Lavadores norte-coreanos criam memecoins para lavar fundos roubados da Binance

Segundo o Bitcoin Magazine, a Elliptic informou que lavadores da Coreia do Norte estão criando memecoins sem valor para lavar fundos roubados da Binance, cujo roubo foi estimado pela exchange em US$ 6,34 bilhões e atribuído pelo FBI ao grupo TraderTraitor. A atualização da Elliptic indica que cerca de 3.000 BTC – aproximadamente US$ 225 milhões – foram enviados a novos endereços de bitcoin a partir de outros ativos roubados, enquanto cerca de 11,8 milhões NEAR – ou US$ 43,7 milhões – ainda não foram movimentados.

“A maioria das pessoas pensa nas memecoins como moedas de brincadeira cujos preços sobem e descem com hype”, escreveu o cofundador e cientista-chefe da Elliptic, Dr. Tom Robinson, “os lavadores da Coreia do Norte encontraram um uso diferente para elas” (em tradução livre).

Entre 5 e 7 de novembro, operadores criaram ao menos seis novos tokens na blockchain NEAR – FUK, OLCCL, MEILI, MMLI, DABI e SINU – pareando cada um com NEAR em sua própria pool de liquidez, comprando os tokens com NEAR roubado e vendendo-os de volta por meio de um segundo conjunto de carteiras; aproximadamente 117.000 NEAR, ou cerca de US$ 430 mil, passaram pelos seis tokens, segundo a Elliptic.

Cada um dos seis tokens custou cerca de 25 NEAR, ou aproximadamente US$ 90, para ser criado. Eles foram negociados intensamente nas primeiras horas com NEAR roubado e, em seguida, abandonados. Nenhum deles foi negociado desde 8 de novembro, e naquela tarde os criadores de quatro dos tokens retiraram a liquidez que ainda permanecia nas pools.

Em cinco dos seis casos, a carteira que financiou a criação de um novo token havia vendido o token anterior entre dois e treze minutos antes do lançamento, formando uma cadeia de lançamentos consecutivos.

A técnica funciona em quatro etapas: os lavadores criam um token com uma ferramenta de lançamento público, abrem uma pool de liquidez pareando-o com um ativo real como NEAR ou uma stablecoin, compram o novo token com fundos roubados de um conjunto de carteiras e, em seguida, vendem-no de volta à mesma pool a partir de outro conjunto de carteiras que recolhe o ativo real. Dessa forma, os fundos roubados nunca são transferidos diretamente entre carteiras, e os endereços que recolhem o ativo parecem traders comuns que venderam um token com lucro.

Todas as etapas são públicas na blockchain; os tokens funcionam como dispositivos baratos de compra de tempo, custando cerca de US$ 90 cada, permitindo que os lavadores retardem a investigação enquanto movimentam os recursos antes de serem sinalizados.

A Elliptic já havia relatado essa mesma abordagem no caso de lavagem do roubo da Bybit em fevereiro de 2025, também atribuído ao grupo TraderTraitor, quando um token Tron sem valor ajudou a movimentar pelo menos US$ 24 milhões. No caso da Binance, a empresa também observou um token Tron semelhante em 2 de novembro e, um dia depois, tokens finos da Solana foram usados para transferir SOL roubado.

O monitoramento da Elliptic desde o roubo da Binance indica mais de 20.000 carteiras em 16 blockchains, ao menos 36 serviços e pelo menos 65.000 transações relacionadas ao esquema de lavagem.

A Binance afirmou que o ataque começou com uma entrevista de emprego falsa e durou cinco meses antes de qualquer moeda ser movimentada; cerca de US$ 2,85 bilhões do montante original foram congelados. A exchange reabriu os saques em etapas e declarou que cobriu as perdas dos clientes com seus próprios fundos.

Segundo o Unchained, os seis tokens da NEAR exibiam arte de memecoin caricata, incluindo um macaco com laço rosa, um pato diante da bandeira dos Estados Unidos e Elon Musk sob uma faixa “Elon 2028 President”, sem qualquer vínculo com o empresário; cada token custou cerca de US$ 90 para ser lançado.

O Unchained também apontou que traders externos estavam praticamente ausentes: as carteiras de lavagem colocaram todas as ordens de venda nos seis tokens e a maioria das compras, com apenas algumas compras de FUK no dia do lançamento. Os tokens estavam encadeados, como descrito anteriormente, e nenhum foi negociado após 8 de novembro, quando os criadores retiraram a liquidez restante.

De acordo com o Livecoins, a página dedicada da Elliptic ao ataque da Binance lista 21.160 endereços únicos ligados aos hackers. A empresa de segurança ressalta que, embora a técnica não esconda os fundos, ela gera trabalho adicional para os investigadores, pois todas as etapas permanecem registradas publicamente na blockchain.