10:06 | Un wallet che compra e un wallet che vende |
La prova che i token siano nati per riciclare sta nello schema degli scambi. Wallet della rete di riciclaggio hanno fatto ogni vendita di tutti e sei i token e hanno comprato ogni unità di cinque. Cinque dei sei creatori erano stati finanziati da un wallet che, tra 2 e 13 minuti prima del nuovo lancio, stava vendendo un token precedente della serie. Ogni token è stato venduto per la prima volta entro tre ore dalla creazione, e almeno tre quarti dei suoi scambi sono avvenuti nell’arco di un giorno.
«I riciclatori hanno creato sei di questi token e li hanno scambiati solo tra loro», ha dichiarato a CoinDesk Tom Robinson, cofondatore e chief scientist di Elliptic.
I loghi erano il solito repertorio da memecoin: una scimmia con un fiocco rosa, un’anatra davanti a una bandiera americana, uno scimpanzé, una volpe, uno stemma d’oro in fiamme e un’immagine di Elon Musk sotto lo striscione «Elon 2028 President». Elliptic precisa che nulla indica un legame di Musk con questi token. Nel pomeriggio dell’8 novembre i creatori di quattro token avevano ritirato la liquidità rimasta nei loro pool.
Poi il denaro ha lasciato NEAR. Quasi la stessa somma entrata, circa 117.000 NEAR, è uscita dai wallet di raccolta poco dopo, in gran parte verso stablecoin o attraverso un bridge cross-chain, secondo Elliptic. La società non ha detto quale stablecoin né quale bridge.
430.000 dollari su 6,43 miliardi: un ritardo, non un travestimento
In proporzione, la strada dei memecoin ha trasportato meno di un centesimo dell’1% del furto. Elliptic non la presenta come un modo per nascondere il denaro. Con le sue parole, la tecnica «non nasconde i fondi, piuttosto rallenta chi li traccia».
Ogni scambio resta pubblico sulla blockchain di NEAR. Ciò che i riciclatori comprano è tempo: un analista deve accorgersi che un token è finto, mappare i wallet intorno e segnalare gli indirizzi di raccolta prima che gli exchange li aggiungano alle liste di blocco. Elliptic riassume la logica in una frase: «il riciclaggio è una corsa a spostare i fondi prima che vengano segnalati». I token costano poco, quindi i riciclatori possono farne molti e gettare ciascuno dopo l’uso. Elliptic lo definisce uno dei diversi strati a basso costo che i riciclatori nordcoreani sovrappongono.
Elliptic tiene anche a scagionare gli strumenti. Dice che lo strumento di lancio dei token, l’exchange e l’app di wallet coinvolti non hanno fatto nulla di sbagliato: i riciclatori li hanno usati come qualunque altro cliente.
Il precedente è l’hack di Bybit del febbraio 2025, che Elliptic attribuisce ugualmente a TraderTraitor. Allora i riciclatori crearono su Tron un token senza valore, lo abbinarono a una stablecoin in un pool e fecero uscire i fondi con wallet nuovi. Secondo Elliptic, in questo modo si spostarono almeno 24 milioni di dollari. L’operazione di Bybit fu più grande nel complesso: circa 499.000 ETH vennero riciclati in dieci giorni, soprattutto in bitcoin, e l’incasso richiese mesi: i fondi finirono come USDT su Tron e passarono per presunti servizi di scambio over-the-counter cinesi, stando al tracker aggiornato di Elliptic.
Anche Tron ha avuto un token fatto in casa, Solana una variante diversa
NEAR non è l’unica catena dove Elliptic ha visto il metodo. Il 2 novembre ha individuato su Tron un token senza valore creato solo per riciclare, vicino al modello di Bybit. In tutto, circa 220 milioni di dollari del bottino di Binance sono passati da Tron, e secondo il conto di Elliptic ne restano lì circa 0,5 milioni.
Su Solana i riciclatori non hanno coniato nulla. Dalle 15:30 UTC del 3 novembre alle 09:07 UTC del 4 novembre, circa 725.000 SOL (intorno a 67 milioni di dollari) hanno lasciato il wallet originale del furto. Una parte è stata scambiata in token Solana «wrapped» già esistenti ma poco negoziati, poi venduta per USDC e spostata su altre catene. Circa 2.300 SOL sono finiti nel mixer Privacy Cash, ed Elliptic afferma che al 4 novembre negli indirizzi collegati ne restavano circa 430.
