De daders achter de diefstal van 6,4 miljard dollar bij Binance verplaatsen inmiddels gestolen XRP en wisselen een groter deel van de buit om naar bitcoin. Toch staat volgens blockchainanalist Elliptic ruim een week na de aanval nog ongeveer 3,1 miljard dollar grotendeels onaangeroerd. Het witwassen verloopt daarmee in fases, en die fases zijn op de blockchain te volgen.
Elliptic volgt de geldstroom
Elliptic werkte vrijdag zijn analyse van de witwasroute bij. Het bedrijf schrijft de aanval toe aan Noord-Korea, dat al jaren als de meest actieve staatsactor in cryptodiefstal geldt. De nieuwste bevindingen laten zien dat de daders nu ook de XRP-posities aanspreken. Die bleven in de eerste dagen na de hack nog liggen.
Dat de omzetting juist richting bitcoin gaat, is geen toeval. Bitcoin is de meest liquide cryptomunt en wordt niet centraal uitgegeven. Bij stablecoins als USDT of USDC ligt dat anders: de uitgever kan tegoeden bevriezen. Wie gestolen geld buiten bereik van zo’n ingreep wil houden, ruilt het daarom liefst zo snel mogelijk in voor een munt zonder uitgever.
Waarom de helft nog stilligt
Dat ongeveer de helft van de buit nog niet is aangeraakt, past bij eerdere Noord-Koreaanse operaties. Grote bedragen in één keer witwassen trekt veel aandacht. Exchanges, analisten en opsporingsdiensten zetten adressen dan op zwarte lijsten, en dat maakt verzilveren lastiger. De gangbare werkwijze is daarom geduldig: gelden in delen verschuiven, verspreiden over veel adressen en via mixers of cross-chain bruggen het spoor vertroebelen.
Die traagheid heeft ook een keerzijde voor de daders. Zolang de munten op bekende adressen staan, kunnen marktpartijen ze in de gaten houden. Elke beweging wordt direct opgemerkt en gedeeld, zoals de verplaatsing van de XRP nu laat zien.
Gevolgen voor de markt
Een buit van deze omvang is ook een marktfactor. Als de daders grote hoeveelheden XRP of andere tokens verkopen om bitcoin te kopen, ontstaat er tijdelijk extra verkoopdruk op die munten. De bedragen zijn echter verspreid over meerdere handelsplekken en een langere periode. Een aanwijsbaar effect op de bredere markt is daardoor tot nu toe lastig vast te stellen. Wie wil weten hoe de onderliggende techniek zulke transacties zichtbaar maakt, vindt achtergrond in onze uitleg over wat Bitcoin is.
Voor toezichthouders onderstreept de zaak waarom regels rond het volgen van transacties steeds strenger worden. In Europa moeten cryptodienstverleners onder MiCA en de zogeheten travel rule gegevens over verzenders en ontvangers vastleggen. Dat maakt het lastiger om gestolen geld via gereguleerde platforms naar euro’s om te zetten, al blijven er ongereguleerde uitwegen bestaan.
Wat nog openstaat
De belangrijkste vraag is wat er met de resterende 3,1 miljard dollar gebeurt. Blijven die gelden lang liggen, dan houden analisten en exchanges meer tijd om adressen te markeren en eventuele bevriezingen te regelen. Gaan ze plotseling in beweging, dan begint een nieuwe en waarschijnlijk complexere witwasfase. Hoeveel van de buit uiteindelijk terug te halen is, valt op dit moment nog niet te zeggen.
