A empresa de análise de blockchain Elliptic publicou ontem (9/11) um relatório apontando que o ataque hacker à Binance, ocorrido no fim de outubro e que resultou na perda de cerca de 6,4 bilhões de dólares em criptoativos, envolveu um método de lavagem de dinheiro relativamente novo. Lavadores de dinheiro norte-coreanos emitiram memecoins que quase ninguém comprava e usaram pools de liquidez para transferir os fundos roubados.
Hackers norte-coreanos criam memecoins para evitar transferências diretas de fundos roubados
A Elliptic aponta que essas memecoins são usadas uma única vez, têm o preço definido pelos próprios lavadores e quase não são compradas por outras pessoas. As etapas seguintes da lavagem são:
Durante a operação, primeiro é criada uma nova criptomoeda com uma ferramenta pública de emissão de tokens. Ela é pareada com ativos reais, como NEAR ou stablecoins, e uma pool de liquidez é aberta em uma exchange descentralizada.
Um grupo de carteiras compra os tokens com fundos roubados; outro grupo vende os tokens de volta para a mesma pool e retira ativos reais.
Assim, os fundos roubados não são transferidos diretamente da carteira compradora para a carteira que os recebe, que parece ser apenas a de um trader comum lucrando com a venda de criptomoedas.
A Elliptic aponta que milhares de memecoins são criadas todos os dias e que a maioria é rapidamente esquecida. Um token efêmero a mais dificilmente chama a atenção, e carteiras com histórico de negociação de memecoins também podem ser confundidas com as de especuladores.
Casos semelhantes surgem em sequência, de Tron a NEAR
Segundo a Elliptic, esse método surgiu pela primeira vez no ataque hacker à Bybit, em 2025. Na ocasião, os lavadores de dinheiro emitiram tokens sem valor na blockchain Tron e transferiram pelo menos 24 milhões de dólares. Tanto esse caso quanto o ataque à Binance foram atribuídos ao TraderTraitor, organização que se acredita estar ligada ao Grupo Lazarus.
Em 2 de novembro, tokens semelhantes também foram encontrados na blockchain Tron. No dia 3, SOL roubados foram trocados por tokens já existentes e pouco negociados, com o mesmo objetivo.
As transações na blockchain NEAR também registraram em detalhes as movimentações dos lavadores de dinheiro norte-coreanos.
A Elliptic contabilizou pelo menos seis memecoins criadas entre 5 e 7 de novembro: FUK, OLCCL, MEILI, MMLI, DABI e SINU. Cada uma custou cerca de 90 dólares para ser criada. As carteiras compradoras receberam ao todo cerca de 117 mil NEAR roubados, equivalentes a aproximadamente 430 mil dólares. Quase o mesmo valor saiu em seguida das carteiras receptoras, em sua maioria convertido em stablecoins ou enviado para pontes cross-chain.
A Elliptic acredita que esses tokens foram criados especificamente para lavagem de dinheiro. Entre os motivos estão o fato de todas as vendas e quase todas as compras terem sido feitas por carteiras da rede de lavagem, além de cada token ter sido vendido em até três horas após sua criação.
O rastro da lavagem ainda pode ser seguido; empresas devem rever seus procedimentos
A Elliptic ressalta que todas as etapas ficam registradas na blockchain. Esse método só torna as investigações mais lentas; o caminho percorrido pelos fundos ainda pode ser rastreado.
Os fundos roubados passam por tokens e pools de liquidez, dando algumas voltas a mais. Os investigadores precisam analisar cada camada para confirmar que o dinheiro recebido por uma carteira veio, na verdade, de fundos roubados. A lavagem de dinheiro é uma corrida contra o tempo: é mais fácil converter os fundos se eles forem transferidos antes de serem identificados como roubados. Por isso, atrasar as investigações é vantajoso para os lavadores.
Até agora, o valor movimentado por meio de memecoins é limitado. Mas os cerca de 11,8 milhões de NEAR roubados (aproximadamente 43,7 milhões de dólares) ainda não foram movimentados. Para os hackers, essa técnica tem um custo muito baixo e pode movimentar quantias maiores.
A Elliptic recomenda que as equipes de compliance não presumam que os fundos provenientes de pools de liquidez são legítimos, especialmente quando envolvem tokens recém-criados. Entre os sinais de alerta estão a negociação na pool por apenas algumas carteiras e o recebimento de fundos por carteiras novas pouco antes da negociação. As empresas também podem consultar a lista pública de carteiras ligadas ao ataque à Binance divulgada pela Elliptic e reavaliar os fundos já recebidos à medida que a lista for ampliada.
O relatório também aponta que os lavadores de dinheiro norte-coreanos costumam combinar diversas técnicas de baixo custo, e a criação de memecoins é apenas uma delas.
Além disso, embora o FBI dos Estados Unidos e várias empresas de segurança cibernética atribuam o ataque à Binance a um grupo de hackers ligado à Coreia do Norte, Kim Yo-jong, irmã do líder norte-coreano Kim Jong-un e alta dirigente do Partido dos Trabalhadores, negou o envolvimento. Ela enfatizou que, se os Estados Unidos não abandonarem sua política hostil em relação à Coreia do Norte, Pyongyang não terá motivo para se sentar à mesa de negociações.
Leia também:
Rastreamento da lavagem de dinheiro do ataque à Binance: uma nova carteira a cada 25 segundos e 11 blockchains; ainda não há provas do envolvimento de IA
Análise do método de lavagem de dinheiro do ataque à Binance: surge um esquema inédito; tokens vendidos por 5 milhões de dólares renderam apenas 71 dólares
O artigo “Hackers norte-coreanos que roubaram 6,4 bilhões de dólares da Binance lavam dinheiro criando memecoins que ninguém nota; estas seis moedas foram usadas no esquema” foi publicado originalmente em “Cripto Cidade”.