Hackers de Corea del Norte crean memecoins para blanquear fondos robados a Binance

• Elliptic detectó seis memecoins creados entre el 5 y el 7 de noviembre en NEAR, cada uno emparejado con NEAR en su propio pool de liquidez.
• Por esos tokens pasaron unos 117.000 NEAR robados, alrededor de USD 430.000 a precios actuales, según la firma.
• La técnica frena el rastreo, pero no borra la huella: cada paso queda en la cadena de bloques, advierte Elliptic.
• El hackeo a Binance del 29 de octubre fue atribuido por el FBI al grupo norcoreano TraderTraitor.

El mecanismo, descrito por Elliptic, tiene cuatro pasos: se crea un token con una herramienta pública de lanzamiento, se abre un pool de liquidez en un exchange descentralizado, un grupo de billeteras compra el token con fondos robados y un segundo grupo lo vende de vuelta al mismo pool para retirar el activo real. Como el pool queda en medio, los fondos nunca pasan directamente de una billetera compradora a una receptora. A simple vista, las receptoras parecen operadores que vendieron un token con ganancia.

“Los lavadores crearon seis de estos tokens y los operaron solo entre ellos. Eso hace que los fondos robados parezcan ganancias de trading”, dijo Tom Robinson, cofundador y científico jefe de Elliptic, a CoinDesk.

Los seis tokens creados en NEAR

Según Elliptic, los tokens son FUK (creado el 5 de noviembre), OLCCL, MEILI, MMLI y DABI (los cuatro el 6 de noviembre) y SINU (el 7 de noviembre). Crear cada uno costó unos 25 NEAR, cerca de USD 90.

Todos siguieron el mismo patrón: se crearon, se operaron intensamente en pocas horas con NEAR robado y se abandonaron. Ninguno ha tenido operaciones desde el 8 de noviembre, y ese día los creadores de cuatro de ellos retiraron la liquidez restante.

Los logos imitan el estilo habitual de las memecoins. Uno muestra una imagen de Elon Musk bajo el cartel “Elon 2028 President”; Elliptic aclaró que no hay indicios de que Musk tenga relación alguna con los tokens.

Por qué se considera lavado

Elliptic sostiene que los tokens existen solo para lavar. Sus argumentos: nadie ajeno a la red los operó (las únicas compras externas fueron unas pocas de FUK el primer día, menos del 1% de su volumen); cada token nuevo se pagó con ganancias del anterior, ya que cinco de los seis creadores fueron fondeados por una billetera que había vendido un token previo entre 2 y 13 minutos antes; y todos se usaron de inmediato y se descartaron, con el NEAR que entraba igual al que salía.

Las billeteras compradoras de los seis tokens se fondearon con unos 117.000 NEAR robados, que bajaron desde la billetera principal a través de cuentas intermedias. Casi la misma cantidad salió de las receptoras poco después, gran parte hacia stablecoins o a un puente entre cadenas. Según Elliptic, la herramienta de lanzamiento, el exchange y la app de billetera no hicieron nada indebido: los lavadores las usaron como cualquier usuario.

Una técnica con antecedentes

Elliptic dice que vio el método por primera vez tras el hackeo a Bybit de 2025, también atribuido a TraderTraitor, cuando se movieron al menos USD 24 millones con un token sin valor en Tron. En el caso de Binance, identificó el 2 de noviembre un token de ese tipo en Tron. Un día después, SOL robado se cambió en Solana por tokens existentes y poco negociados antes de venderse por USDC y pasar a otras cadenas; en ese caso no eran tokens creados por los lavadores, pero el objetivo era el mismo, según la firma.

Los montos por ahora son pequeños: de la parte robada en NEAR, unos 11,8 millones de NEAR (USD 43,7 millones) aún no se habían movido. Pero Elliptic advierte que la técnica es barata y podría cargar sumas mucho mayores. Según la firma, los lavadores norcoreanos rara vez dependen de una sola técnica y apilan varias baratas, cada una con un poco más de demora.

El hackeo a Binance en contexto

El 29 de octubre se robaron criptoactivos de Binance en 11 blockchains. Elliptic calcula USD 6.430 millones en su análisis del robo; Binance estimó el impacto en unos USD 6.300 millones. Por eso se citan cifras de entre 6.300 y 6.400 millones, y ninguna de ellas es el monto lavado con memecoins.

El FBI atribuyó el robo el 31 de octubre a TraderTraitor, nombre con el que designa a un grupo norcoreano patrocinado por el Estado. Elliptic ya lo había señalado como probable autor. El mismo método se usó, según la firma, en el robo a Bybit de 2025, también atribuido a ese grupo.

Qué deben hacer los equipos de cumplimiento

Elliptic recomienda no tratar como limpios los fondos que llegan desde un pool de liquidez, sobre todo si hay tokens recién creados. Las señales de alerta que enumera: un token creado en los últimos días; un pool donde operan pocas billeteras; billeteras que solo compran y otras que solo venden; y billeteras nuevas fondeadas poco antes de empezar a operar, a menudo con montos redondos.

La firma mantiene una lista pública de direcciones del hackeo a Binance que actualiza a medida que identifica nuevas billeteras, y pide revisar de nuevo los depósitos ya aceptados.