A empresa de análise de blockchain Elliptic afirmou em um relatório publicado em 9 de novembro que lavadores de dinheiro norte-coreanos emitiram suas próprias memecoins para movimentar fundos roubados da Binance. Entre 5 e 7 de novembro, eles lançaram pelo menos seis novas moedas na blockchain NEAR. Cerca de 117 mil NEAR (aproximadamente US$ 430 mil) em fundos roubados passaram por essas moedas, que depois foram abandonadas.
A Elliptic afirmou que, além da própria rede de lavagem de dinheiro, quase ninguém comprou essas moedas. Seu único propósito era criar um conjunto de transações entre os fundos roubados e a carteira seguinte.
Macaco com laço rosa, pato com bandeira dos EUA: cada token custa cerca de US$ 90 para ser criado
Os seis tokens adotaram a estética típica das meme coins. Os logos listados pela Elliptic incluem um macaco com laço rosa, um pato diante da bandeira dos EUA, um chimpanzé, uma raposa, um emblema dourado em chamas e uma imagem de Elon Musk com a faixa “Elon 2028 President”. A Elliptic ressalta que não há indícios de qualquer relação entre Musk e esses tokens.
Os nomes também seguem os costumes das meme coins, da piada vulgar FUK ao SINU, que imita o sufixo “-INU” da série Dogecoin. Os seis tokens são FUK, lançado em 5 de novembro; OLCCL, MEILI, MMLI e DABI, lançados em 6 de novembro; e SINU, lançado em 7 de novembro (todos os horários em UTC). A emissão de cada token custou cerca de 25 NEAR, ou aproximadamente US$ 90.
A Elliptic considera que o disfarce é, por si só, parte do método. Milhares de meme coins são lançadas todos os dias e a maioria desaparece em poucos dias; um token efêmero a mais, com um logo de desenho animado, não chama atenção. O histórico de uma carteira com negociações de meme coins parece ser o de um especulador, e não de um operador de lavagem de dinheiro — a menos que alguém investigue a origem dos fundos.
Os fundos roubados entram e saem por meio de pools de negociação; não há transferências diretas visíveis on-chain
A Elliptic divide o método em quatro etapas: primeiro, lançar um novo token usando uma ferramenta de emissão disponível publicamente on-chain; depois, combinar o novo token com um ativo real, como NEAR ou uma stablecoin, para formar um pool de liquidez em uma exchange descentralizada; em seguida, um grupo de carteiras compra o novo token com fundos roubados; por fim, outro grupo de carteiras vende os tokens de volta ao mesmo pool e retira os ativos reais.
Durante todo o processo, os fundos roubados nunca são transferidos diretamente da carteira compradora para a carteira que faz o saque, pois o pool fica entre elas. Para quem não observa com atenção, a carteira que faz o saque parece ser a de um negociante comum que vendeu tokens com lucro.
Os seis tokens na NEAR seguiram o mesmo processo: foram lançados, negociados intensamente com fundos roubados algumas horas depois e, em seguida, abandonados. Nenhum deles voltou a ser negociado depois de 8 de novembro. Naquela tarde, os emissores de quatro dos tokens retiraram a liquidez restante dos pools.
Todos os fundos das carteiras compradoras vieram da principal carteira de NEAR roubados, passando por várias camadas de contas intermediárias, totalizando cerca de 117 mil NEAR. Quase a mesma quantidade de NEAR saiu rapidamente das carteiras de saque; a maior parte foi convertida em stablecoins ou enviada para bridges cross-chain. A Elliptic observa que esse valor é pequeno em relação ao restante dos fundos roubados: ainda há cerca de 11,8 milhões de NEAR roubados — aproximadamente US$ 43,7 milhões — que não foram movimentados.
A receita de um token paga a taxa de emissão do seguinte
A Elliptic apresenta três evidências de que esses tokens foram criados exclusivamente para lavagem de dinheiro. A primeira é a ausência de negociações por terceiros: todas as vendas dos seis tokens vieram da rede de lavagem de dinheiro, e em cinco deles todas as compras também foram feitas pela rede. A única negociação externa foram algumas pequenas compras de FUK no primeiro dia, que representaram menos de 1% do volume negociado. DABI, MMLI e SINU tiveram apenas uma carteira compradora e uma vendedora cada.
A segunda é que os tokens formam uma cadeia. Em cinco dos seis casos, os fundos do emissor vieram de uma carteira que estava vendendo o token anterior, entre 2 e 13 minutos antes da emissão do novo token — ou seja, a receita da lavagem do token anterior pagava a taxa de emissão do seguinte.
A terceira é o uso único, seguido do descarte. A primeira venda de cada token ocorreu em até três horas após seu lançamento; pelo menos três quartos das negociações foram concluídos em um único dia; e as quantidades de NEAR que entraram e saíram de cada token são compatíveis.
O caso Bybit já usou o mesmo método; no caso Binance, ele também apareceu na Tron e na Solana
A Elliptic observou esse método pela primeira vez durante a lavagem de dinheiro no ataque à Bybit em 2025. Tanto o caso Bybit quanto o ataque à Binance em outubro foram atribuídos ao grupo hacker norte-coreano TraderTraitor. Na época, os operadores de lavagem de dinheiro lançaram um token sem valor na Tron, combinaram-no com uma stablecoin para formar um pool de negociação e usaram novas carteiras para retirar pelo menos US$ 24 milhões.
