Gefälschte Token und Liquiditätspools zum Verschieben von Geldern im Zusammenhang mit dem Binance-Diebstahl verwendet

Wie neu erstellte Token zu einem Geldwäschewerkzeug wurden

Elliptic hat eine Geldwäsche-Methode identifiziert, bei der Angreifer neue Token erstellen und Liquiditätspools dezentraler Börsen nutzen, um Kryptowährungen im Zusammenhang mit dem Binance-Diebstahl zu verschieben. Anstatt Vermögenswerte direkt von einer Wallet zu einer anderen zu senden, tauschen die Betreiber sie über einen Token, den sie gerade erst eingeführt haben. Die zusätzlichen Schritte erschweren es, die in einen Pool eingehenden Gelder unmittelbar mit den später ausgezahlten Kryptowährungen in Verbindung zu bringen. Die Transaktionen bleiben jedoch auf der Blockchain verzeichnet.

Die Technik beginnt mit einem neu erstellten Token, der mit einem etablierten Vermögenswert wie NEAR oder einem Stablecoin gepaart wird. Die Betreiber fügen beide Vermögenswerte einem Pool einer dezentralen Börse hinzu und nutzen dann eine Gruppe von Wallets, um den neuen Token mit gestohlenen Geldern zu kaufen. Andere Wallets verkaufen diesen Token zurück in den Pool und erhalten dafür die gepaarte Kryptowährung. Der Pool dient somit als Vermittler zwischen den Wallets und erschwert den Transaktionspfad, ohne ihn unkenntlich zu machen.

Elliptic zufolge identifizierte das Unternehmen diesen Ansatz erstmals, als es 2025 den Weg der von Bybit gestohlenen Gelder verfolgte. In diesem früheren Fall erstellten nordkoreanische Geldwäscher einen wertlosen Token auf Tron und nutzten einen Liquiditätspool, um mindestens 24 Millionen US-Dollar zu verschieben. Kurz nach dem Binance-Diebstahl tauchte die Methode erneut auf – auf Tron, Solana und NEAR. Die Wiederholung deutet darauf hin, dass sich die Technik an verschiedene Blockchains anpassen lässt. Die vorliegenden Erkenntnisse belegen jedoch nicht, dass bei jeder damit zusammenhängenden Transaktion derselbe Weg genutzt wurde.

Ein Weg über einen Liquiditätspool verschleiert die Verbindungen zwischen Wallets

Am 2. November identifizierte Elliptic einen neu erstellten Token auf Tron, der offenbar gezielt zur Geldwäsche eingeführt worden war. Am folgenden Tag wurden gestohlene SOL gegen Wrapped- und wenig gehandelte Token getauscht, anschließend in USDC umgewandelt und auf andere Blockchains übertragen. Diese Bewegungen zeigen, dass sich die gemeldeten Aktivitäten nicht auf ein einziges Netzwerk oder einen einzelnen Vermögenswert beschränkten. Der Bericht beschreibt eine Abfolge von Swaps und Überweisungen und keine direkte Bewegung der ursprünglich gestohlenen Gelder zu einem endgültigen Ziel.

Die gemeldeten Aktivitäten auf NEAR veranschaulichen am deutlichsten, wie der Mechanismus funktionierte. Zwischen dem 5. und dem 7. November erstellten die Angreifer sechs Token namens FUK, OLCCL, MEILI, MMLI, DABI und SINU. Jeder Token wurde in einem eigenen Liquiditätspool mit NEAR gepaart. Die Erstellung jedes Tokens kostete etwa 25 NEAR beziehungsweise rund 90 US-Dollar – vergleichsweise wenig angesichts des Werts, der später über die sechs Pools geleitet wurde.

Zusammen wurden die sechs Token genutzt, um rund 117.000 NEAR im Wert von etwa 430.000 US-Dollar zu verschieben. Elliptic zufolge hatten Wallets, die die Token kauften, zuvor Gelder aus gestohlenen NEAR erhalten, während später fast derselbe Betrag über separate Wallets wieder auftauchte. Ein Großteil des abgezogenen Werts wurde in Stablecoins umgewandelt oder über eine Cross-Chain-Bridge geleitet. Diese Abfolge liefert Ermittlern erkennbare Verbindungen, auch wenn die verschiedenen Wallets und Umwandlungsschritte den Weg komplexer machen.

