A Elliptic rastreou cerca de 117.000 NEAR (aproximadamente US$ 430.000) por meio de seis memecoins recém-criadas na blockchain NEAR entre 5 e 7 de novembro.
A técnica encaminha os fundos roubados por pools de liquidez de DEX, de modo que não ocorra nenhuma transferência direta entre carteiras — um método usado anteriormente após o ataque à Bybit em 2025 para movimentar pelo menos US$ 24 milhões.
Um dos tokens apresentava uma imagem de Elon Musk sob uma faixa com os dizeres “Elon Presidente em 2028”; a Elliptic afirmou que não há nenhuma ligação com Musk.
O roubo da Binance em 29 de outubro continua sendo o maior ataque hacker a criptomoedas já registrado, com um valor estimado em US$ 6,4 bilhões, atribuído pelo FBI ao grupo TraderTraitor, da Coreia do Norte.
A empresa de análise de blockchain Elliptic identificou uma nova camada de ofuscação na lavagem de fundos do hack recorde de US$ 6,4 bilhões da Binance, com agentes ligados à Coreia do Norte criando seis memecoins descartáveis para movimentar tokens NEAR roubados.
De acordo com a análise da Elliptic publicada na segunda-feira, cerca de 117.000 NEAR, avaliados em aproximadamente US$ 430.000 na época, passaram pelos seis tokens criados entre 5 e 7 de novembro. Os tokens, chamados FUK, OLCCL, MEILI, MMLI, DABI e SINU, custaram cerca de 25 NEAR (aproximadamente US$ 90) cada para serem lançados e foram pareados com NEAR em seus próprios pools de liquidez em exchanges descentralizadas. O The Block noticiou que os tokens tinham mascotes de animais, incluindo um macaco com um laço rosa e um pato diante de uma bandeira dos EUA, além de um que trazia uma imagem de Elon Musk.
O método funciona com um grupo de carteiras comprando as memecoins usando NEAR roubados, enquanto um segundo grupo de carteiras vende os mesmos tokens de volta para o pool e recebe NEAR. Como observou a Elliptic, “Em nenhum momento os fundos roubados passam diretamente de uma carteira compradora para uma carteira receptora, porque o pool fica entre elas.” Isso cria a aparência de atividade normal de negociação. Quase todo o volume veio das próprias carteiras dos lavadores, com compradores externos representando menos de 1% das negociações em pelo menos um dos tokens. A atividade cessou em 8 de novembro, quando a liquidez foi retirada de quatro pools naquele dia.
Essa abordagem reproduz uma tática documentada pela primeira vez pela Elliptic na lavagem de valores provenientes do hack da Bybit em fevereiro de 2025, que movimentou pelo menos US$ 24 milhões. Atividades semelhantes foram observadas na Tron em 2 de novembro e na Solana no dia seguinte. A CoinDesk citou o cofundador da Elliptic, Tom Robinson, afirmando que os lavadores “criaram seis desses tokens cripto e negociaram apenas entre si. Isso faz os fundos roubados parecerem receitas de negociação.”
O incidente envolvendo a Binance ocorreu em 29 de outubro, quando invasores drenaram ativos de várias blockchains no que empresas de análise, incluindo Elliptic, Chainalysis e TRM Labs, descreveram como o maior roubo de criptomoedas já registrado. O FBI atribuiu o roubo ao grupo TraderTraitor. Embora a atividade com memecoins represente apenas uma pequena parcela do total roubado, ela ilustra como agentes ligados a Estados continuam recorrendo a técnicas on-chain de baixo custo em várias camadas para dificultar o rastreamento, enquanto exchanges, emissores de stablecoins e empresas de análise coordenam congelamentos que já imobilizaram cerca de US$ 2,85 bilhões dos fundos roubados.
Para traders e equipes de conformidade, esse desenvolvimento ressalta os riscos contínuos relacionados à infraestrutura de carteiras quentes e ao conjunto de ferramentas em evolução usado por agentes sofisticados. A Elliptic sustenta que o rastro continua sendo rastreável on-chain e segue atualizando listas públicas de bloqueio de endereços associados. A Binance declarou que está cobrindo as perdas dos usuários com reservas da empresa e retomando os saques por etapas.
A publicação Lavadores norte-coreanos usam memecoins caseiras para movimentar US$ 430 mil do hack da Binance apareceu primeiro na Cryptopress.