Los hackers norcoreanos a los que el FBI atribuye el ataque contra Binance han recurrido a seis memecoins creadas por ellos mismos para intentar ocultar el origen de parte de los fondos robados. Entre el 5 y el 7 de noviembre movieron unos 117.000 tokens NEAR, valorados en aproximadamente 430.000 dólares, mediante operaciones coordinadas entre distintos monederos.
Seis memecoins para disfrazar el origen de los fondos
La maniobra ha sido identificada por Elliptic, una firma especializada en el análisis de cadenas de bloques. Según su investigación, los atacantes lanzaron seis criptomonedas con nombres e imágenes diseñados para parecer memecoins convencionales. Una de ellas mostraba una imagen de Elon Musk acompañada del mensaje «Elon, presidente en 2028». Otras utilizaban referencias a perros, una temática habitual en este tipo de activos.
La finalidad, sin embargo, no era captar a una comunidad de inversores. Las memecoins sirvieron como piezas de un circuito creado para dar una apariencia legítima a los fondos procedentes del robo. Los atacantes habilitaron su compraventa a cambio de NEAR en una plataforma descentralizada y utilizaron varios monederos para ejecutar las operaciones.
Desde uno de ellos compraban las memecoins con los tokens NEAR sustraídos. Desde otro, vendían después esas mismas monedas a cambio de NEAR. De ese modo, el movimiento de los fondos podía presentarse como el resultado de operaciones de compraventa, en lugar de como una transferencia directa de criptomonedas robadas.
Un mercado prácticamente controlado por los propios atacantes
Tom Robinson, cofundador de Elliptic, explica que los responsables crearon las seis criptomonedas y negociaron prácticamente solo entre sus propios monederos. La firma señala que casi todo el volumen registrado en esos activos procedía de direcciones vinculadas a la operación de blanqueo.
En una de las memecoins, la participación de inversores externos representó menos del 1% del volumen negociado. Este dato apunta a que el mercado no se utilizó como una vía real de financiación o distribución, sino como un mecanismo para generar un historial de transacciones que complicara el seguimiento de los fondos.
Desde ayer, según la información disponible, no se han registrado nuevas operaciones en ninguna de las seis criptomonedas. El episodio muestra cómo los mercados descentralizados y la facilidad para crear nuevos tokens pueden utilizarse también para intentar fragmentar y maquillar el rastro de activos obtenidos ilícitamente.
El ataque a Binance se atribuye a TraderTraitor
El FBI atribuye el ataque del 29 de octubre al grupo norcoreano TraderTraitor. Los responsables habrían preparado la operación durante meses y utilizado una falsa entrevista de trabajo para instalar un programa malicioso en el ordenador de un empleado de Binance. Investigadores de seguridad creen que el grupo pudo mantener acceso a sistemas internos durante ocho semanas antes de ejecutar el robo.
El ataque se saldó con la sustracción de 6.300 millones de dólares en criptomonedas. Desde entonces, Binance y varias firmas de análisis de cadenas de bloques trabajan para localizar y recuperar los activos. Hasta ahora, se han congelado o interceptado unos 2.850 millones de dólares, una cantidad equivalente a alrededor del 44% del total sustraído.
