Een groot deel van de crypto die bij Binance werd buitgemaakt, is nog altijd niet witgewassen. Volgens blockchain-analysebedrijf Elliptic gaat het om 3,1 miljard dollar die de daders tot nu toe niet hebben omgezet. Opvallend is vooral dat het leeuwendeel van de gestolen ETH en Bitcoin nog stilstaat.
Bijna de helft van de buit ligt nog stil
Elliptic schrijft de aanval in een uitgebreide analyse toe aan Noord-Korea en becijfert de totale buit op 6,4 miljard dollar. Daarvan is dus bijna de helft nog niet door het witwascircuit gegaan. De aanvallers hebben inmiddels meer dan 20.000 wallets ingezet, verspreid over 16 verschillende blockchains.
Dat brede netwerk van adressen dient vooral om sporen te vertroebelen. Door geld over duizenden wallets en meerdere ketens te verdelen, wordt het voor onderzoekers en beurzen lastiger om de stroom van begin tot eind te volgen. Toch blijft de kern van het vermogen, de ETH en Bitcoin, grotendeels op zijn plek.
Waarom hackers wachten met verkopen
Dat een deel van de buit stil blijft staan, is geen ongebruikelijk patroon. Noord-Koreaanse hackersgroepen, vaak samengevat onder de naam Lazarus, staan erom bekend dat ze geduldig te werk gaan. Witwassen gebeurt in fases: eerst wordt geld over veel adressen verspreid, daarna volgt het wisselen tussen ketens en munten, en pas aan het eind wordt het via handelsplatformen of tussenpersonen omgezet in bruikbaar geld.
Haast werkt in dat proces tegen de daders. Grote, plotselinge bewegingen vallen direct op bij analysebedrijven en beurzen, die verdachte adressen kunnen markeren en tegoeden kunnen bevriezen. Wachten tot de aandacht wegebt, vergroot de kans dat het geld later ongemerkt door de mazen glipt.
Transparantie van de blockchain als wapen
Dat Elliptic dit zo nauwkeurig kan volgen, komt door de openheid van publieke blockchains. Elke transactie op het Bitcoin-netwerk is voor iedereen in te zien, al staan er geen namen bij. Voor wie wil begrijpen wat Bitcoin is en hoe het netwerk werkt, is dat een wezenlijk punt: het systeem is pseudoniem, niet anoniem.
Die eigenschap maakt grote buitbedragen in feite moeilijk verhandelbaar. Zodra de adressen bekend zijn, kunnen beurzen wereldwijd ze op een zwarte lijst zetten. In Europa zijn aanbieders onder de MiCA-regels en de zogeheten travel rule verplicht om de herkomst van transacties te controleren, wat de ruimte voor witwassen via gereguleerde platformen verder beperkt.
Risico van een latere verkoopgolf
Voor de markt vormt de stilliggende buit een latent aanbodrisico. Wordt een groot deel van de ETH en Bitcoin in korte tijd omgezet, dan kan dat lokaal verkoopdruk geven, vooral op minder liquide handelsplekken. Eerdere ervaringen laten echter zien dat Noord-Koreaanse groepen hun buit doorgaans geleidelijk afbouwen, juist om niet op te vallen.
De belangrijkste vraag is daarom niet of het geld gaat bewegen, maar hoe snel en via welke routes. Elliptic en andere analysebedrijven houden de betrokken adressen nauwlettend in de gaten. Hoeveel van de resterende 3,1 miljard dollar uiteindelijk alsnog kan worden bevroren, hangt af van hoe snel beurzen en dienstverleners reageren zodra de eerste grote transacties zichtbaar worden.
