Hacker waschen 430.000 Dollar aus Binance-Hack über Memecoins
Hacker waschen 430.000 US-Dollar aus Binance-Diebstahl über Memecoins – Neue Methode erschwert Rückverfolgung durch Liquiditätspools
Das Wichtigste in Kürze
- Nordkoreanische Hacker waschen gestohlene Gelder aus einem Binance-Exploit über das NEAR-Netzwerk.
- Das Blockchain-Analyseunternehmen Elliptic verfolgte rund 430.000 US-Dollar durch sechs neu erstellte Memecoins.
- Die Täter nutzen dezentrale Liquiditätspools, um direkte Überweisungen zwischen Wallets zu vermeiden und Spuren zu verwischen.
- Dieselbe Vorgehensweise fand bereits beim Bybit-Diebstahl im Jahr 2025 mit einer Schadenssumme von 24 Millionen US-Dollar Anwendung.
Nordkoreanische Gruppen nutzen dezentrale Börsen zur Geldwäsche
Die Nachwirkungen des jüngsten Binance-Exploits beschäftigen die Krypto-Märkte weiterhin. Einem aktuellen Bericht des Analyseunternehmens Elliptic zufolge greifen nordkoreanische Hacker auf eine modifizierte Methode zur Geldwäsche zurück. Sie erstellen eigene, völlig wertlose Meme-Token, um die Herkunft der gestohlenen Kryptowährungen zu verschleiern. Die Täter leiten die entwendeten Mittel dabei nicht mehr auf direktem Weg zwischen verschiedenen Wallets hin und her.
Sie bedienen sich stattdessen der Liquiditätspools auf dezentralen Börsen (DEX). Dieses Vorgehen soll es forensischen Ermittlern deutlich schwerer machen, den Weg des Geldes exakt nachzuvollziehen. Die Analyse erfordert durch die zusätzlichen Zwischenschritte wesentlich mehr Zeit. Das FBI ordnet den ursprünglichen Diebstahl der von Nordkorea staatlich unterstützten Hacker-Gruppe TraderTraitor zu. Auch die ebenfalls nordkoreanische Cyber-Spionagegruppe Kimsuky setzt zunehmend auf Werkzeuge der künstlichen Intelligenz, um ihre eigenen Angriffe noch effektiver zu gestalten.
Der Geldwäsche-Prozess über neu erstellte Token im Detail
Der aktuelle Analysebericht schlüsselt die genaue Funktionsweise dieser Geldwäsche-Methode detailliert auf. Die Hacker beginnen den Prozess, indem sie über öffentlich zugängliche Token-Launch-Plattformen eine komplett neue Kryptowährung generieren. Sie kombinieren diesen neu geschaffenen Token kurz darauf in einem Liquiditätspool einer dezentralen Börse mit einem etablierten Krypto-Asset. Als legitime Gegenwerte dienen dabei in der Regel das Near Protocol (NEAR) oder ein gängiger Stablecoin.
Die Täter setzen im nächsten Schritt gezielt jene Wallets ein, auf denen sich die zuvor gestohlenen Gelder befinden. Sie kaufen mit diesen kriminellen Mitteln den frisch erstellten Meme-Token aus dem Liquiditätspool. Eine andere Gruppe von Wallets, die ebenfalls von den Hackern kontrolliert wird, verkauft exakt diese Token anschließend wieder zurück in denselben Pool.
Die Kriminellen ziehen abschließend legitime Krypto-Assets aus dem Pool ab und transferieren sie auf ihre Zieladressen. Der Liquiditätspool fungiert bei diesem gesamten Vorgang als isolierender Puffer zwischen den kaufenden und den verkaufenden Wallets. Es findet auf der Blockchain somit keine direkte Überweisung der gestohlenen Mittel zwischen den verschiedenen Adressen statt.
