La empresa de análisis de blockchain Elliptic publicó ayer (9/11) un informe en el que señala que el hackeo de Binance ocurrido a finales de octubre, en el que se robaron criptoactivos por un valor aproximado de 6.400 millones de dólares, involucró un método de lavado de dinero relativamente novedoso. Los blanqueadores norcoreanos emitieron sus propias memecoins, que casi nadie compró, y utilizaron fondos de liquidez para transferir los fondos robados.
Hackers norcoreanos crean sus propias memecoins para evitar transferir directamente los fondos robados
Elliptic señala que estas memecoins se utilizan una sola vez y que los blanqueadores fijan su precio por cuenta propia, mientras que casi nadie más las compra. Después, el proceso de lavado continúa así:
Durante la operación, primero se utiliza una herramienta pública de emisión de tokens para crear uno nuevo, se empareja con activos reales como NEAR o monedas estables y se abre un fondo de liquidez en un exchange descentralizado.
Un grupo de billeteras compra los tokens con fondos robados; luego, otro grupo los vende de vuelta al mismo fondo y retira activos reales.
Así, los fondos robados no se transfieren directamente de las billeteras compradoras a las billeteras receptoras, y estas últimas parecen pertenecer a operadores corrientes que obtuvieron ganancias al vender tokens.
Elliptic señala que cada día se crean muchas memecoins y que la mayoría pronto cae en el olvido. Un token efímero más no llama mucho la atención, y es fácil confundir las billeteras con un historial de operaciones con memecoins con las de especuladores.
Una serie de casos, de TRON a NEAR
Elliptic afirma que esta táctica apareció por primera vez en el hackeo de Bybit de 2025. En aquella ocasión, los blanqueadores emitieron tokens sin valor en la cadena Tron y transfirieron al menos 24 millones de dólares. Tanto ese incidente como el reciente ataque a Binance se atribuyen a TraderTraitor, organización que se considera vinculada al Grupo Lazarus.
El 2 de noviembre también se detectaron tokens similares en la cadena Tron. El 3 de noviembre, SOL robados se cambiaron por tokens ya existentes con poca actividad comercial. El objetivo era el mismo.
Las transacciones en la cadena NEAR también registraron por completo los movimientos de los blanqueadores norcoreanos.
Según los cálculos de Elliptic, entre el 5 y el 7 de noviembre aparecieron al menos seis memecoins: FUK, OLCCL, MEILI, MMLI, DABI y SINU. Crear cada una costó unos 90 dólares. Las billeteras compradoras recibieron en total unos 117.000 NEAR robados, equivalentes a aproximadamente 430.000 dólares. Poco después, casi la misma cantidad salió de las billeteras receptoras; la mayoría se convirtió en monedas estables o se transfirió a puentes entre cadenas.
Elliptic considera que estos tokens se crearon específicamente para lavar dinero. Entre los motivos, señala que todas las ventas y casi todas las compras procedían de billeteras de la red de blanqueo, y que cada token registró ventas en las tres horas siguientes a su lanzamiento.
El rastro del lavado aún puede seguirse; las empresas deben revisar sus controles
Elliptic señala que todos los pasos quedan registrados en la blockchain. Este método solo ralentiza las investigaciones, pero el recorrido de los fondos sigue siendo rastreable.
Al pasar por tokens y fondos de liquidez, los fondos robados dan varios rodeos. Los investigadores deben desentrañar cada capa para confirmar que el dinero de las billeteras receptoras procede en realidad de fondos robados. El lavado de dinero es una carrera contra el tiempo: si los fondos se transfieren antes de que se los marque como robados, resulta más fácil convertirlos en dinero. Por eso, ralentizar la investigación beneficia a los blanqueadores.
Por ahora, la cantidad movida mediante memecoins es limitada, pero los aproximadamente 11,8 millones de NEAR robados (unos 43,7 millones de dólares) aún no se han movido. Para los hackers, este método tiene un costo muy bajo y puede utilizarse para mover cantidades mayores.
Elliptic recomienda a los equipos de cumplimiento que no den por sentado que los fondos procedentes de fondos de liquidez son legítimos, sobre todo cuando intervienen tokens recién creados. Entre las señales de alerta que conviene vigilar están que solo unas pocas billeteras operen en el fondo y que billeteras nuevas reciban fondos poco antes de realizar transacciones. Las empresas también pueden cotejar las billeteras con la lista negra pública de Elliptic relacionada con el hackeo de Binance y volver a revisar los fondos ya recibidos a medida que la lista se amplíe.
El informe también señala que los blanqueadores norcoreanos suelen combinar varias técnicas de bajo costo, y que la creación de memecoins es solo una de ellas.
Además, aunque el FBI de Estados Unidos y varias empresas de ciberseguridad atribuyen el hackeo de Binance a un grupo de hackers respaldado por Corea del Norte, Kim Yo-jong, hermana del líder norcoreano Kim Jong-un y alta funcionaria del Partido del Trabajo, lo negó. También recalcó que, mientras Estados Unidos no abandone su política hostil hacia Corea del Norte, Pyongyang no tendrá motivos para sentarse a negociar con ese país.
Lecturas relacionadas:
Seguimiento del lavado de dinero del hackeo de Binance: se crea una billetera nueva cada 25 segundos, se opera en 11 cadenas y aún no hay pruebas de participación de IA
Análisis del método de lavado de dinero del hackeo de Binance: aparece un patrón nunca visto; una vez se vendieron tokens por 5 millones de dólares y solo se obtuvieron 71 dólares
El artículo «Los hackers norcoreanos que robaron 6.400 millones de dólares a Binance lavan dinero emitiendo memecoins que a nadie le importan; estas seis monedas fueron herramientas del delito» se publicó originalmente en «Cripto Ciudad».