Elliptic koppelt zes NEAR-tokens aan Binance-witwasroute

Elliptic koppelt zes zelfgemaakte NEAR-tokens aan circa 117.000 NEAR uit de Binance-diefstal, goed voor ongeveer $430.000 in de on-chain analyse van 9 november.

Een Nederlandse cryptoaanbieder die alleen de wallet controleert waar NEAR uit een pool komt, mist de stap waarin gestolen geld eerst een nieuw token kocht. In zo’n pool kunnen gebruikers het ene token tegen het andere wisselen. De herkomst van de pool en de wallets aan beide kanten horen daarom bij dezelfde screening. Een uitbetalend adres vertelt niet vanzelf welke waarde eerder door die pool ging.

Zes tokens lopen door eigen pools

Elliptic noemt zes tokens die op NEAR zijn aangemaakt: FUK, OLCCL, MEILI, MMLI, DABI en SINU. Elk token kreeg een eigen liquiditeitspool. De makers betaalden ongeveer 25 NEAR, circa $90, om een token aan te maken. De lanceringen vonden plaats van 5 tot en met 7 november.

De aankoopwallets waren volgens Elliptic gevoed met gestolen NEAR, via tussenadressen vanaf de wallet met de buit. Nadat die wallets het nieuwe token hadden gekocht, verkochten andere wallets het terug aan dezelfde pool en namen NEAR op. In totaal ging ongeveer 117.000 NEAR door de zes tokens. Vrijwel dezelfde hoeveelheid verliet de ontvangende wallets kort daarna, deels richting stablecoins en een brug naar een andere blockchain.

Sinds 8 november hebben de tokens niet meer gehandeld. Die middag haalden de makers van vier tokens de resterende liquiditeit uit hun pools.

De pool haalt de directe overdracht uit beeld

Een aankoopwallet geeft NEAR aan de pool en krijgt het nieuwe token terug. Een aparte wallet verkoopt dat token in dezelfde pool en ontvangt NEAR. Zo is er geen rechtstreekse overdracht van het gestolen NEAR-adres naar de ontvangende wallet. De blockchain registreert wel elke stap. De extra wissel maakt de geldstroom langer om na te lopen, maar wist hem niet uit.

Elliptic onderbouwt de koppeling met het handelsgedrag. Het netwerk deed alle verkopen en kocht alle eenheden van vijf tokens. Bij FUK waren er enkele externe aankopen, samen minder dan 1 procent van het handelsvolume. Bij DABI, MMLI en SINU was er één wallet die kocht en één die verkocht. Vijf van de zes tokenmakers kregen hun financiering van een wallet die twee tot dertien minuten eerder een ouder token had verkocht. De opbrengst van het ene token financierde zo de volgende lancering. Elk token werd binnen drie uur voor het eerst verhandeld en haalde minstens driekwart van zijn handelsvolume binnen één dag.

De wallet-app gaf adressen willekeurige namen, zodat hun relatie niet uit het label bleek. De tool om tokens aan te maken, de decentrale beurs en de wallet-app deden volgens Elliptic niets verkeerd. De gebruikers benutten functies die voor iedereen beschikbaar waren.

Dezelfde route duikt op andere ketens op

Elliptic plaatst de NEAR-transacties in een reeks. Na de Bybit-diefstal van 2025 verplaatsten launderers volgens de analyse ten minste $24 miljoen via een zelfgemaakte Tron-token en een pool. In de Binance-diefstal volgde volgens de analyse op 2 november een vergelijkbare tokenroute op Tron. Op 3 november liepen gestolen SOL door bestaande, dun verhandelde tokens op Solana. De NEAR-pools kwamen daarna, tussen 5 en 7 november.

Een eigen analyse van TRM Labs van 3 november beschrijft een zelfgemaakte TRON-token met één pool en aparte kopers- en verkoperswallets. TRM volgde ook een leenpool, een ontvangsttoken en opeenvolgende brugwissels. Dit is een aparte TRON-route, geen onafhankelijke bevestiging van de zes NEAR-adressen.

Binance bevestigde dat een eigen hotwallet was geraakt en ruim $6,34 miljard reserveerde om getroffen activa te dekken. Die dekking was niet hetzelfde als crypto die bij de aanvaller was teruggehaald, terwijl de route naar walletbeheer via een nep-sollicitatie, besmette code en een interne AI-tool liep. De FBI schreef de diefstal van meer dan $6 miljard toe aan TraderTraitor en riep aanbieders op transacties met de gepubliceerde adressen te blokkeren.

Screening moet de pool blijven volgen

Voor een cryptoaanbieder verschuift de controle daardoor naar de pool zelf. Elliptic waarschuwt dat een wallet met geld uit een pool maar twee wissels van gestolen NEAR verwijderd kan zijn. De analyse noemt als signalen: een token dat pas kort bestaat, een pool met weinig handelende wallets, gescheiden kopers en verkopers en wallets die vlak voor het handelen zijn gefinancierd. Als een storting uit een wissel komt, adviseert de onderzoeker na te gaan welke waarde de pool in ging, niet alleen welk adres de uitbetaling deed. Oude stortingen moeten opnieuw worden bekeken wanneer nieuwe adressen aan het spoor worden gekoppeld.

De gratis Binance-lijst van Elliptic bevat één adres per regel zonder ketenlabel en is geen algemene risico- of sanctielijst. Elliptic zegt dat de lijst wordt bijgewerkt als onderzoekers nieuwe adressen vinden. Adressen die met 0x beginnen, moeten op alle ondersteunde Ethereum-compatibele ketens worden gecontroleerd. Een adres dat niet op deze lijst staat, zegt niets over andere risico’s. De lijst is dus één invoer voor transactiescreening, geen oordeel dat een wallet veilig is.

De gemelde $430.000 is klein naast de ongeveer $6,4 miljard die Elliptic voor de Binance-diefstal noemt: minder dan 0,01 procent. Op het moment van het rapport stond volgens Elliptic nog 11,8 miljoen NEAR, ongeveer $43,7 miljoen, uit de diefstal stil. Voor organisaties die NEAR of andere digitale assets aannemen, telt daarom ook wat de pool ontving en wie hem financierde.