Hackeo a Binance por US$6,3 mil millones: giro con «meme coins»

Las «meme coins» complican el rastro del hackeo a Binance

Los blanqueadores norcoreanos utilizaron monedas meme y tokens poco conocidos en Tron, Solana y Near, según explicó el 9 de noviembre Tom Robinson, cofundador y científico jefe de Elliptic. En el caso de Tron y Near se utilizaron monedas de nueva creación; Solana se basó en activos ya existentes. Robinson escribió:

«La mayoría de la gente piensa que los tokens meme son monedas de broma cuyos precios suben y bajan según el bombo publicitario. Los blanqueadores de Corea del Norte les han encontrado un uso diferente, creando tokens que nadie más quiere comprar y utilizándolos para encubrir el movimiento de fondos robados».

En Near, un grupo compró las nuevas monedas con criptomonedas robadas a través de fondos comunes de liquidez de tokens. Otras carteras vendieron en esos mismos fondos y obtuvieron unos ingresos casi equivalentes, separando las direcciones de envío y recepción.

Seis tokens creados entre el 5 y el 7 de noviembre movieron unos 117 000 NEAR (430 000 dólares), sin apenas operaciones externas. Cada lanzamiento costó unos 90 dólares. Cinco creadores recibieron financiación de ventas de tokens anteriores poco antes de lanzar los sustitutos.

La Oficina Federal de Investigación (FBI) atribuyó el 31 de octubre a Corea del Norte el robo a Binance del mes pasado, identificando la operación como «Tradertraitor», un grupo norcoreano patrocinado por el Estado que tiene como objetivo las empresas de criptomonedas.

Sin embargo, Corea del Norte negó su responsabilidad en el ataque informático el 3 de noviembre. Kim Yo-jong, hermana del líder norcoreano Kim Jong Un, calificó las acusaciones del FBI de «grave provocación política» destinada a dañar la reputación del país.

El robo a Binance desencadenó una carrera contra las congelaciones

Chainalysis descubrió que los activos robados en el ataque a Binance del 29 de octubre se mezclaron con los ingresos del robo a Bitget de septiembre. La empresa citó esta coincidencia al atribuir el robo a Binance a Tradertraitor. Su evaluación se basó en la actividad de la cadena de bloques observada en las horas posteriores al ataque.

El atacante intentó eludir las congelaciones mediante rápidas conversiones a stablecoins, cambiando 325 millones de dólares en fondos por aproximadamente 285 millones de dólares en ether en apenas 20 minutos. El ether carece de las congelaciones controladas por el emisor de las que disponen esas stablecoins.

Elliptic detectó el 2 de noviembre un token de Tron sin valor creado exclusivamente para el blanqueo, y al día siguiente el solana robado se movió a través de tokens con escaso volumen de negociación. Elliptic ya había rastreado al menos 24 millones de dólares a través de un esquema similar tras el robo a Bybit de 2025. Al explicar este enfoque por capas, Robinson afirmó:

«Los blanqueadores de Corea del Norte rara vez recurren a una única técnica. En su lugar, superponen muchas técnicas baratas, cada una de las cuales añade un poco más de retraso. Los tokens meme de creación propia son simplemente una capa más».

Miles de carteras conducen a Bitcoin

Para el 2 de noviembre, los activos robados habían pasado por aproximadamente 12 000 carteras repartidas en 11 cadenas de bloques. La sincronización fija y los reintentos ciegos de operaciones fallidas sin ajustes indicaban una automatización convencional. Elliptic no encontró pruebas de decisiones dirigidas por IA.

Una actualización del 7 de noviembre contabilizó más de 20 000 carteras, 16 cadenas de bloques y al menos 65 000 transacciones. Elliptic rastreó conversiones por valor de aproximadamente 2 300 bitcoins —que en aquel momento valían 175 millones de dólares— a partir de activos como Solana, XRP y Tron.

Los ingresos convertidos alcanzaron unos 3.000 bitcoins, con un valor de 225 millones de dólares a fecha de 9 de noviembre. Elliptic también rastreó aproximadamente 7.000 ether (por valor de unos 15 millones de dólares) hasta Tornado Cash, un mezclador que permite retirar depósitos agrupados a diferentes direcciones. La empresa estimó que probablemente solo se había retirado una cantidad insignificante. En cuanto a la exposición a través de los fondos comunes de negociación, el científico jefe de Elliptic advirtió:

«Una cartera que haya recibido sus fondos de un fondo común de liquidez no debe considerarse «limpia» por defecto, ya que puede estar a solo dos intercambios de distancia de fondos robados».