Hackers norcoreanos han creado memecoins propias para lavar fondos robados en el hackeo de US$6,3 mil millones en Binance, usando actividad de trading simulada para hacer que las ganancias ilícitas parecieran beneficios legítimos de trading.

Según un análisis de la firma de análisis de blockchain Elliptic, los hackers movieron aproximadamente 117.000 tokens $NEAR —con un valor de unos US$430.000— a través de seis memecoins creadas entre el 5 y el 7 de noviembre.

Una de estas tokens mostraba una imagen de Elon Musk bajo un banner con la leyenda "Elon 2028 President", aunque Elliptic indicó que no hay indicios de que Musk esté conectado con las tokens. Sus nombres seguían las convenciones habituales de las memecoins, incluyendo una broma grosera y el sufijo "inu" comúnmente usado en memecoins con temática de perros —detalles que ayudaron a que las tokens pasaran por lanzamientos ordinarios de memecoins.

El esquema funcionaba emparejando cada memecoin con $NEAR en su propio pool de liquidez en un exchange descentralizado. Los hackers luego usaban un conjunto de wallets para comprar las memecoins con $NEAR robado, y otro conjunto separado de wallets para vender esas mismas memecoins a cambio de $NEAR. Como resultado, los fondos nunca pasaron directamente de una wallet a otra, haciendo que el dinero pareciera producto de un trading rentable en lugar del hackeo. Esta distinción es importante para los investigadores, cuyas técnicas de rastreo suelen seguir transferencias directas entre direcciones —una ruta que este método evita deliberadamente.

"Los lavadores crearon seis de estas tokens cripto, y solo negociaron entre ellos mismos. Eso hace que los fondos robados parezcan ganancias de trading", afirmó Tom Robinson, cofundador y científico jefe de Elliptic, en declaraciones a CoinDesk.

Elliptic encontró que casi todo el trading provino de wallets vinculadas a la operación de lavado, con compradores externos que representaron menos del 1% del volumen de una de las tokens. El trading de las seis tokens se detuvo antes del 8 de noviembre.

El FBI atribuyó el robo del 29 de octubre en Binance al grupo TraderTraitor de Corea del Norte. Los hackers también han usado THORChain para convertir los activos robados en bitcoin, que no puede ser congelado por un emisor central, lo que convierte a los pools de memecoins en un paso más dentro de una cadena de lavado más larga. Los unos US$430.000 canalizados a través de las seis tokens son una pequeña fracción de los US$6,3 mil millones sustraídos.

Elliptic identificó un método de lavado similar basado en memecoins tras el hackeo de Bybit en 2025, y dijo que las nuevas operaciones complican los esfuerzos por rastrear los fondos robados, pero no borran su rastro. Con el método ahora documentado en dos grandes robos de exchanges y con el rastro intacto, el patrón de lavado en sí —tokens autogeneradas, trading dirigido a uno mismo y wallets agrupadas— ofrece a los investigadores marcadores adicionales en el esfuerzo por rastrear el destino de los fondos robados.