La empresa de análisis de blockchain Elliptic informó el 9 de noviembre que blanqueadores de dinero norcoreanos emitieron memecoins para mover los fondos robados de Binance. Entre el 5 y el 7 de noviembre, crearon al menos seis nuevas monedas en la cadena NEAR. Tras pasar por ellas unos 117.000 NEAR (aproximadamente 430.000 dólares) procedentes del robo, las monedas fueron abandonadas.
Elliptic afirmó que, aparte de la propia red de blanqueo, casi nadie compró estas monedas. Su único propósito era interponer un fondo de transacciones entre el dinero robado y la siguiente cartera.
Mono con un lazo rosa, pato con la bandera de EE. UU.: cada moneda cuesta unos 90 dólares
Las seis monedas adoptaron la estética típica de las memecoins. Entre los logotipos que enumera Elliptic hay un mono con un lazo rosa, un pato delante de la bandera de EE. UU., un chimpancé, un zorro, una insignia dorada en llamas y una imagen de Elon Musk con el lema «Elon 2028 President»; Elliptic señala específicamente que no hay indicios de que Musk tenga relación alguna con estas monedas.
Los nombres también siguen las convenciones de las memecoins: van desde la broma vulgar FUK hasta SINU, que imita el sufijo «-INU» de la serie Dogecoin. Las seis monedas son FUK, emitida el 5 de noviembre; OLCCL, MEILI, MMLI y DABI, emitidas el 6 de noviembre; y SINU, emitida el 7 de noviembre (todas las fechas corresponden al horario universal coordinado). Emitir cada moneda costó unos 25 NEAR, es decir, alrededor de 90 dólares.
Elliptic considera que el propio camuflaje forma parte del método. Cada día se emiten miles de memecoins y la mayoría desaparece en unos días; una moneda efímera más con un logotipo de dibujos animados no llama la atención. Si el historial de una billetera muestra transacciones con memecoins, parece pertenecer a un especulador y no a alguien que lava dinero, salvo que alguien investigue de dónde proceden sus fondos.
Los fondos robados entran y salen pasando por fondos de negociación; en la cadena no se ve ninguna transferencia directa
Elliptic desglosa el método en cuatro pasos: primero, se emite una moneda nueva con una herramienta de emisión de tokens disponible públicamente en la cadena; después, se empareja la nueva moneda con un activo real, como NEAR o una moneda estable, para crear un fondo de liquidez en un exchange descentralizado; un grupo de billeteras compra la nueva moneda con fondos robados; y otro grupo de billeteras vende luego la moneda al mismo fondo y retira activos reales.
Durante todo el proceso, los fondos robados nunca se transfieren directamente desde las billeteras que compran hasta las billeteras que retiran, porque el fondo de liquidez se interpone. Para quien no examine los detalles, las billeteras que retiran parecen las de operadores comunes que venden monedas para obtener ganancias.
Las seis monedas en NEAR siguieron el mismo proceso: primero se emitieron, luego se negociaron intensamente con fondos robados durante unas horas y, finalmente, se abandonaron. Ninguna de las seis volvió a negociarse después del 8 de noviembre; esa misma tarde, los emisores de cuatro de ellas retiraron la liquidez restante de los fondos.
Todos los fondos de las billeteras compradoras procedían de la principal billetera de NEAR robada y llegaron a través de una serie de cuentas intermediarias, por un total de unos 117.000 NEAR. Casi la misma cantidad de NEAR salió rápidamente de las billeteras de retiro; la mayor parte se convirtió en monedas estables o se envió a puentes entre cadenas. Elliptic señala que esta cantidad es pequeña en comparación con los fondos robados restantes: todavía quedan unos 11,8 millones de NEAR (unos 43,7 millones de dólares) sin mover.
Las ganancias de una moneda pagaban la tarifa de emisión de la siguiente
Elliptic presenta tres pruebas de que estas monedas se crearon únicamente para lavar dinero. La primera es que no hubo operaciones de personas ajenas a la red: todas las ventas de las seis monedas provinieron de la red de lavado, y en cinco de ellas todas las compras también fueron realizadas por esa red. Las únicas operaciones externas fueron unas pocas compras pequeñas de FUK el primer día, que representaron menos del 1 % del volumen negociado. DABI, MMLI y SINU tuvieron una sola billetera compradora y una sola vendedora cada una.
La segunda es que las monedas forman una cadena. En cinco de las seis, los fondos del emisor procedían de una billetera que estaba vendiendo la moneda anterior, entre 2 y 13 minutos antes de que se emitiera la nueva. En otras palabras, las ganancias del lavado de una moneda pagaban la tarifa de emisión de la siguiente.
La tercera es que se usaban y se descartaban. La primera venta de cada moneda se produjo en las tres horas siguientes a su emisión; al menos tres cuartas partes de las operaciones se concentraron en un solo día, y las cantidades de NEAR que entraron y salieron de cada moneda coincidían.
El caso de Bybit ya había usado el mismo método; también apareció en el caso de Binance, en Tron y Solana
Elliptic observó por primera vez este método durante el lavado de fondos tras el hackeo de Bybit en 2025. Tanto el caso de Bybit como el de Binance, ocurrido en octubre, se atribuyeron al grupo de hackers norcoreano TraderTraitor. En aquella ocasión, quienes lavaban el dinero emitieron en Tron un token sin valor, lo emparejaron con una moneda estable para crear un fondo de negociación y luego utilizaron billeteras nuevas para retirar al menos 24 millones de dólares.
