L'hacker di Binance sta riciclando parte dei 6 miliardi rubati con le memecoin: ecco come funziona il trucco

L’hacker di Binance starebbe proseguendo il processo di pulizia dei fondi rubati con tutti gli strumenti a sua disposizione, secondo quanto riportato dalla società di analisi on-chain Elliptic. Tra i vari metodi utilizzati dal gruppo Lazarus, ritenuto responsabile dell’attacco secondo l’FBI, emerge anche un sistema basato sulla creazione e la manipolazione di alcune memecoin.

Si parla comunque di cifre di poco conto rispetto all’ammontare degli asset rubati, con la maggior parte dei fondi che resta ancora parcheggiata su centinaia di wallet riconducibili agli hacker della Corea del Nord. Rimane tuttavia interessante vedere come certi strumenti iperspeculativi possano trasformarsi in veicoli per il riciclaggio di denaro, come tra l’altro già avvenuto in passato.

L’hacker di Binance al lavoro con le memecoin: l’analisi di Elliptic

Gli investigatori on-chain hanno appena scoperto che una parte dei fondi collegati all’hack di Binance sta venendo utilizzata come liquidità per creare memecoin senza alcun valore reale, spingendone i prezzi per simulare un’apparente attività di trading tra più utenti e facilitare le operazioni di riciclaggio. In che modo esattamente? Lo scopriremo tra poco.

Innanzitutto, le blockchain più interessate da questi flussi sono quelle di NEAR, Solana e Tron. In particolare, gli analisti di Elliptic avrebbero scoperto l’impiego di circa 117.000 NEAR3,73 $▲ +3,91%, pari a un controvalore di oltre 430.000 dollari, per finanziare la creazione di 6 distinte memecoin, in una finestra compresa tra il 5 e il 9 novembre.

In tutti i casi, le monete riprendono un pattern tipico da “pump and dump”, con prezzi che vengono gonfiati artificialmente per poi essere scaricati in massa da diversi indirizzi che hanno acquistato i token nelle fasi immediatamente successive al lancio.

Secondo quanto riportato da Elliptic, alcuni token creati da Lazarus avrebbero persino incluso immagini con il volto di Elon Musk accompagnate dalla scritta “Elon 2028 President”. Altre avrebbero invece ripreso immagini di animali come scimmie, volpi e anatre, replicando lo stile grafico e comunicativo utilizzato dai deployer nel comparto memecoin.

Come funziona tecnicamente il riciclaggio con le memecoin?

Il processo è in realtà molto semplice: inizialmente gli hacker creano la nuova memecoin, finanziando la pool di liquidità con gli asset rubati durante l’attacco a Binance, creando di fatto un nuovo mercato decentralizzato. Successivamente, gli stessi indirizzi acquistano le suddette monete facendo impennare i prezzi, con un movimento facilitato dalla bassa profondità di quegli scambi.

Una volta che il token è andato in trending, un secondo gruppo di indirizzi – apparentemente scollegato dai wallet dell’hacker – si precipita a vendere grandi quantità dell’asset acquistate precedentemente, facendone crollare il valore e portando gli ultimi acquirenti in perdita.

Il risultato è che le perdite registrate dal primo gruppo di indirizzi si trasformano in profitti del secondo: in pratica, i fondi rubati vengono semplicemente trasferiti da un wallet all’altro attraverso operazioni di compravendita, in modo che il valore immesso nel mercato meme venga poi recuperato da altri presunti trader profittevoli. Il processo viene poi ripetuto più volte per attirare anche investitori esterni dagli alti volumi di trading.

Un modus operandi già visto in passato

Non è la prima volta che Lazarus, ovvero l’hacker di Binance, utilizza le memecoin per questo genere di attività illecite. La stessa Elliptic ha ricordato che il modus operandi del gruppo era già emerso nel febbraio 2025, in occasione del maxi-furto ai danni di Bybit, quando gli hacker nordcoreani avevano sottratto circa 1,5 miliardi di dollari in criptovalute all’exchange.

Anche in quell’occasione, una parte dei fondi sarebbe stata movimentata attraverso memecoin create appositamente per far disperdere le tracce tra PnL positivi e negativi su centinaia di indirizzi diversi.

Esistono tuttavia anche altri metodi che si incastrano con questa tecnica, e che nei primi giorni post-furto hanno contribuito a far spostare oltre 500 milioni di dollari attraverso una combinazione di protocolli DeFi e strumenti orientati alla privacy. Nel dettaglio, questi i passaggi utilizzati finora da Lazarus per trattare i fondi provenienti da Binance:

• Prima conversione delle altcoin più piccole negli asset a maggiore capitalizzazione come $BTC, $ETH, $SOL, $TRON e $NEAR.
• Successiva frammentazione di queste monete su centinaia, se non migliaia, di indirizzi diversi.
• Deposito su protocolli come NEAR Intents, THORchain, Chainflip e Relay, nonché in vari mixer e bridge cross-chain.

In ogni caso, la blockchain resta pubblica e in determinati casi, come appunto il mescolamento di fondi tramite le memecoin, le criptovalute rimangono tracciabili, ma questo rende estremamente più difficile il lavoro degli investigatori. Inoltre, nella fattispecie di monete inviate su protocolli con protezione lato privacy, la ricostruzione può diventare ancor più complessa.