Token fasulli e pool di liquidità usati per trasferire fondi collegati al furto di Binance

Come i token appena creati sono diventati uno strumento di riciclaggio

Elliptic ha individuato un metodo di riciclaggio in cui gli aggressori creano nuovi token e usano pool di liquidità di exchange decentralizzati per trasferire criptovalute collegate al furto di Binance. Invece di inviare gli asset direttamente da un wallet all'altro, gli operatori li scambiano attraverso un token appena lanciato. I passaggi aggiuntivi rendono meno immediato collegare i fondi immessi in un pool alle criptovalute prelevate in seguito, anche se le transazioni restano registrate on-chain.

La tecnica inizia con un token appena creato, abbinato a un asset consolidato come NEAR o una stablecoin. Gli operatori aggiungono entrambi gli asset a un pool di exchange decentralizzato, poi usano un gruppo di wallet per acquistare il nuovo token con fondi rubati. Wallet separati rivendono il token al pool e ricevono in cambio la criptovaluta abbinata. Il pool funge quindi da intermediario tra i wallet, complicando il percorso delle transazioni senza farlo scomparire.

Elliptic afferma di aver individuato per la prima volta questo approccio seguendo i fondi rubati a Bybit nel 2025. In quel caso precedente, riciclatori nordcoreani hanno creato su Tron un token privo di valore e hanno utilizzato un pool di liquidità per trasferire almeno 24 milioni di dollari. Il metodo è ricomparso poco dopo il furto ai danni di Binance, sulle reti Tron, Solana e NEAR. Il ripetersi di questa tecnica suggerisce che possa essere adattata a diverse blockchain, anche se i risultati forniti non dimostrano che tutte le transazioni correlate abbiano seguito lo stesso percorso.

Un percorso basato su pool nasconde i collegamenti tra i wallet

Il 2 novembre, Elliptic ha individuato su Tron un token appena creato che sembrava essere stato lanciato appositamente per il riciclaggio. Il giorno successivo, i SOL rubati sono stati scambiati con token wrapped e poco scambiati, poi convertiti in USDC e trasferiti su altre blockchain. Questi movimenti mostrano che l'attività segnalata non era limitata a una sola rete o a un solo asset. La ricostruzione descrive una sequenza di scambi e trasferimenti, non un passaggio diretto dei fondi rubati inizialmente a una destinazione finale.

Le attività segnalate su NEAR forniscono i dettagli più chiari sul funzionamento del meccanismo. Dal 5 al 7 novembre, gli aggressori hanno creato sei token chiamati FUK, OLCCL, MEILI, MMLI, DABI e SINU. Ogni token è stato abbinato a NEAR in un proprio pool di liquidità. Creare ciascun token è costato circa 25 NEAR, pari a circa 90 dollari: una cifra relativamente contenuta rispetto al valore successivamente trasferito attraverso i sei pool.

Nel complesso, i sei token sono stati utilizzati per trasferire circa 117.000 NEAR, per un valore approssimativo di 430.000 dollari. Elliptic afferma che i wallet utilizzati per acquistare i token avevano ricevuto fondi provenienti da NEAR rubati, mentre in seguito è riemersa una somma quasi equivalente tramite wallet distinti. Gran parte del valore prelevato è stata convertita in stablecoin o inviata attraverso un bridge cross-chain. Questa sequenza offre agli investigatori collegamenti identificabili, anche se la varietà dei wallet e i passaggi di conversione rendono il percorso più articolato.

Sei token NEAR rivelano un’operazione coordinata

Anche il modello di trading distingueva questa attività dalla normale partecipazione al mercato. I wallet collegati all’operazione gestivano quasi tutti gli acquisti e le vendite, anziché coinvolgere un ampio gruppo di trader indipendenti. Tre token — DABI, MMLI e SINU — avevano ciascuno un solo wallet acquirente e un solo wallet venditore. I token hanno registrato un’intensa attività di trading poco dopo il lancio, per poi essere abbandonati; secondo Elliptic, nessuno dei sei ha registrato ulteriori scambi dall’8 novembre.

Gli investigatori hanno inoltre individuato un legame tra i lanci di token successivi: i proventi dei token precedenti sono stati usati per finanziare la creazione di quelli più recenti. Questa scoperta collega l’operazione dei sei token e indica che i pool non erano semplici esperimenti senza legami tra loro. Aiuta anche a spiegare come gli operatori possano ripetere questo approccio: i bassi costi di creazione e il riutilizzo dei proventi recuperati possono sostenere ulteriori lanci. Tuttavia, le informazioni disponibili non identificano tutti i wallet né stabiliscono la destinazione finale di tutti i fondi.

Il limite principale di questa tecnica è che aggiunge complessità, anziché cancellare le prove. Gli swap nei pool e i wallet intermedi rendono più laborioso collegare gli asset rubati in entrata alle criptovalute in uscita, ma le transazioni lasciano comunque una traccia sulla blockchain. Elliptic afferma che gli investigatori possono continuare a seguire i fondi. Per i team che si occupano di tracciamento, la sfida pratica consiste nell’interpretare le attività collegate tra wallet, contratti di token, pool e, in alcuni casi, bridge tra blockchain.

La traccia resta visibile, ma i rischi di conformità persistono

I 430.000 dollari transitati, secondo quanto riferito, attraverso i sei token NEAR rappresentano solo una parte dei fondi menzionati nell’indagine. Elliptic stima che circa 11,8 milioni di NEAR, per un valore approssimativo di 43,7 milioni di dollari, siano ancora fermi. Questa cifra indica l’importo che, secondo la società, non è stato movimentato, non un importo che risulta essere passato attraverso i sei pool. La distinzione è importante: l’operazione con i token è una parte documentata dell’attività, non una ricostruzione completa dei fondi rubati.

Elliptic ha avvertito gli exchange e i team di compliance di non considerare automaticamente legittime le criptovalute ricevute dai pool di liquidità. La fonte indica specificamente diversi segnali d’allarme da verificare: token appena creati, pool con pochissimi wallet partecipanti e account finanziati poco prima dell’inizio delle operazioni. Nessuna di queste caratteristiche, da sola, viene descritta come prova conclusiva di riciclaggio. Tuttavia, insieme ai collegamenti tra le transazioni e gli asset rubati, possono aiutare i team di compliance a decidere quali attività meritino un esame più approfondito.

Le conclusioni riportate lasciano aperte importanti questioni. Non specificano quale quota del furto complessivo ai danni di Binance sia stata instradata attraverso questo metodo, dove siano finiti tutti i proventi né se i restanti 11,8 milioni di NEAR verranno trasferiti. Non affermano neppure che ogni token appena lanciato o pool con pochi partecipanti sia illecito. Ciò che l’indagine dimostra è più circoscritto, ma concreto: gli swap di token possono rendere più difficile attribuire le transazioni, mentre gli schemi dei wallet e la traccia pubblica delle transazioni continuano a fornire agli analisti e agli exchange elementi da valutare.

Fonte: CryptoPotato