Lavadores norcoreanos están acuñando sus propias meme coins sin valor y canalizando a través de ellas fondos robados de Binance, garantizando que los activos nunca pasen directamente de una wallet a otra, informó el lunes la firma de análisis de blockchain Elliptic.

Entre el 5 y el 7 de noviembre, los operadores crearon al menos seis nuevos tokens en la blockchain de NEAR — FUK, OLCCL, MEILI, MMLI, DABI y SINU — emparejaron cada uno con NEAR en un pool de liquidez dedicado, compraron los tokens con NEAR robado desde un conjunto de wallets y los vendieron a través de un segundo conjunto. Unos 117,000 NEAR, o aproximadamente $430,000, pasaron por los seis tokens, según escribió Elliptic.

El esquema es un hilo dentro del lavado mucho más amplio del robo a Binance del 29 de octubre, que el exchange valoró en $6.34 mil millones y que el FBI atribuyó al grupo TraderTraitor de Corea del Norte. En comparación con ese total, los unos $430,000 que se movieron a través de los seis tokens son una fracción mínima, pero ilustran el estilo definitorio de la operación más amplia: valor impulsado hacia adelante en muchos saltos pequeños y desechables en lugar de transferencias únicas grandes. La actualización más amplia de Elliptic ahora sitúa unos 3,000 BTC — alrededor de $225 millones — en nuevas direcciones de bitcoin convertidas de otros activos robados, mientras que unos 11.8 millones de NEAR, o $43.7 millones, del robo aún no se han movido.

"La mayoría de la gente piensa en los meme tokens como monedas de broma cuyos precios suben y bajan según el hype", escribió el Dr. Tom Robinson, cofundador y científico jefe de Elliptic. "Los lavadores de Corea del Norte han encontrado un uso diferente para ellos".

Cómo funciona el truco de los tokens caseros

La técnica es un salto de cuatro pasos. Los lavadores crean un token con una herramienta de lanzamiento pública, abren un pool de liquidez emparejándolo con un activo real como NEAR o una stablecoin, compran el token con fondos robados de un conjunto de wallets y luego lo venden de vuelta al mismo pool desde un segundo conjunto de wallets que recogen el activo real.

En ningún momento los fondos robados se transfieren directamente desde una wallet compradora a una wallet recolectora, porque el pool queda en el medio. Para un observador casual, las wallets recolectoras parecen traders comunes que vendieron un token con ganancias. En la práctica, cada token funciona como un túnel de un solo sentido: creado para una única pasada de lavado y luego abandonado, en lugar de mantenerse como un mercado funcional.

Cada uno de los seis tokens de NEAR costó unos 25 NEAR — aproximadamente $90 — en crear. Todos fueron negociados intensamente en cuestión de horas usando NEAR robado y luego abandonados. Ninguno ha operado desde el 8 de noviembre, y esa tarde los creadores de cuatro de ellos retiraron la liquidez restante. Los tokens también forman una cadena: cinco de los seis creadores fueron financiados por una wallet que acababa de vender un token anterior, entre dos y 13 minutos antes del siguiente lanzamiento.

Elliptic reportó por primera vez el mismo enfoque en el lavado del robo a Bybit de febrero de 2025, también atribuido a TraderTraitor, cuando un token sin valor de Tron ayudó a mover al menos $24 millones. En el caso de Binance, la firma también ha observado la técnica en Tron, junto con una variante cercana en Solana que usó tokens existentes poco negociados en lugar de tokens caseros.

Una táctica para ganar tiempo, no para desaparecer

Las meme coins no ocultan los fondos — cada paso es público en la cadena. Lo que compran es tiempo. Cada salto adicional ralentiza a los investigadores mientras los lavadores corren para mover el dinero antes de que sea marcado, y a unos $90 por token, son lo suficientemente baratos como para desecharlos.

La táctica encaja con el patrón más amplio que Elliptic ha rastreado desde el robo: más de 20,000 wallets en 16 blockchains, al menos 36 servicios y al menos 65,000 transacciones. Binance ha dicho que el ataque comenzó con una entrevista de trabajo falsa y se prolongó durante cinco meses antes de que alguna moneda se moviera, y las firmas de blockchain vincularon la brecha a TraderTraitor en un solo día.

La conversión a bitcoin es la historia más grande en términos de dólares. Todo el SOL robado ya ha sido intercambiado, puenteado o mezclado, y gran parte de la ruta de XRP también ha alimentado al bitcoin. Unos $2.85 mil millones del botín original han sido congelados, mientras que una cantidad insignificante probablemente ha sido retirada hasta ahora, dijo Elliptic.

La máquina de robo de cripto de Corea del Norte no es nueva. Elliptic calculó que el botín del régimen en 2025 superó los $2 mil millones, impulsado por el exploit de Bybit de $1.46 mil millones, y su total acumulado conocido superaba los $6 mil millones incluso antes del incidente de Binance.

Binance ha reabierto los retiros por etapas y dijo que cubrió las pérdidas de los clientes con fondos propios. Para los investigadores, la prueba ahora es si los pools de liquidez caseros siguen multiplicándose más rápido que las listas de bloqueo que los alcanzan — y cómo finalmente se manejan los NEAR que aún no se han movido.

Este artículo fue publicado originalmente en Bitcoin Magazine y está escrito por Micah Zimmerman.