Lavadores vinculados a Corea del Norte gastaron unos $90 cada uno para crear seis meme coins en la blockchain de NEAR y las usaron para mover fondos robados en el hackeo del 29 de octubre al exchange de cripto Binance, según la firma de análisis de blockchain Elliptic. La operación se apoyó en tokens de creación propia y pools de liquidez para romper el vínculo on-chain entre los depósitos robados y las wallets que los recibieron.

Elliptic señaló que aproximadamente 117.000 NEAR, con un valor de unos $430.000, pasaron por los tokens entre el 5 y el 7 de noviembre. La firma detalló la operación de lavado en un informe publicado el lunes.

El esquema replica las tácticas que grupos afiliados a Corea del Norte han usado repetidamente tras grandes violaciones de seguridad en exchanges, ciclando fondos a través de tokens creados por ellos mismos, exchanges descentralizados y múltiples cadenas para ocultar su origen.

Los seis tokens — FUK, OLCCL, MEILI, MMLI, DABI y SINU — costaron unos 25 NEAR cada uno para su lanzamiento mediante una herramienta pública de creación de tokens en la red de capa uno. Llevaban ilustraciones de meme coins estilo caricatura: una mostraba un mono con un moño rosa, otra un pato frente a una bandera estadounidense, y una tercera mostraba a Elon Musk bajo un estandarte de “Elon 2028 President”. Elliptic señaló que no hay indicios de que Musk tenga alguna relación con los tokens.

Cómo los pools ocultaron el rastro

Los lavadores emparejaron cada nuevo token con NEAR en su propio pool de liquidez — un conjunto de dos activos en un exchange descentralizado con el que cualquiera puede operar. Un grupo de wallets usó NEAR robado para comprar el nuevo token del pool, y un segundo grupo luego vendió el token y retiró los NEAR. Como el pool quedaba en medio, ninguna transferencia vinculó directamente a los dos grupos de wallets. La ruta aprovecha una característica estructural de las finanzas descentralizadas: a diferencia de los plataformas centralizadas reguladas, los exchanges descentralizados no imponen verificaciones de identidad (KYC) ni requisitos de cuenta, por lo que las wallets pueden ciclar valor a través de un pool sin identificarse.

“Existen únicamente para poner un pool entre los fondos robados y la siguiente wallet”, escribió Elliptic en una publicación en X.

North Korea’s launderers are creating their own meme coins to move funds stolen from Binance. Between November 5 and 7, they launched at least six tokens on NEAR, dressed up with meme-coin logos such as a monkey in a pink bow and a duck in front of a US flag. Stolen NEAR went… — Elliptic (@elliptic) November 9, 2026

Según Elliptic, los datos de operación mostraron que los tokens no tenían otro propósito que el lavado. Las wallets vinculadas a la operación colocaron todas las órdenes de venta en los seis tokens y todas las órdenes de compra en cinco de ellos. La única excepción fue un pequeño número de compras de FUK el día del lanzamiento, que representaron una porción mínima de la actividad comercial de ese token.

Los tokens también estaban encadenados entre sí. En cinco casos, la wallet que financió al creador de un nuevo token había estado vendiendo el token anterior apenas 2 a 13 minutos antes del siguiente lanzamiento.

Un método visto por primera vez con Bybit

Elliptic dijo que detectó la técnica por primera vez después de que Bybit perdiera $1.500 millones en un hackeo en 2025, el mayor robo de criptomonedas registrado, en el que los lavadores usaron un token de Tron sin valor para mover al menos $24 millones. En el caso de Binance, apareció un token similar de Tron el 2 de noviembre, y un día después SOL robado se movió a través de tokens de Solana existentes con poco volumen de operación.

La ruta en NEAR cubre menos del 0,01% de los aproximadamente $6.300 millones sustraídos de Binance. El FBI ha atribuido el robo al grupo de hackers TraderTraitor de Corea del Norte, un conjunto que agencias de EE. UU. han asociado con el Grupo Lazarus. Funcionarios de EE. UU. y expertos de las Naciones Unidas han identificado repetidamente el robo de cripto a gran escala como una fuente de ingresos para los programas de armas del estado sancionado.

Elliptic señaló que unos 3.000 bitcoin, con un valor de alrededor de $225 millones, han llegado a nuevas direcciones de bitcoin tras ser convertidos desde otros activos robados. Unos 11,8 millones de NEAR, con un valor de $43,7 millones, aún no se han movido.

“La técnica ralentiza a los investigadores en lugar de ocultar los fondos”, escribió Tom Robinson, cofundador de Elliptic. Añadió que los lavadores de Corea del Norte “superponen muchas técnicas baratas, cada una añadiendo un poco más de demora”.

Días antes de que aparecieran los tokens, Jonty, fundador de Pangolin Intelligence, dijo en Unchained que estas redes mueven fondos entre wallets “esencialmente para evadir los ojos del software de monitoreo de transacciones”.

Elliptic instó a los equipos de cumplimiento a no tratar por defecto como limpios los fondos que provienen de un pool de liquidez. Las señales de alerta incluyen tokens de solo unos días de antigüedad, pools con pocos operadores y wallets que solo compran o solo venden. La firma recomendó aplicar mayor escrutinio a los depósitos rastreados hasta pools que presenten esas características.

Ninguno de los seis tokens de NEAR ha operado desde el 8 de noviembre. Esa tarde, cuatro de los creadores de tokens retiraron los fondos que aún permanecían en sus pools, según Elliptic. Eso deja los aproximadamente $43,7 millones en NEAR inactivo y el bitcoin recién consolidado como los marcadores más claros para los analistas que siguen los próximos movimientos — y, según el patrón multichain documentado por Elliptic, otra ola de tokens de creación propia en otra cadena sería la señal de que la campaña ha entrado en una nueva fase.