La firma de análisis de blockchain Elliptic informó el lunes que hackers norcoreanos usaron memecoins desechables para mover activos robados de Binance, una técnica que, según la firma, eleva los riesgos de screening para las empresas que reciben fondos de pools de liquidez descentralizados.

En su análisis del 9 de noviembre, Elliptic rastreó 117,000 NEAR (el token nativo de la blockchain de capa uno NEAR), con un valor de $430,000, a través de seis tokens. Cada token costó aproximadamente 25 NEAR, o $90, en ser creado. La firma señaló que las transferencias siguieron siendo rastreables a pesar de los pasos transaccionales adicionales.

Cómo los Tokens Desechables Ocultaron el Origen de los Fondos

Entre el 5 y el 7 de noviembre, las wallets de lavado lanzaron seis tokens en NEAR, según encontró Elliptic. Cada uno fue emparejado con NEAR en un pool de liquidez separado de un exchange descentralizado, donde las operaciones se liquidan contra reservas agrupadas en lugar de entre contrapartes identificadas. Un conjunto de wallets compró los tokens usando NEAR robado, mientras que otro vendió los mismos tokens para recuperar los fondos, sin dejar ninguna transferencia directa entre los dos grupos de wallets.

Elliptic indicó que el patrón podía hacer que las wallets receptoras parecieran traders rentables. Sin embargo, los datos de red vincularon a compradores, vendedores y creadores de tokens con los mismos fondos robados. Cinco de los creadores de tokens recibieron financiamiento de wallets que habían vendido tokens anteriores solo dos a trece minutos antes, según la firma. Las wallets externas representaron menos del 1% del volumen de operaciones de uno de los tokens, y los otros cinco no tuvieron compradores externos en absoluto.

Los seis tokens dejaron de negociarse para el 8 de noviembre, y cuatro emisores retiraron la liquidez restante esa misma tarde. Elliptic identificó aproximadamente 11.8 millones de NEAR robados que permanecían sin mover al momento de la instantánea reportada, dejando ese saldo como el marcador más claro para quienes siguen el caso, ya que la firma determinó que la técnica mantuvo las transferencias rastreables en cadena.

Por Qué los Depósitos de Pools de Liquidez Requieren Revisiones Más Cercanas

Elliptic advirtió que los fondos que emergen de pools de liquidez no deberían recibir automáticamente una clasificación limpia. Debido a que los mercados agrupados enrutan cada intercambio a través de reservas compartidas, la fuente inmediata en cadena de un depósito es el pool mismo y no la contraparte de la operación. La firma identificó los tokens recién creados, el comercio concentrado y las wallets de propósito único como posibles señales de alerta.

Según la firma, el enfoque no ocultó cada movimiento en cadena. En cambio, generó trabajo adicional de rastreo mientras los activos robados seguían cruzando redes.

Elliptic documentó una táctica similar tras la brecha de Bybit en 2025, uno de los robos de criptomonedas más grandes registrados, e informó que al menos $24 millones pasaron por un token sin valor en Tron. En el caso de Binance, observó otro token casero en Tron el 2 de noviembre, y al día siguiente los atacantes movieron SOL robado a través de tokens existentes con bajo volumen de negociación.

La Investigación del Hackeo de Binance Continúa

El FBI atribuyó el robo del 29 de octubre a la operación TraderTraitor de Corea del Norte, un grupo de hackers vinculado al Estado que agencias estadounidenses han relacionado con robos anteriores a exchanges de criptomonedas. Pionyang ha negado su responsabilidad.

Como Blockonomi informó anteriormente, los atacantes accedieron a la infraestructura de wallets de Binance tras comprometer dispositivos de empleados. Un informe separado de Blockonomi cubrió la atribución del FBI y el movimiento inicial de la criptomoneda robada.

Binance dijo el 3 de noviembre que el incidente afectó aproximadamente $6,340 millones. Reportó que alrededor de $2,850 millones habían sido congelados o interceptados y que el 98% de los activos afectados había sido repuesto. Dichas reposiciones fueron financiadas por la propia Binance, y no con botín recuperado.