Kurzlebige Token mit klassischen Meme-Eigenschaften dienen als Tarnung
Zwischen dem 5. und 7. November erstellten die Hacker mindestens sechs verschiedene Memecoins auf der NEAR-Blockchain. Die Token tragen Namen wie FUK, OLCCL, MEILI, MMLI, DABI und SINU. Die Gebühren für die Erstellung jedes einzelnen Tokens beliefen sich auf etwa 25 NEAR, was einem Gegenwert von rund 90 US-Dollar entspricht.
Die visuelle und namentliche Gestaltung der Token orientiert sich stark an den typischen Gewohnheiten der Krypto-Meme-Kultur. Jeder der sechs NEAR-Token ist mit einem Logo im klassischen Memecoin-Stil ausgestattet. Die Namensgebung reicht von einfachen derben Witzen wie FUK bis hin zu Anspielungen auf bekannte Hunde-Münzen mit der Endung „-INU“.
Insgesamt flossen rund 117.000 NEAR durch diese sechs Token in den Liquiditätspools. Das entspricht einem Gesamtwert von etwa 430.000 US-Dollar. Die aufgezeichneten Transaktionen zeigten dabei ein strikt wiederkehrendes Muster. Die Token verzeichneten innerhalb weniger Stunden nach ihrer Erstellung ein ungewöhnlich hohes Handelsvolumen und wurden unmittelbar danach von den Erstellern aufgegeben. In einigen dokumentierten Fällen zogen die Täter am Ende auch die verbleibende Restliquidität komplett ab.
Taktik kam bereits bei Bybit-Diebstahl im Jahr 2025 zum Einsatz
Die von Elliptic beschriebene Vorgehensweise ist für Sicherheitsexperten nicht völlig neu. Das Blockchain-Analyseunternehmen beobachtete diese spezielle Technik bereits bei der Geldwäsche im Nachgang des Bybit-Hacks im Jahr 2025. Damals bewegten die Täter mindestens 24 Millionen US-Dollar durch einen eigens erstellten, wertlosen Token, um die gestohlenen Mittel zu waschen.
Dieser Token wurde in jenem Fall auf dem Tron-Netzwerk (TRX) generiert. Die Täter passen ihre Netzwerkauswahl offenbar flexibel an, denn Elliptic identifizierte diese Herangehensweise inzwischen auf mehreren Blockchains. Die Methode kam bereits bei TRON, NEAR und Solana (SOL) zum Einsatz. Die wiederholte und netzwerkübergreifende Nutzung zeigt, dass die nordkoreanischen Gruppen dieses Muster systematisch in den Krypto-Märkten anwenden.
Unsere Einschätzung
Der Bericht von Elliptic verdeutlicht, wie konsequent staatlich unterstützte Hacker-Gruppen ihre Verschleierungstaktiken nach großen Krypto-Diebstählen weiterentwickeln. Die Nutzung von dezentralen Liquiditätspools in Kombination mit wertlosen Memecoins durchbricht die direkte Verbindung zwischen Sender- und Empfänger-Wallets. Das erschwert die On-Chain-Analyse und verlängert den Prozess der Rückverfolgung für die Ermittlungsbehörden massiv.
Die Tatsache, dass diese Technik nach dem Bybit-Hack 2025 nun auch bei Geldern aus dem Binance-Exploit zur Anwendung kommt, belegt die Etablierung dieser Methode. Die Täter nutzen die unkomplizierte und kostengünstige Erstellung neuer Token auf öffentlichen Plattformen gezielt für ihre Struktur aus. Die Ausweitung dieser Strategie über Netzwerke wie NEAR, TRON und Solana hinweg erfordert von Analyseunternehmen und Börsenbetreibern kontinuierliche Anpassungen bei der Überwachung dezentraler Handelsplätze.
Wir haben uns strikte redaktionelle Richtlinien auferlegt und erklären unsere Testmethoden offen und verständlich. Außerdem kommunizieren wir transparent, wie unsere Arbeit finanziert wird. Diese Seite kann Tracking-Links enthalten, was unsere objektive Sichtweise aber in keiner Weise beeinflusst.
