Los atacantes vinculados a Corea del Norte están utilizando tokens meme recién creados y pools de liquidez de exchanges descentralizados (DEX) para mover criptomonedas robadas en el hackeo de Binance de aproximadamente 6,400 millones de dólares, según la firma de análisis de blockchain Elliptic.

Entre el 5 y el 7 de noviembre, la operación enrutó alrededor de 117,000 NEAR, con un valor aproximado de 430,000 dólares, a través de al menos seis tokens creados específicamente para esta actividad. Los tokens meme, que típicamente existen para fines de negociación e interés comunitario en lugar de alguna utilidad subyacente, pueden emitirse a un costo mínimo, lo que los convierte en vehículos desechables convenientes para este tipo de enrutamiento. La técnica añade capas de complejidad al rastreo de transacciones sin eliminar el historial en cadena de los fondos.

Seis tokens meme de NEAR vinculados al flujo de lavado

En una investigación del 9 de noviembre, Elliptic identificó seis tokens meme creados entre el 5 y el 7 de noviembre: FUK, OLCCL, MEILI, MMLI, DABI y SINU. Cada token fue emparejado con NEAR en un pool de liquidez separado, una reserva de contratos inteligentes de dos tokens en un exchange descentralizado que permite intercambios automatizados sin un libro de órdenes tradicional, lo que permitió a los atacantes cambiar el NEAR robado por tokens recién emitidos y luego convertir esos tokens de nuevo a NEAR a través de otras billeteras. Elliptic estimó que la creación de cada token costó aproximadamente 25 NEAR, unos 90 dólares.

La firma de análisis rastreó alrededor de 117,000 NEAR, con un valor aproximado de 430,000 dólares, a través de los seis pools de tokens. Descubrió que las billeteras vinculadas a la operación controlaban casi toda la actividad de compra y venta, con poca evidencia de demanda externa genuina. Los tokens se usaron poco después de su creación y luego fueron abandonados, y los creadores de cuatro de ellos retiraron la liquidez restante del pool el 8 de noviembre. La investigación de Elliptic detalla los hallazgos en cadena.

Los pools de liquidez complican el rastreo de criptomonedas robadas

La técnica funciona colocando un token recién creado entre las billeteras que reciben los fondos robados y las que recolectan los activos después de los intercambios. Un grupo de billeteras cambia el NEAR robado por el nuevo token, mientras que otro grupo vende ese token a través del pool para recibir NEAR. Como resultado, los fondos nunca se mueven directamente entre las billeteras de compra y las de recolección, lo que hace que el rastro de transacciones sea más difícil de interpretar.

Sin embargo, el método no borra el registro de la blockchain ni hace que los fondos sean imposibles de rastrear. Elliptic señaló que las transacciones siguen siendo visibles, pero cada intercambio y billetera adicional genera más trabajo para los investigadores y los equipos de cumplimiento. La firma también advirtió que las empresas de criptomonedas no deberían tratar automáticamente como legítimos los fondos recibidos de pools de liquidez, especialmente cuando están involucrados tokens recién creados y patrones de negociación inusuales.

La investigación del robo de Binance revela una operación de lavado más amplia

La actividad en NEAR es parte de un esfuerzo mucho mayor para mover los activos robados en el incidente de Binance del 29 de octubre. Elliptic estimó el robo en aproximadamente 6,430 millones de dólares y señaló que la operación de lavado ha involucrado más de 20,000 billeteras en 16 blockchains, junto con al menos 36 servicios y 65,000 transacciones. El FBI atribuyó el ataque al grupo TraderTraitor de Corea del Norte, según la investigación de Elliptic. TraderTraitor es una designación que las autoridades estadounidenses han usado para los actores cibernéticos vinculados a Corea del Norte responsables de robos de criptomonedas dirigidos a la industria.

A partir de su actualización del 7 de noviembre, Elliptic reportó que aproximadamente 2,850 millones de dólares habían sido congelados o incautados, mientras que alrededor de 3,130 millones permanecían en direcciones vinculadas al robo. La firma también identificó actividad de lavado anterior que involucraba a Tron y Solana, lo que demuestra que los atacantes han utilizado múltiples blockchains y métodos de transacción. La investigación de Elliptic sobre el hackeo de Binance rastrea el movimiento de los activos robados.

El precedente de Bybit genera preocupación para los equipos de cumplimiento cripto

Elliptic señaló que había observado previamente una técnica similar durante el lavado de los fondos robados en el hackeo de Bybit de 2025. En ese caso, los atacantes crearon un token no deseado en Tron y usaron un pool de liquidez de stablecoin para mover al menos 24 millones de dólares. La recurrencia sugiere que la creación de tokens temporales y el enrutamiento de fondos a través de pools de DEX se ha convertido en otro método en el manual de lavado atribuido a actores vinculados a Corea del Norte.

Los hallazgos generan preocupación para los exchanges, las plataformas de finanzas descentralizadas y los proveedores de cumplimiento que monitorean depósitos cripto sospechosos. Analizar únicamente la billetera que envía los fondos puede ser insuficiente cuando los activos llegan a través de un pool de liquidez, porque los intercambios previos pueden ocultar los vínculos con actividades ilícitas en una revisión básica.

Elliptic señaló que la operación en NEAR involucró aproximadamente 430,000 dólares, mientras que alrededor de 11.8 millones de NEAR, con un valor de unos 43.7 millones de dólares al momento de su reporte, permanecían sin movimiento. Un movimiento adicional de esos fondos podría proporcionar a los investigadores evidencia adicional sobre la operación.