La firma de análisis blockchain Elliptic ha identificado una técnica de lavado inusual utilizada por los hackers responsables del hackeo de Binance de 6,430 millones de dólares: en lugar de mover los activos robados directamente entre wallets, los atacantes acuñaron sus propias meme coins y las comerciaron a través de pools de liquidez de exchanges descentralizados (DEX) antes de abandonar por completo los tokens.

El FBI ha atribuido el ataque al grupo TraderTraitor de Corea del Norte, una designación que las autoridades estadounidenses usan para actores cibernéticos patrocinados por el Estado norcoreano que atacan la industria de las criptomonedas. Según el análisis de Elliptic, los tokens recién creados actuaron como un buffer sacrificial entre las wallets que custodiaban la cripto robada y las direcciones que finalmente recibieron los fondos. La técnica sigue siendo detectable en cadena, pero puede retrasar a los investigadores y complicar los controles de cumplimiento.

Seis meme coins movieron 117,000 NEAR robados

La red de lavado, establecida entre el 5 y el 11 de noviembre, produjo al menos seis tokens en la blockchain de NEAR: FUK, OLCCL, MEILI, MMLI, DABI y SINU, según Elliptic. La firma estima que aproximadamente 117,000 NEAR, con un valor de alrededor de 430,000 dólares, fueron procesados a través de pools de liquidez vinculados a estos tokens. Crear cada token costó unos 90 dólares, lo que hace que la capa intermedia sea barata de montar en comparación con las sumas que se movían.

Las monedas prácticamente no tuvieron trading genuino en el mercado. Elliptic determinó que wallets que parecían formar parte de la operación de lavado realizaron todas las ventas de los seis tokens y casi todas las compras. La mayoría de los tokens se vendieron y se desechó en cuestión de horas, y no ha habido actividad de trading desde el 8 de noviembre, un día después de que Elliptic publicara su análisis.

Cómo funciona la ruta de tokens desechables

El esquema inserta una capa de lavado entre la cripto robada y la wallet que finalmente recoge los fondos. Primero, los atacantes crean un nuevo token y lo emparejan con un activo establecido como NEAR en un pool de liquidez de un DEX. Luego, el NEAR robado que se encuentra en una wallet se usa para comprar el token recién acuñado. Posteriormente, una wallet distinta vende ese token de vuelta al pool y retira NEAR.

Como resultado, los activos robados nunca se mueven directamente desde la primera wallet hasta la dirección que los recoge. A primera vista, la wallet receptora parece haber adquirido fondos simplemente comerciando una meme coin poco conocida, y como los DEX permiten que cualquier wallet comercie con tokens recién emitidos sin verificación de intermediarios, dicha dirección puede pasar por un trader ordinario de meme coins hasta que se reconoce el patrón.

Sin embargo, el rastro en la blockchain sigue siendo visible. Elliptic indicó que la estrategia genera fricción para los investigadores, en lugar de hacer que los fondos robados sean imposibles de rastrear.

El lavado del hackeo de Binance abarca múltiples cadenas

La actividad en NEAR es solo un componente de una operación de lavado mucho más grande en torno al hackeo de Binance. Elliptic ha rastreado los fondos robados a través de más de 20,000 wallets, en 16 blockchains, con la participación de al menos 36 servicios y alrededor de 65,000 transacciones. La firma reportó aproximadamente 3,000 millones de dólares en direcciones que cree están vinculadas a fondos robados.

Enfoques comparables basados en tokens también se han implementado en otros sistemas blockchain, como Tron y Solana. Además, Elliptic vinculó la técnica al hackeo de Bybit de 2025, en el que presuntos ladrones afiliados a Corea del Norte canalizaron más de 24 millones de dólares a través de un token ilusorio lanzado en la red Tron. Al repetirse en incidentes y cadenas distintas, la técnica se ha convertido en un patrón reconocible que las herramientas de detección pueden diseñarse para identificar, y cualquier movimiento futuro de los aproximadamente 3,000 millones de dólares rastreados seguiría siendo visible en cadena.

Para los equipos de cumplimiento cripto ha surgido una nueva señal de alerta: fondos que ingresan al sistema desde un pool de liquidez de un exchange descentralizado que acaba de lanzarse y muestra un volumen de trading mínimo. Esa señal proviene de los mismos datos públicos en cadena que Elliptic utilizó para rastrear la operación: los tokens acuñados para romper el vínculo directo entre wallets ahora también funcionan como marcadores que el monitoreo automatizado puede detectar.