La firma de análisis blockchain Elliptic informó que wallets vinculadas al hackeo de Binance fueron utilizadas para acuñar y comerciar seis meme tokens en NEAR, con pools de liquidez de exchanges descentralizados (DEX) empleados en un presunto esfuerzo por ocultar el flujo de fondos robados.

Elliptic y el FBI atribuyeron el robo a TraderTraitor, un grupo de ciberdelincuencia norcoreano que opera bajo el paraguas del Grupo Lazarus — una colectividad vinculada desde hace tiempo por investigadores estadounidenses a robos de criptomonedas a gran escala. Según la firma, el incidente involucró $6,43 mil millones sustraídos de Binance, el exchange de criptomonedas más grande del mundo por volumen de operaciones, el 29 de octubre de 2026, y dispersados en 11 blockchains, en lo que Elliptic describió como un compromiso sin precedentes de un solo exchange.

Seis tokens temáticos acuñados en NEAR

Entre el 5 y el 7 de noviembre de 2026, se acuñaron seis tokens en NEAR: FUK, OLCCL, MEILI, MMLI, DABI y SINU. NEAR es una blockchain de capa uno que permite la creación de tokens de bajo costo. El análisis on-chain de Elliptic encontró que los tokens llevaban logos de animales de caricatura — incluyendo un mono con moño, un pato envuelto en una bandera, un chimpancé y un zorro — junto con una imagen etiquetada "Elon 2028 President". Cada token costó aproximadamente 25 NEAR, o unos $90 en ese momento, para su acuñación.

Cómo funcionaba el presunto mecanismo de lavado

Elliptic describió el esquema como un proceso de cuatro pasos. Primero, se crea un nuevo token y un pool de liquidez de un exchange descentralizado. Luego, fondos identificados como robados ingresan desde un conjunto de wallets para comprar el token. Un conjunto separado de wallets vende el token de vuelta al pool para retirar activos. El efecto es que se rompe el vínculo on-chain directo entre los fondos originales y la wallet de salida.

La firma señaló que DABI, MMLI y SINU tenían exactamente una wallet compradora y una vendedora — un patrón que, según Elliptic, era consistente con un lavado controlado en lugar de una actividad comercial orgánica.

Toda la liquidez fue retirada el 8 de noviembre de 2026, según Elliptic. El comercio externo entre los seis tokens representó menos del 1% del volumen total, lo que reforzó la evaluación de la firma de que no eran tokens especulativos minoristas sino instrumentos diseñados para mover valor. Aproximadamente 117.000 NEAR, con un valor de unos $430.000 en ese momento, pasaron por los seis tokens.

Se reporta que la misma técnica fue empleada por primera vez durante el hackeo de Bybit en febrero de 2025 — un incidente que figura entre los mayores robos cripto registrados — cuando al menos $24 millones pasaron por un token sin valor en la red Tron. Su reaparición en el hackeo de Binance, tras el precedente de Bybit, consolida a los meme tokens caseros como una técnica de lavado repetible y no como un caso aislado — el patrón que subyace a las señales de alerta de cumplimiento que Elliptic pidió a las empresas cripto vigilar.

La actividad de lavado se extendió más allá de NEAR

Elliptic reportó que la actividad de meme coins en NEAR no fue aislada. La firma también documentó un token sin valor en Tron utilizado el 2 de noviembre, y dijo que el 3 de noviembre, SOL identificado como robado fue intercambiado por tokens de Solana de bajo volumen de negociación y luego vendido por USDC, un stablecoin respaldado por dólares emitido por Circle, añadiendo mayor complejidad al rastro a través de múltiples cadenas.

"Una capa más": por qué las meme coins complican el rastreo

Tom Robinson, cofundador de Elliptic, explicó la lógica estratégica: "Las meme coins se lanzan y se comercian por miles, y la mayoría se desvanecen en cuestión de días, así que otro token de vida corta con un logo de caricatura atrae poca atención. Una wallet cuyo historial muestra operaciones en una nueva meme coin parece un especulador en lugar de un lavador, a menos que alguien revise de dónde vino su dinero".

Robinson también delimitó los límites de la técnica: "Los meme tokens caseros son simplemente una capa más. No tanto esconden los fondos como frenan a quienes los rastrean". Las transacciones blockchain siguen siendo públicamente visibles sin importar cuántos activos intermedios atraviesen, pero cada salto añade trabajo y tiempo de investigación.

Elliptic reportó que una presunta operación de lavado más amplia se ejecutaba a una escala que hacía que la actividad de meme coins pareciera una prueba menor. El informe separado de Elliptic sobre lavado automatizado rastreó 546 transferencias desde una sola wallet que disparaba aproximadamente cada 96 segundos, moviendo entre $7 millones y $11 millones por hora sin pausa durante más de 31 horas. La firma identificó más de 20.000 wallets y 16 cadenas que, según dijo, estuvieron involucradas en la operación, la cual el FBI atribuyó formalmente a TraderTraitor.

Señales de alerta de cumplimiento

Elliptic advirtió a las empresas cripto que traten el patrón de meme coins como una señal de alerta de cumplimiento, citando tokens recién acuñados, pools de liquidez con solo un puñado de wallets, wallets que solo compran frente a wallets que solo venden, y wallets nuevas financiadas justo antes de operar en montos redondos. La firma advirtió que los fondos que llegan a través de pools de liquidez no deben tratarse como inherentemente limpios.

Fondos congelados, esfuerzos de recuperación y contexto de mercado

El co-CEO de Binance, Richard Teng, confirmó que $2,85 mil millones en fondos robados habían sido congelados o interceptados al momento del reporte de Elliptic. Unos $3,2 mil millones permanecían sin lavar en ese momento, con esfuerzos de recuperación en curso en múltiples jurisdicciones y cadenas. La respuesta de las autoridades estadounidenses recibió un reconocimiento público del liderazgo del exchange. Para los lectores que siguen la resolución de los fondos restantes, los marcadores observables son los ya registrados: nuevas confirmaciones de congelamiento o intercepción por parte del exchange y las autoridades, actualizaciones de las listas de filtrado como la blocklist que aparece abajo, y los flujos on-chain documentados en la investigación de Elliptic.

Elliptic publicó una blocklist gratuita de direcciones ilícitas del hackeo de Binance en elliptic.co/binance-hack-2026-blocklist para ayudar a exchanges, wallets y protocolos DeFi a filtrar los fondos entrantes. La firma no confirmó ni negó si agentes de IA están dirigiendo la operación; su evaluación apuntó a automatización convencional con supervisión humana en lugar de toma de decisiones autónoma por IA.

La dislocación más amplia del mercado por el hackeo siguió manifestándose en los ecosistemas de tokens semanas después del robo inicial, con NEAR cotizando a $3,62 y una capitalización de mercado de aproximadamente $4,75 mil millones al momento de la investigación de Elliptic. El episodio también recuerda que la infraestructura construida para lanzamientos legítimos de tokens — acuñación barata, pools DEX públicos y despliegue rápido de liquidez — puede ser reutilizada como herramienta de ofuscación a un costo casi nulo.

Los usuarios que busquen actualizaciones sobre la seguridad de sus cuentas deben confiar en las comunicaciones oficiales de Binance en lugar de reportes de terceros.