La firma de análisis de blockchain Elliptic rastreó cómo los fondos robados de Binance circularon a través de seis memecoins creados por los propios delincuentes en la blockchain de NEAR, en un esquema que hizo que las billeteras de lavado aparentaran ser traders rentables. Los hallazgos, publicados en una investigación del 9 de noviembre, constituyen el informe más reciente de la firma sobre el robo, en el que unos 6.400 millones de dólares salieron de las billeteras de Binance el 29 de octubre. Dos días después, el FBI atribuyó el ataque a Corea del Norte bajo la designación TraderTraitor, la misma que aplicó al robo de Bybit en 2025. TraderTraitor es la etiqueta que las agencias estadounidenses asignan a los grupos cibernéticos norcoreanos que atacan empresas de criptomonedas, una actividad documentada en repetidos avisos del gobierno de EE. UU.

Coindoo ya había cubierto un token TRON autoacuñado rastreado por TRM Labs, en el que un pool de liquidez era la única conexión entre comprador y vendedor. Los hallazgos de Elliptic sobre NEAR ahora ponen cifras a ambos lados de un pool de liquidez, a lo largo de seis tokens en una segunda blockchain.

Seis tokens con casi ningún trader externo

Cada uno de los seis tokens se emparejó con NEAR en su propio pool en un exchange descentralizado y costó unos 25 NEAR, o aproximadamente 90 dólares, crearlo. La creación en un exchange descentralizado no requiere permisos: ninguna aprobación de listado ni verificación de identidad se interpone entre un usuario y un nuevo pool, por lo que el precio es la única barrera real. A ese precio, un token puede usarse una vez y descartarse, que es exactamente lo que ocurrió con los seis.

Un token recién creado y dominado por unas pocas billeteras no es, por sí solo, evidencia de lavado de dinero. Muchos lanzamientos legítimos comienzan así, con el creador y un pequeño grupo de compradores iniciales realizando la mayor parte del trading. El caso de Elliptic se apoya en tres hallazgos que solo cobran sentido en conjunto.

El primero es quién operó. Las billeteras de la red de lavado ejecutaron todas las ventas de los seis tokens y compraron todas las unidades de cinco de ellos. Las compras desde fuera de la red se redujeron a un puñado de pequeñas compras de FUK en su primer día, que representaron menos del 1% del volumen de ese token.

El segundo es cómo se pagó cada token. Cinco de los seis creadores fueron financiados por una billetera que ya había estado vendiendo un token anterior entre 2 y 13 minutos antes del nuevo lanzamiento. Los ingresos de un token pagaron el siguiente, de modo que los seis forman una cadena y no seis apuestas separadas.

El tercero es lo breve de la vida de cada token. Cada uno se vendió por primera vez dentro de las tres horas siguientes a su lanzamiento y realizó al menos tres cuartas partes de su trading en un solo día. Ninguno ha operado desde el 8 de noviembre, y esa misma tarde los creadores de cuatro de los tokens retiraron la liquidez restante de sus pools.

Las cifras citadas aquí son de Elliptic. Coindoo no ha reproducido de forma independiente los registros de transacciones de los seis pools.

Por qué los vendedores parecen ganadores

Nada en la marca de los tokens llamó la atención. Elliptic describe logos en el estilo típico de las memecoins: desde un mono con un moño rosa y un pato frente a una bandera de EE. UU. hasta un estandarte de "Elon 2028 President" sobre una imagen de Elon Musk, a quien Elliptic no vincula con los tokens. Los nombres siguen el mismo hábito: FUK es una broma grosera, y SINU toma la terminación "-INU" de las monedas con temática canina. Las billeteras llevaban nombres aleatorios asignados por una app de billeteras popular, por lo que sus etiquetas tampoco conectaban nada.

Miles de tokens nuevos aparecen cada día, y esa es la cobertura. Según la lectura de Elliptic, una billetera que opera una memecoin recién creada pasa por especuladora, a menos que alguien verifique de dónde salió su dinero.

Esa verificación es donde la ganancia aparente desaparece. Las billeteras compradoras fueron financiadas con unos 117.000 NEAR, transferidos desde la billetera principal que custodiaba el NEAR robado a través de cuentas intermedias. Casi exactamente la misma cantidad salió luego de las billeteras de recolección, buena parte intercambiada por stablecoins o enviada a un bridge cross-chain, el servicio que traslada activos de una blockchain a otra. A los precios vigentes cuando Elliptic publicó, equivalía a unos 430.000 dólares.

