Entre el 5 y el 7 de noviembre, los hackers crearon al menos seis tokens en NEAR y utilizaron pools de liquidez en exchanges descentralizadas para transferir los fondos robados entre carteras, indicó Elliptic. Estos tokens casi no generaron transacciones externas y fueron desechados poco después de su lanzamiento.
Los hackers utilizaron un conjunto de carteras para intercambiar los tokens NEAR robados por las nuevas “memecoins”, y luego otro conjunto para vender estas nuevas monedas de vuelta a los pools a cambio de NEAR. Los exchanges permitieron mover los fondos sin necesidad de transferencias directas entre carteras, aunque las transacciones seguían siendo rastreables en la cadena de bloques.
Así se transfirieron los NEAR robados entre carteras a través de pools de liquidez. Fuente: Elliptic.Elliptic también descubrió que los creadores de cinco de los seis tokens fueron financiados con los ingresos obtenidos de la venta de tokens, solo de 2 a 13 minutos antes del lanzamiento del siguiente token, conectando así todas las transacciones en una cadena continua.
“Los lavadores de dinero de Corea del Norte rara vez dependen de una única técnica”, escribió en el informe el cofundador de Elliptic, Tom Robinson.“En lugar de eso, combinan muchas técnicas baratas, cada una de las cuales añade un poco más de retraso.” Elliptic señaló que la misma técnica de lavado de dinero también se utilizó después del hack de Bybit, que supuso una pérdida de 1500 millones de dólares en 2025, cuando actores vinculados a Corea del Norte movilizaron al menos 24 millones de dólares a través de un token recién creado en la cadena de bloques TRON. En el momento del análisis de Elliptic, alrededor de 11,8 millones de NEAR robados en el hack de Binance seguían sin ser movilizados; la empresa estimó el valor de estos fondos en 43,7 millones de dólares.