Poucos dias após o ataque à Binance, o mesmo método voltou a aparecer. Segundo a Elliptic, em 2 de novembro foi encontrado na Tron um token sem valor, criado exclusivamente para lavagem de dinheiro. No dia seguinte, SOL roubados foram trocados na Solana por tokens encapsulados e tokens pouco negociados, depois vendidos por USDC e transferidos para outras blockchains. Na Solana foram usados tokens existentes, em vez de tokens criados para a ocasião, mas o objetivo era o mesmo: inserir um ativo pouco conhecido entre os fundos roubados e a carteira seguinte.
Esta é a segunda análise da Elliptic sobre o fluxo dos fundos roubados da Binance. O relatório anterior apontou que a Coreia do Norte abriu 12 mil carteiras em quatro dias para dispersar os fundos. Os atacantes também cometeram um erro ao vender tokens: tentaram vender cerca de US$ 5 milhões em PROM em um pool com quase nenhuma liquidez e receberam apenas cerca de US$ 71.
Elliptic: não se deve presumir que o dinheiro recebido de um pool de negociação seja limpo
A Elliptic enfatiza que cada etapa desse método fica registrada publicamente na blockchain, portanto os investigadores ainda conseguem rastreá-la. Não se trata de esconder os fundos, mas de atrasar o rastreamento: a lavagem de dinheiro é uma corrida contra o tempo antes que os fundos sejam sinalizados; e, como cada token na NEAR custa apenas cerca de US$ 90 para ser criado, os operadores podem emitir muitos e descartá-los após um único uso.
A Elliptic alerta as equipes de compliance de corretoras e outras empresas do setor: carteiras que recebem fundos de pools de liquidez não devem ser consideradas limpas, pois podem estar a apenas duas trocas de distância dos fundos roubados. Entre os sinais de alerta citados no relatório estão: tokens emitidos nos últimos dias; pools com apenas algumas carteiras negociando; algumas carteiras apenas comprando e outras apenas vendendo; e carteiras novas que começam a negociar pouco depois de receber depósitos, frequentemente em valores redondos.
Para consultar os detalhes completos do ataque à Binance e o andamento das indenizações, acesse a página central do incidente de segurança da Binance.
Este artigo, “Coreia do Norte cria suas próprias meme coins para lavar fundos roubados da Binance: 6 tokens na NEAR movimentaram US$ 430 mil e foram descartados”, foi publicado originalmente em 。
【Análise complementar】
【Minha análise complementar】
Esse modelo de lavagem de dinheiro, que combina “meme coins criadas para a ocasião + pools de liquidez em exchanges descentralizadas (DEX)”, revela uma evolução tática de grupos hackers, que exploram o baixo custo de emissão de tokens em blockchains públicas e a natureza permissionless das DEX. Em comparação com mixers tradicionais, como o Tornado Cash, que enfrentam uma forte repressão regulatória, criar pools de negociação de meme coins em blockchains de baixo custo, como NEAR, Solana e Tron, não só custa muito pouco — cerca de US$ 90 por operação — como também permite disfarçar a lavagem de dinheiro como negociações frequentes de pequenos investidores, ampliando consideravelmente o período disponível para detecção e rastreamento on-chain. Isso mostra que a infraestrutura DeFi está sendo cada vez mais transformada em arma por hackers, e que o conflito entre descentralização e as exigências de prevenção à lavagem de dinheiro (AML) ficará mais acirrado.
【Impacto no mercado】
- **Mercado de criptomoedas (de baixista a neutro):**
- **NEAR / SOL / TRX (neutro a baixista):** O relatório mostra que ainda há cerca de US$ 43,7 milhões em fundos roubados na NEAR que não foram movimentados. Se os hackers acelerarem a conversão desses fundos por meio de bridges cross-chain e DEX, os tokens das blockchains envolvidas poderão sofrer pressão vendedora contínua. Além disso, o aumento de atividades anormais de lavagem de dinheiro on-chain pode levar os órgãos reguladores a intensificar o escrutínio dos ecossistemas dessas blockchains.
- **BNB / ecossistema Binance (baixista):** A lavagem bem-sucedida dos fundos roubados e sua transferência entre blockchains podem enfraquecer a confiança do mercado na segurança dos ativos e nos controles de risco das exchanges centralizadas. Caso haja responsabilização regulatória posteriormente, o preço do BNB também poderá ser pressionado.
- **Mercados de ações dos EUA e de Taiwan (neutro a baixista):**
Esse incidente pode intensificar a fiscalização de DeFi e protocolos cross-chain pelo Departamento do Tesouro dos EUA (OFAC) e pela SEC. Se a pressão regulatória aumentar, ações de empresas ligadas a criptomoedas nos EUA, como Coinbase e MicroStrategy, e ações taiwanesas de empresas ligadas a blockchain e equipamentos de mineração, como Gigabyte e MSI, poderão ser afetadas no curto prazo pela aversão ao risco do mercado, com possíveis correções temporárias nas avaliações.
【O que acompanhar】
1. Acompanhar o fluxo dos cerca de 11,8 milhões de NEAR roubados que ainda restam e observar se as principais exchanges e instituições de compliance conseguem bloquear a tempo os saques de carteiras e os fundos em bridges cross-chain ligados a essa rede de lavagem de dinheiro.
2. Observar se as principais plataformas DEX e as ferramentas de análise de blockchain lançarão mecanismos de alerta em tempo real para atividades on-chain suspeitas, como “criação de novos pools, negociações concentradas e encerramento rápido dos pools”.
【Aviso de risco】
Os investidores devem estar atentos às armadilhas de liquidez das meme coins de baixa capitalização e evitar seguir cegamente as movimentações on-chain de tokens. Se as autoridades reguladoras dos EUA e da Europa adotarem medidas punitivas contra protocolos DeFi em resposta a casos de lavagem de dinheiro, o mercado de criptomoedas poderá enfrentar uma contração geral da liquidez e forte volatilidade.