Sechs NEAR-Token legen eine koordinierte Operation offen

Auch das Handelsmuster unterschied die Aktivitäten von der üblichen Marktteilnahme. Fast alle Käufe und Verkäufe wurden von Wallets abgewickelt, die mit der Operation verbunden waren, statt von einer breiten Gruppe unabhängiger Händler. Bei drei Token – DABI, MMLI und SINU – gab es jeweils nur ein kaufendes und ein verkaufendes Wallet. Kurz nach dem Start wurde intensiv mit den Token gehandelt, danach wurden sie aufgegeben. Laut Elliptic wurde seit dem 8. November mit keinem der sechs Token mehr gehandelt.

Ermittler fanden außerdem einen Zusammenhang zwischen aufeinanderfolgenden Token-Launches: Die Erlöse aus früheren Token wurden zur Finanzierung der Erstellung neuerer Token verwendet. Dieser Befund verbindet die Operation mit den sechs Token und deutet darauf hin, dass die Pools keine voneinander unabhängigen Experimente waren. Er hilft auch zu erklären, wie Betreiber den Ansatz wiederholen können: Geringe Erstellungskosten und die Wiederverwendung zurückgeflossener Erlöse können weitere Launches ermöglichen. Aus den verfügbaren Angaben geht jedoch weder hervor, um welche Wallets es sich sämtlich handelt, noch wohin letztlich alle Gelder gelangten.

Die zentrale Einschränkung dieser Methode besteht darin, dass sie die Nachverfolgung erschwert, statt Spuren zu verwischen. Durch die Swaps in den Pools und die zwischengeschalteten Wallets lässt sich der Zusammenhang zwischen eingehenden gestohlenen Vermögenswerten und ausgehender Kryptowährung nur mit größerem Zeitaufwand herstellen. Die Transaktionen hinterlassen jedoch weiterhin einen Eintrag auf der Blockchain. Elliptic zufolge können Ermittler den Geldflüssen weiterhin folgen. Für Teams, die Transaktionen nachverfolgen, besteht die praktische Herausforderung darin, zusammenhängende Aktivitäten über Wallets, Token-Kontrakte, Pools und mitunter auch Blockchain-Bridges hinweg zu interpretieren.

Die Spur bleibt sichtbar, doch die Compliance-Risiken bestehen fort

Die gemeldeten 430.000 US-Dollar, die über die sechs NEAR-Token geleitet wurden, machen nur einen Teil der in der Untersuchung thematisierten Gelder aus. Elliptic schätzt, dass noch rund 11,8 Millionen NEAR im Wert von etwa 43,7 Millionen US-Dollar unbewegt sind. Diese Zahl bezeichnet den Betrag, der dem Unternehmen zufolge nicht bewegt worden war, und nicht einen Betrag, für den nachgewiesen wurde, dass er die sechs Pools durchlaufen hat. Diese Unterscheidung ist wichtig: Die Token-Operation ist ein dokumentierter Ausschnitt der Aktivitäten, aber keine vollständige Darstellung der gestohlenen Gelder.

Elliptic hat Börsen und Compliance-Teams davor gewarnt, Kryptowährungen, die sie aus Liquiditätspools erhalten, automatisch als legitim einzustufen. Der Bericht nennt ausdrücklich mehrere Warnsignale, die überprüft werden sollten: neu erstellte Token, Pools mit sehr wenigen teilnehmenden Wallets und Konten, die kurz vor Beginn des Handels aufgeladen wurden. Keines dieser Merkmale allein wird als schlüssiger Beweis für Geldwäsche beschrieben. Zusammen mit Transaktionsverbindungen zu gestohlenen Vermögenswerten können sie Compliance-Teams jedoch dabei helfen, zu entscheiden, welche Aktivitäten genauer untersucht werden sollten.

In den veröffentlichten Ergebnissen bleiben wichtige Fragen offen. Sie geben weder an, welcher Anteil des gesamten Binance-Diebstahls über diese Methode abgewickelt wurde, noch wohin letztlich alle Erlöse geflossen sind oder ob die verbleibenden 11,8 Millionen NEAR bewegt werden. Ebenso wenig wird behauptet, dass jeder neu gestartete Token oder Pool mit wenigen Teilnehmern illegal ist. Die Untersuchung belegt jedoch etwas Engeres, aber Praktisches: Token-Swaps können die Zuordnung erschweren, während Wallet-Muster und der öffentliche Transaktionsverlauf Analysten und Börsen weiterhin Anhaltspunkte für ihre Einschätzung liefern.

Quelle: CryptoPotato