Los lavadores de Corea del Norte han encontrado un nuevo uso para los tokens de broma favoritos de internet: lavar una porción de los $6.400 millones robados a Binance.

En lugar de mover los fondos directamente del ladrón al receptor, los grupos están creando meme coins caseras e intercambiando activos robados a través de pools de liquidez de exchanges descentralizados, según un informe de la firma de análisis de blockchain Elliptic. La técnica rompe el vínculo directo onchain entre la wallet del ladrón y la que recolecta los procedentes. También muestra cómo el lavado se está adaptando a la propia estructura de las finanzas descentralizadas, donde crear un token y alimentar un pool de trading está abierto a cualquiera por diseño.

Cómo funciona el esquema

Los lavadores crean un token completamente nuevo y lo emparejan con un activo real como NEAR o un stablecoin en un pool de liquidez. Pagan fondos robados al pool a través de un grupo de wallets para comprar el token, y luego lo venden a través de otro grupo de wallets para retirar activos de apariencia limpia.

Como el pool queda en medio, ningún fondo robado se mueve directamente desde la wallet compradora a la recolectora, y las wallets receptoras parecen traders ordinarios vendiendo una meme coin. Ese disfraz es más fácil de lograr en los mercados de meme coins, donde ráfagas rápidas de trading alrededor de tokens recién lanzados son una escena rutinaria y no una señal de alerta.

Elliptic, en una investigación atribuida al cofundador Tom Robinson, dijo que los lavadores desplegaron la táctica en Tron y Near, con una variante similar observada en Solana.

Seis tokens desechables en Near

El ejemplo más claro llegó en Near. Entre el 5 y el 7 de noviembre, los lavadores crearon al menos seis tokens caseros, cada uno emparejado con NEAR en su propio pool. Las monedas llevaban los adornos habituales de las meme coins: logos de caricatura de un mono con moño, un pato cubierto con una bandera, un chimpancé y un zorro. Uno incluso mostraba una imagen de "Elon 2028 President" de Elon Musk, quien no tiene ninguna conexión con los tokens. Los nombres iban desde lo vulgar (FUK) hasta una variación de las monedas de perro (SINU).

Cada token costó alrededor de 25 NEAR—unos $90—para crear, una medida de la poca fricción que las blockchains sin permiso ponen en el camino de lanzar un token con marca. Las seis siguieron el mismo arco: lanzadas, negociadas intensivamente en cuestión de horas usando NEAR robado, y luego abandonadas, con la liquidez restante retirada de los pools el 8 de noviembre.

En total, unos 117.000 NEAR, o aproximadamente $430.000, pasaron por los seis tokens antes de que gran parte fluyera hacia stablecoins o un puente cross-chain.

Rastreable, pero más lento

Las sumas son modestas hasta ahora, un recordatorio de que la mayor parte del botín sigue estacionada onchain. Elliptic determinó anteriormente que más de $3.000 millones del cripto robado aún no habían sido lavados, y que los lavadores estaban creando una nueva wallet aproximadamente cada 25 segundos para mover fondos a velocidad de máquina.

Crucialmente, el truco de la meme coin en realidad no esconde el dinero. Elliptic subrayó que el rastro sigue siendo completamente rastreable onchain; la maniobra solo retrasa a los investigadores, ganando tiempo en lo que es esencialmente una carrera por mover los fondos antes de que sean marcados. Es una capa barata y desechable entre las muchas que los lavadores de Corea del Norte apilan juntas.

Elliptic observó por primera vez la táctica el año pasado mientras rastreaba el robo de $1.500 millones a Bybit, que también fue atribuido al grupo TraderTraitor detrás de la brecha de Binance.

Para los equipos de cumplimiento, la firma advirtió que los fondos que llegan desde un pool de liquidez no deben asumirse limpios, especialmente cuando están involucrados tokens recién creados y un puñado reducido de wallets de trading. Con la mayor parte del botín récord aún por mover, esa advertencia efectivamente entrega a los exchanges y equipos de monitoreo un patrón concreto a vigilar: depósitos que se rastrean hasta tokens creados recientemente y un grupo estrecho de wallets de trading.