Hackers de la RDPC crearon monedas virtuales (“mem-coins”) para lavar fondos robados de Binance

Hackers norcoreanos lanzaron monedas virtuales (“mem-coins”) para lavar criptomonedas robadas en el ataque a Binance, por un valor de 6400 millones de dólares. A través de estas monedas, transfirieron alrededor de 430 000 dólares, según analistas de Elliptic.

Así los cibercriminales rompían la conexión directa entre las cuentas donde estaban los fondos robados y las carteras a las que finalmente llegaban los fondos. Para ello utilizaron monedas de escaso valor y fondos de liquidez de las bolsas de valores descentralizadas.

Según los investigadores, del 5 al 7 de noviembre aparecieron seis monedas virtuales (“mem-coins”) en la red NEAR: FUK, OLCCL, MEILI, MMLI, DABI y SINU. En apariencia, no se diferenciaban de las monedas especulativas habituales: tenían imágenes de animales en sus logotipos, nombres humorísticos e incluso el retrato de Elon Musk.

Dinámica de las transacciones de las monedas virtuales lanzadas por los hackers en la red NEAR. Fuente: Elliptic.

El lanzamiento de cada moneda costó aproximadamente 25 NEAR, es decir, 90 dólares.

Cómo funcionaba el esquema

Para cada moneda virtual, los cibercriminales creaban un fondo de liquidez en la red NEAR. Algunas cuentas controladas por ellos compraban tokens con las criptomonedas robadas en ese fondo, mientras que otras vendían los tokens y recibían NEAR a cambio.

En resumen, los fondos no llegaban directamente a las nuevas carteras desde las cuentas implicadas en el robo, sino como ingresos de las operaciones en la bolsa de valores descentralizada.

Схема отмывания украденных средств с использованием пулов ликвидности. Источник: Elliptic. Аналитики установили, что почти все сделки с шестью монетами были совершены кошельками, входящими в одну и ту же сеть. Внешние пользователи купили эти монеты всего несколько раз в первый день – менее 1% от общего объема их оборота. Каждый токен использовался ненадолго; первые сделки происходили в течение трех часов после выпуска монет, а основная активность сосредоточилась на один день. К 8 ноября торги всеми шестью монетами прекратились. Из четырех пулов ликвидности злоумышленники изъяли оставшуюся сумму денег. Всего через эту схему было переведено около 117 000 единиц NEAR (430 000 долларов); почти столько же средств было утрачено получателями – в основном в результате обмена на стейблкоины или через кросс-чейн-платформы. Примерно 11,8 миллиона единиц NEAR (43,7 миллиона долларов) из украденных средств оставались неподвижными на момент публикации отчета. Взлом кошелька Binance на сумму 2,5 миллиарда долларов обошелся хакерам в 15 долларов. Этот метод уже использовался при взломе платформы Bybit. Специалисты компании Elliptic впервые описали эту схему при отслеживании процессов отмывания средств, украденных с платформы Bybit в 2025 году. Тогда хакеры выпустили соответствующий токен в сети Tron, создали для него пул ликвидности в сочетании со стейблкоином и перевели через него не менее 24 миллионов долларов. После атаки на Binance те же методы были применены 2 ноября – на этот раз в сети Tron. На следующий день злоумышленники перешли к сети Solana, но вместо создания новых монет воспользовались уже существующими, но малоликвидными токенами. Исследователи подчеркнули, что такая тактика не обеспечивает анонимности: каждая транзакция фиксируется в блокчейне и может быть отслежена.Sin embargo, los traducciones innecesarias ralentizan la investigación y dan a los hackers tiempo para que los fondos no sean identificados como relacionados con el robo.

Dimensiones del blanqueo de dinero

En un informe separado, Elliptic estimó el monto robado de Binance en 6,43 mil millones de dólares. Para transferir estos fondos, los hackers utilizaron más de 20 000 carteras en 16 blockchains y al menos 36 servicios, realizando más de 65 000 transacciones.

Hasta el 7 de noviembre, en las cuentas relacionadas con el robo quedaban alrededor de 3,1 mil millones de dólares, principalmente en Ethereum y Bitcoin. Otros 2,85 mil millones de dólares fueron congelados o incautados. Los investigadores señalaron que los delincuentes solo lograron convertir en efectivo una parte insignificante del dinero robado.

Cabe recordar que a principios de noviembre, un fallo en THORChain ralentizó el blanqueo de los fondos robados de Binance. El protocolo detuvo su funcionamiento en diez blockchains debido a un error durante la reorganización de un bloque de Ethereum.