Leída de a una billetera de recolección por vez, la historia parece una racha de salidas limpias: tokens vendidos, NEAR recibido. Leída a través de la red, el mismo NEAR dio una vuelta y regresó, menos unos 540 dólares en comisiones de creación de tokens y costos de red. El único dinero que llegó desde fuera de la red fueron las pequeñas compras de FUK del primer día.

La cifra de ganancias de una billetera compara lo que recibió con lo que pagó. No puede mostrar que los compradores del otro lado fueron financiados desde la misma billetera robada. Y si un vendedor recibió sus tokens por transferencia en lugar de comprarlos en el pool, puede que no haya ningún precio de compra que restar.

Por qué los lavadores usan un truco que los investigadores pueden seguir

Cada paso queda registrado en una blockchain pública, y Elliptic lo siguió. Según la firma, el objetivo es la demora más que el ocultamiento. Cada salto adicional les toma tiempo a los investigadores desentrañar, y el lavado es una carrera por mover fondos antes de que sean señalados. A unos 90 dólares por token, los lavadores pueden permitirse crear muchos y tirar cada uno a la basura.

El manual no es nuevo. Elliptic observó por primera vez tokens hechos a mano en el lavado del robo de Bybit en 2025, cuando al menos 24 millones de dólares circularon por un token TRON sin valor. En el caso de Binance, identificó un token TRON similar el 2 de noviembre. Un día después, vio SOL robado dirigido a través de tokens existentes con poco trading en Solana antes de venderse por USDC y transferirse fuera mediante un bridge. TRM Labs describió el mismo patrón TRON en su propio rastreo.

Las sumas en NEAR son pequeñas junto a lo que queda. Unos 11,8 millones de NEAR, valorados en aproximadamente 43,7 millones de dólares, no se habían movido al momento del informe de Elliptic, y la firma sostiene que la técnica es lo suficientemente barata como para mover cantidades mucho mayores. Para quienes siguen el caso, los marcadores concretos de aquí en adelante son las actualizaciones de la lista pública de bloqueo de Elliptic a medida que se confirman nuevas direcciones de lavado, y cualquier primer movimiento de ese saldo intacto. Elliptic también subraya que la herramienta de lanzamiento, el exchange y la app de billeteras no hicieron nada indebido; los lavadores las usaron como lo haría cualquier otro usuario.

Cinco verificaciones antes de confiar en la racha ganadora de una billetera

Los rastreadores de billeteras y los feeds de copy-trading suelen mostrar cuentas con grandes ganancias realizadas. Las señales de alerta de Elliptic para los equipos de cumplimiento se aplican directamente, y un explorador de bloques basta para ejecutarlas:

1. Edad del token. Verifique cuándo se creó el contrato del token. Ventas grandes en los días posteriores al lanzamiento merecen una mirada más cercana.
2. Cantidad de traders. Abra el historial de operaciones del pool. Un puñado de billeteras que realizan casi todo el volumen significa pocos contrapartes reales.
3. Billeteras unidireccionales. Busque billeteras que solo compran junto a billeteras que solo venden. Esa división es una de las señales de alerta de Elliptic.
4. Financiamiento reciente. Rastree el primer depósito hacia los principales compradores. Billeteras nuevas financiadas justo antes de operar, a menudo en montos redondos, son una señal de alerta.
5. Liquidez retirada. Vea si el creador retiró lo que quedaba en el pool poco después de que cesara el trading.

Una sola señal describe buena parte del mercado de memecoins. Varias sobre la misma billetera significan que su cifra de ganancias requiere examinar el lado de los compradores del libro antes de que alguien copie sus operaciones.

Para los exchanges, la recomendación de Elliptic es que los fondos provenientes de un pool de liquidez no deben tratarse como limpios por defecto. Su lista pública de bloqueo de billeteras vinculadas al hackeo de Binance crece a medida que se identifican nuevas direcciones, por lo que un depósito que pasó el screening al llegar puede ser señalado más adelante. Elliptic indica a las empresas que vuelvan a revisar los depósitos ya aceptados cada vez que la lista se actualice.