A Elliptic rastreou cerca de 117.000 NEAR (aproximadamente US$ 430.000) por meio de seis memecoins recém-criadas na blockchain NEAR, entre 5 e 7 de novembro.
A técnica encaminha fundos roubados por pools de liquidez de DEX, de modo que não ocorra nenhuma transferência direta entre carteiras, um método usado anteriormente após o ataque hacker à Bybit em 2025 para movimentar pelo menos US$ 24 milhões.
Um dos tokens apresentava uma imagem de Elon Musk sob uma faixa com os dizeres "Elon 2028 Presidente"; a Elliptic afirmou que não há nenhuma ligação com Musk.
O roubo da Binance em 29 de outubro continua sendo o maior ataque hacker a criptomoedas já registrado, com cerca de US$ 6,4 bilhões, atribuído pelo FBI ao grupo TraderTraitor, da Coreia do Norte.
A empresa de análise de blockchain Elliptic identificou uma nova camada de ocultação na lavagem dos fundos do recorde de US$ 6,4 bilhões roubados no ataque à Binance, com agentes ligados à Coreia do Norte criando seis memecoins descartáveis para movimentar tokens NEAR roubados.
Segundo uma análise da Elliptic publicada na segunda-feira, aproximadamente 117.000 NEAR, avaliados em cerca de US$ 430.000 na época, passaram pelos seis tokens criados entre 5 e 7 de novembro. Os tokens, chamados FUK, OLCCL, MEILI, MMLI, DABI e SINU, custaram cerca de 25 NEAR (aproximadamente US$ 90) cada para serem lançados e foram pareados com NEAR em seus próprios pools de liquidez de exchanges descentralizadas. O The Block informou que os tokens tinham mascotes de animais, incluindo um macaco com um laço rosa e um pato diante de uma bandeira dos EUA, além de um token com a imagem de Elon Musk.
O método consiste em um conjunto de carteiras comprar as memecoins usando NEAR roubados, enquanto um segundo conjunto de carteiras vende os mesmos tokens de volta para o pool e recebe NEAR. Como observou a Elliptic: "Em nenhum momento os fundos roubados passam diretamente de uma carteira compradora para uma carteira que os recebe, porque o pool fica no meio." Isso cria a aparência de atividade normal de negociação. Quase todo o volume veio das próprias carteiras dos lavadores, com compradores externos respondendo por menos de 1% das negociações de pelo menos um token. A atividade cessou em 8 de novembro, quando a liquidez foi retirada de quatro pools naquele dia.
Essa abordagem reproduz uma tática documentada pela primeira vez pela Elliptic na lavagem de recursos do ataque à Bybit, em fevereiro de 2025, que movimentou pelo menos US$ 24 milhões. Atividades semelhantes foram observadas na Tron em 2 de novembro e na Solana no dia seguinte. A CoinDesk citou o cofundador da Elliptic, Tom Robinson, afirmando que os lavadores "criaram seis desses tokens de cripto e negociaram apenas entre si. Isso faz os fundos roubados parecerem recursos provenientes de negociações."
O incidente envolvendo a Binance ocorreu em 29 de outubro, quando invasores drenaram ativos em várias blockchains no que empresas de análise, entre elas Elliptic, Chainalysis e TRM Labs, descreveram como o maior roubo de criptomoedas já registrado. O FBI atribuiu o roubo ao grupo TraderTraitor. Embora a atividade com memecoins represente apenas uma pequena parte do total roubado, ela mostra como agentes ligados a Estados continuam recorrendo a técnicas baratas na blockchain para dificultar o rastreamento, enquanto exchanges, emissores de stablecoins e empresas de análise coordenam congelamentos que já imobilizaram cerca de US$ 2,85 bilhões dos fundos roubados.
Para traders e equipes de compliance, esse acontecimento ressalta os riscos contínuos relacionados à infraestrutura de carteiras quentes e ao arsenal de ferramentas em evolução usado por agentes sofisticados. A Elliptic sustenta que ainda é possível seguir o rastro na blockchain e continua atualizando listas públicas de bloqueio com endereços associados. A Binance declarou que está cobrindo as perdas dos usuários com reservas da empresa e retomando os saques em etapas.