El mismo método volvió a aparecer pocos días después del hackeo de Binance. Elliptic afirma que el 2 de noviembre encontró en Tron un token sin valor emitido específicamente para lavar dinero. Al día siguiente, los SOL robados se intercambiaron en Solana por tokens envueltos y tokens poco negociados, y luego se vendieron por USDC y se transfirieron a otras cadenas. En Solana se utilizaron tokens existentes en lugar de monedas creadas para la ocasión, pero el propósito era el mismo: interponer un activo poco conocido entre los fondos robados y la siguiente billetera.
Este es el segundo análisis de Elliptic sobre el destino de los fondos robados a Binance. Un informe anterior señaló que Corea del Norte abrió 12.000 billeteras en cuatro días para dispersar los fondos. Los atacantes también cometieron un error al vender tokens: llegaron a vender unos 5 millones de dólares en PROM en un fondo casi sin liquidez y solo recuperaron alrededor de 71 dólares.
Elliptic: no se debe dar por limpios los fondos procedentes de un fondo de negociación
Elliptic subraya que cada paso de este método queda registrado públicamente en la cadena de bloques, por lo que los investigadores aún pueden seguir el rastro. No oculta los fondos, sino que ralentiza su rastreo: quienes lavan dinero intentan ganar tiempo antes de que los fondos sean marcados, y cada moneda en NEAR cuesta apenas unos 90 dólares, así que pueden emitir muchas y descartarlas tras usarlas una vez.
Elliptic advierte a los equipos de cumplimiento de las plataformas de intercambio y otros operadores que no deben considerar limpios los fondos recibidos de un fondo de liquidez: podrían estar a solo dos intercambios de distancia del dinero robado. Entre las señales de alerta que enumera el informe figuran que el token se haya emitido hace apenas unos días; que solo unas pocas billeteras operen en el fondo; que algunas billeteras solo compren y no vendan, mientras que otras solo vendan y no compren; y que billeteras nuevas empiecen a operar poco después de recibir fondos, a menudo por cantidades redondas.
Para consultar todos los detalles del hackeo de Binance y los avances en la compensación, visita la página del centro de información sobre el incidente de hackeo de Binance.
Este artículo, «Corea del Norte lava fondos robados de Binance emitiendo memecoins: seis monedas en NEAR movieron 430.000 dólares y luego fueron descartadas», apareció originalmente en 。
【Análisis adicional】
【Mi opinión adicional】
Este modelo de lavado de dinero mediante «memecoins de creación propia + fondos de liquidez en exchanges descentralizados (DEX)» revela cómo los grupos de hackers están perfeccionando sus tácticas al aprovechar el bajo costo de emisión de tokens en cadenas públicas y la naturaleza sin permisos de los DEX. A diferencia de los mezcladores tradicionales (como Tornado Cash), que afrontan duras medidas regulatorias, crear fondos de negociación de memecoins en cadenas de bajo costo (como NEAR, Solana y Tron) no solo resulta extremadamente barato (unos 90 dólares por operación), sino que también permite disfrazar el lavado como actividad de operadores minoristas de alta frecuencia, ampliando considerablemente el plazo para detectar y rastrear las operaciones en la cadena. Esto demuestra que la infraestructura DeFi está siendo convertida cada vez más en un arma por los hackers, y que el conflicto entre la descentralización y el cumplimiento de las normas contra el lavado de dinero (AML) será cada vez más intenso.
【Impacto en el mercado】
- **Mercado de criptomonedas (de bajista a neutral):**
- **NEAR / SOL / TRX (neutral con sesgo bajista):** El informe indica que aún hay unos 43,7 millones de dólares en fondos robados en NEAR que no se han movido. Si los hackers aceleran la conversión de fondos mediante puentes entre cadenas y DEX, los tokens de las cadenas implicadas podrían seguir soportando presión vendedora. Además, el aumento de las actividades anómalas de lavado en la cadena podría incrementar el escrutinio regulatorio sobre los ecosistemas de estas cadenas.
- **BNB / ecosistema de Binance (bajista):** El lavado exitoso de los fondos robados y su transferencia entre cadenas podrían debilitar la confianza del mercado en la seguridad de los activos y la capacidad de gestión de riesgos de los exchanges centralizados. Si posteriormente se imponen sanciones regulatorias, el precio de BNB podría verse presionado.
- **Mercados bursátiles de EE. UU. y Taiwán (neutral con sesgo bajista):**
Este incidente podría intensificar las medidas regulatorias del Departamento del Tesoro de EE. UU. (OFAC) y la SEC sobre DeFi y los protocolos entre cadenas. Si se agrava la ofensiva regulatoria, las acciones relacionadas con las criptomonedas en EE. UU. (como Coinbase y MicroStrategy), así como las acciones de empresas de blockchain y de equipos de minería en Taiwán (como Gigabyte y MSI), podrían verse afectadas a corto plazo por la aversión al riesgo del mercado y sufrir una corrección temporal en sus valoraciones.
【Qué observar a continuación】
1. Observar la ruta de los aproximadamente 11,8 millones de NEAR robados que aún quedan, y prestar atención a si los principales exchanges y las entidades de cumplimiento pueden bloquear a tiempo los retiros de las billeteras vinculadas a esta red de lavado y los fondos que pasan por puentes entre cadenas.
2. Observar si las principales plataformas DEX y las herramientas de análisis de blockchain implementan alertas de gestión de riesgos en tiempo real para detectar patrones anómalos como «crear fondos nuevos, concentrar las operaciones y retirar rápidamente la liquidez».
【Advertencia de riesgo】
Los inversores deben tener cuidado con las trampas de liquidez de las memecoins de baja capitalización y evitar seguir a ciegas las fluctuaciones de los tokens en la cadena. Si las autoridades regulatorias de Europa y EE. UU. adoptan medidas punitivas contra los protocolos DeFi a raíz de estos casos de lavado de dinero, el mercado de criptomonedas podría enfrentarse a un endurecimiento general de la liquidez y a una volatilidad intensa.