Dove si trova il resto dei 6,43 miliardi al 9 novembre
Il tracker di Elliptic, aggiornato alle 13:15 UTC del 9 novembre, indica 2,85 miliardi di dollari del furto come congelati o sequestrati e circa 3,0 miliardi ancora in indirizzi legati all’attaccante, soprattutto in ether e bitcoin. La somma effettivamente convertita in contanti è probabilmente trascurabile, dice la società. La quota congelata è di circa il 44%, contro circa il 3% dopo Bybit.
| Asset | Situazione secondo Elliptic (9 nov) |
|---|---|
| Ether | Mossi circa 3 milioni di dollari su 1,27 miliardi; circa 68.300 ETH in circa 830 indirizzi; circa 7.000 ETH (circa 15 milioni di dollari) inviati a Tornado Cash dall’8 novembre |
| Bitcoin | 18.270 BTC in 19 indirizzi, fermi dal 29 ottobre; circa 3.000 BTC (circa 225 milioni di dollari) convertiti da altri asset rubati; circa 130 BTC (circa 10 milioni di dollari) passati da coinjoin |
| XRP | Circa 139 milioni di XRP (circa 154 milioni di dollari) usciti dagli indirizzi dell’attaccante, soprattutto in BTC; ne restano circa 95 milioni (circa 105 milioni di dollari) |
| NEAR | Mossi circa 2 milioni di dollari su 42; circa 11,8 milioni di NEAR (circa 43,7 milioni di dollari) fermi |
| SOL | Circa 90 milioni di dollari, tutti scambiati, trasferiti con bridge o mixati; ne restano circa 430 SOL |
| Tron | Circa 220 milioni di dollari transitati; ne restano circa 0,5 milioni |
Due mosse sono nuove rispetto al fine settimana. La prima è Tornado Cash: dall’8 novembre circa 7.000 ETH sono entrati nel mixer di Ethereum, con circa 100 depositi nel pool da 10 ETH e circa 60 in quello da 100 ETH. È ancora una piccola fetta dell’ether, e i nove indirizzi di ether più grandi, che ne detengono l’89%, non si muovono dal 30 ottobre.
La seconda è THORChain. Elliptic dice che gli swap di XRP dell’attaccante attraverso il protocollo cross-chain sono ripresi dal pomeriggio dell’8 novembre, benché THORChain avesse sospeso gli scambi di XRP il 7 novembre. La sospensione precedente, più ampia, è raccontata nel nostro pezzo sullo stop agli swap di THORChain. Elliptic non ha spiegato come gli swap siano passati, e nessuno dei tre resoconti riporta un commento di THORChain.
Sulla stessa NEAR, Elliptic conta circa 412.000 NEAR (intorno a 1,5 milioni di dollari) usciti dal conto principale dei NEAR rubati il 7 novembre, parte dei circa 2 milioni spostati finora. Gli 11,8 milioni di NEAR rimasti valgono circa 43,7 milioni di dollari al prezzo di Elliptic; The Block, ai prezzi della propria pubblicazione, li ha stimati intorno a 42,7 milioni.
Cosa Elliptic ha lasciato fuori dalla sua analisi
Elliptic non ha pubblicato indirizzi di contratto né hash di transazione, e non ha nominato l’exchange decentralizzato o il launchpad usato su NEAR. Ogni cifra sui sei token poggia quindi sulla sua analisi; CoinDesk e The Block ne ripetono gli stessi numeri.
Né il rapporto di Elliptic né gli articoli di CoinDesk e The Block riportano una reazione di Binance, della NEAR Foundation o di un exchange del mondo NEAR. Elliptic non cita alcun congelamento o delisting dei sei token. I loro pool erano già vuoti o fermi quando l’analisi è uscita, il che limita ciò che un congelamento avrebbe potuto fare.
CoinDesk ha indicato il furto in 6,3 miliardi di dollari nel titolo; Elliptic e The Block usano 6,4 miliardi, e il tracker di Elliptic riporta 6,43 miliardi.
Perché chi scambia memecoin su NEAR e gli exchange devono guardare due volte
Il consiglio di Elliptic è rivolto ai team di compliance, ma descrive ciò che può incontrare qualunque utente di NEAR che scambia token giovanissimi. Il denaro che esce da un pool di liquidità non è pulito per definizione, avverte la società, soprattutto quando il token è nuovo. Ecco i segnali comparsi in questo caso:
- il token è stato creato negli ultimi giorni;
- il pool ha pochissimi trader;
- alcuni wallet soltanto comprano e altri soltanto vendono;
- wallet nuovi vengono finanziati poco prima degli scambi, spesso con importi tondi.
Qui gli acquirenti esterni hanno partecipato a un solo token, FUK, e per meno dell’1% del suo volume. Chi ha comprato in questi pool ha scambiato contro la rete di riciclaggio stessa. Elliptic mantiene una lista di blocco pubblica degli indirizzi legati all’hack di Binance e invita le società a riesaminare i depositi già approvati ogni volta che la lista si allunga.
Le prossime cifre da seguire sono gli 11,8 milioni di NEAR e i 18.270 BTC che non si sono mossi, e il ritmo dei depositi su Tornado Cash iniziati l’8 novembre.