Los hackers de Binance están blanqueando el botín a través de las «meme coins»

El grupo que sustrajo aproximadamente 6.3 mil millones de dólares de Binance ha empezado a acuñar monedas meme. No se espera que nadie las compre. Su única finalidad es que el dinero robado tenga un lugar donde esconderse durante unas horas.

La noticia se difundió rápidamente en X, donde StalkHQ señaló el lanzamiento de estas monedas meme, y los detalles proceden de un informe publicado el lunes por la empresa de análisis de blockchain Elliptic. Según Elliptic, los blanqueadores que trabajan para el grupo norcoreano TraderTraitor crearon al menos seis tokens desechables en NEAR entre el 5 y el 7 de noviembre. Una de ellas muestra a un mono con un lazo rosa. Otra, a un pato envuelto en una bandera estadounidense. Una muestra a Elon Musk bajo una pancarta que reza «Elon 2028 President», lo cual, según Elliptic, no tiene nada que ver con Musk. Entre los nombres se encuentran FUK y SINU.

Las cantidades son pequeñas. Aproximadamente 117 000 NEAR, unos 430 000 dólares, pasaron por los seis tokens, lo que supone menos del 0,01% del botín. El método es lo que merece la pena destacar.

Ya informamos sobre el propio ataque cuando se produjo. En resumen: el 29 de octubre, los atacantes se llevaron miles de millones en unos 20 minutos, y el director ejecutivo, Richard Teng, afirmó posteriormente que el atacante utilizó un mecanismo de autodestrucción que borró las herramientas y los rastros a lo largo del proceso. El FBI identificó a TraderTraitor dos días después. Se trata del mismo grupo al que la agencia culpó del robo de 1.4 mil millones de dólares a Bybit en 2025.

Cómo un token sin valor blanquea dinero real

El truco es sencillo y barato. Lanzar cada token cuesta unos 25 NEAR, unos 90 dólares. Los blanqueadores lo emparejan con un activo real como NEAR en un fondo de liquidez de un exchange descentralizado. Un primer conjunto de carteras ingresa los fondos robados en el fondo común y recibe a cambio el nuevo token. Un segundo conjunto de carteras vende el token en el mismo fondo común y retira NEAR que parece «limpio».

El dinero robado nunca pasa directamente del primer grupo de carteras al segundo. El fondo común actúa como intermediario, y las carteras receptoras parecen de operadores normales que han vendido una moneda meme obteniendo beneficios. El cofundador de Elliptic, Tom Robinson, lo dejó claro en X: las monedas son un disfraz, pero cada paso queda registrado en la cadena de bloques y Elliptic lo ha rastreado.

Es difícil rebatir las pruebas de Elliptic de que estos tokens nunca tuvieron un mercado real. Las carteras de la red de blanqueo realizaron todas las ventas de los seis tokens y compraron todas las unidades de cinco de ellos. Cinco de los seis creadores recibieron financiación de un monedero que había estado vendiendo el token anterior unos minutos antes, por lo que cada moneda pagaba la siguiente. Los seis se vendieron por primera vez en las tres horas siguientes al lanzamiento y luego se deshicieron de ellos. Ninguno se ha negociado desde el 8 de noviembre, y los creadores de cuatro de ellos retiraron la liquidez restante esa misma tarde.

No es nada nuevo, solo a mayor escala

Corea del Norte ya lo había hecho antes. Elliptic lo detectó por primera vez tras el hackeo de Bybit, cuando al menos 24 millones de dólares pasaron a través de un token sin valor en Tron. Esta vez, el grupo lo logró en cuestión de días. El 2 de noviembre apareció un token de Tron y, el 3 de noviembre, el SOL robado se canjeó por tokens de Solana con escaso volumen de negociación antes de venderse a cambio de USDC. El lote de NEAR llegó más adelante esa misma semana.

Las «meme coins» son una tapadera decente porque cada día se lanzan miles y la mayoría desaparece en cuestión de días. Una cartera con un token de dibujos animados reciente en su historial parece la de un especulador, no la de un blanqueador, a menos que alguien compruebe de dónde procede el dinero.

Un espectáculo secundario respecto a la máquina principal

Elliptic tiene claro que esta capa no oculta nada. Lo que hace es ralentizar a los investigadores y, en una carrera por el blanqueo, el objetivo es precisamente el retraso.

La operación a mayor escala tiene un aspecto diferente. El recuento de Elliptic abarca ahora más de 20 000 carteras repartidas en 16 blockchains y al menos 36 servicios. A principios de semana, la empresa señaló que los fondos se trasladaban a una nueva cartera aproximadamente cada 25 segundos, y Robinson lo describió como un blanqueo en piloto automático, probablemente automatizado pero con supervisión humana. La propia advertencia de Elliptic fue que las listas estáticas y las comprobaciones puntuales pasarán por alto un grupo como este. Chainalysis también señaló la automatización que hay detrás del blanqueo.

También hay otras vías abiertas. Desde el domingo han entrado en Tornado Cash unos 7 000 ETH, lo que equivale aproximadamente a 15 millones de dólares. Alrededor de 3.000 BTC, unos 225 millones de dólares, se encuentran ahora en direcciones de bitcoin nuevas, y algunos fondos robados se han movido a través de THORChain, algo que los podcasters ya estaban debatiendo en el contexto de la atribución del FBI.

Parte del botín nunca tuvo oportunidad de moverse. El FBI afirma que Tether, Circle, Ripple, Arbitrum y Optimism congelaron 2.85 mil millones de dólares en la cadena de bloques. TRM sitúa la cifra más cerca de los 2.7 mil millones de dólares, y Binance habla de unos 3 mil millones de dólares. Elliptic también informó de que 11,8 millones de NEAR robados, por un valor aproximado de 43,7 millones de dólares, aún no se han movido.

Una advertencia por parte de quienes se dedican profesionalmente a rastrear a Corea del Norte. Michael Barnhart, de DTEX, declaró a Recorded Future News que TraderTraitor suele entregar el dinero rápidamente a redes chinas de blanqueo, por lo que parte de lo que los analistas observan en la cadena de bloques podría deberse a la actividad de dichas redes. Elliptic sigue atribuyendo la actividad relacionada con las «meme coins» a Corea del Norte.

Qué deben tener en cuenta los equipos de cumplimiento normativo

El consejo de Elliptic es dejar de considerar que los fondos de los pools de liquidez son «limpios» por defecto. Una cartera financiada a través de un swap puede estar a solo dos pasos del dinero robado. Las señales de alerta son un token creado en los últimos días, un fondo común con solo un puñado de operadores, carteras que solo compran o solo venden, y carteras nuevas financiadas con cantidades redondas poco antes de que comience la negociación. La empresa también publica una lista negra gratuita de direcciones de Binance afectadas por hackeos y afirma que la mantiene actualizada.

Por ahora, la cifra a tener en cuenta son esos 11,8 millones de NEAR que no se han tocado.