Según Elliptic, blanqueadores vinculados a Corea del Norte han creado memecoins desechables para mover aproximadamente 430.000 dólares del hackeo de Binance de 6.400 millones de dólares a través de grupos de exchanges descentralizados.
Resumen
- Los blanqueadores crearon seis tokens NEAR y canalizaron los fondos robados a través de sus propios grupos de liquidez.
- Elliptic afirma que los pagos de los grupos pueden parecerse a ganancias comerciales, aunque las transacciones siguen siendo rastreables.
- Los investigadores han rastreado el blanqueo a través de más de 20.000 carteras en 16 blockchains.
- Tornado Cash ha recibido aproximadamente 7.000 ETH vinculados al robo desde el 8 de noviembre.
Elliptic, en un informe del 9 de noviembre de Tom Robinson, dijo que los operadores acuñaron FUK, OLCCL, MEILI, MMLI, DABI y SINU entre el 5 y el 7 de noviembre. Cada uno costó alrededor de 25 NEAR, o 90 dólares, crear.
Los operadores emparejaron sus tokens con NEAR en grupos de negociación separados, y luego canalizaron aproximadamente 117.000 NEAR robados a través de ellos. Apareció actividad similar en Tron, mientras que una ruta relacionada en Solana utilizó tokens existentes con poco volumen de negociación.
Los grupos de memecoins hacen que las transferencias parezcan operaciones
Según el relato de Robinson, un grupo de carteras compró los tokens usando criptomonedas robadas, mientras que otro grupo vendió tokens en el mismo grupo y recogió los activos reales. Con el grupo entre ellos, las carteras no transfirieron fondos directamente.
En consecuencia, las cuentas receptoras podrían parecerse a comerciantes obteniendo ganancias. Robinson advirtió que los equipos de cumplimiento no deberían asumir que los fondos están limpios simplemente porque llegan de un grupo de liquidez.
"El rastro aún se puede seguir en la cadena", dijo el informe.
La técnica es anterior a este robo: Elliptic identificó su uso después del hackeo de Bybit de 2025. Su efecto declarado es retrasar a los investigadores, con tokens creados de forma barata desechados después de su uso.
El blanqueo de Binance llega a Tornado Cash
El rastreador de blanqueo separado de Elliptic, actualizado el 9 de noviembre a las 13:15 UTC, situó la operación en más de 20.000 carteras en 16 blockchains. Su recuento abarcó al menos 36 servicios y 65.000 transacciones.
Desde el 8 de noviembre, las carteras vinculadas al robo han depositado aproximadamente 7.000 ETH, valorados en 15 millones de dólares, en Tornado Cash. Algunos depósitos provinieron de bitcoins que ya habían pasado por transacciones coinjoin antes de convertirse nuevamente en ETH.
A lo largo de la operación, alrededor de 3.000 BTC por valor de 225 millones de dólares se habían acumulado en nuevas direcciones después de conversiones de otros activos robados. Las principales tenencias de Bitcoin y Ether no se habían movido, según el rastreador.
Alrededor de 3.000 millones de dólares permanecían en direcciones vinculadas al robo, mientras que 2.850 millones de dólares estaban congelados. Elliptic estimó que solo una cantidad insignificante probablemente se había cobrado.
El rastreador dijo que el FBI atribuyó el robo a TraderTraitor el 31 de octubre e instó a los servicios, incluidos los operadores de THORChain, a bloquear las transacciones vinculadas.
Binance rastreó la brecha hasta computadoras de empleados
El relato de Binance del 3 de noviembre describió una intrusión de varios meses que involucró software de desarrollador, entrevistas de reclutamiento falsas y acceso a sistemas internos, como informó previamente crypto.news.
En junio, un encuentro anterior que involucró una instalación de Homebrew manipulada había expuesto el rol de un ingeniero y sus colegas, dijo el exchange.
Durante un proceso de entrevista en septiembre, un ingeniero descargó un repositorio de tareas en una computadora de trabajo. Según el exchange, el código malicioso reemplazó una herramienta de desarrollo legítima y evadió la detección de sus sistemas de seguridad de endpoint.
El 20 de octubre, el atacante utilizó la computadora comprometida y una herramienta de IA interna para llegar a las máquinas de dos ingenieros de carteras. Las credenciales de despliegue de contenedores robadas posteriormente proporcionaron acceso a las operaciones de firma de carteras.
El exchange cifró el impacto en 6.340 millones de dólares y dijo que había reservado más que el monto total para cubrir las pérdidas.
Hallazgos técnicos separados describieron cómo los permisos maliciosos de EIP-7702 permitieron que una billetera de Ethereum ejecutara código controlado por el atacante. Blockaid identificó 50 autorizaciones enviadas en una sola transacción, y una de ellas coincidió con éxito con el contador de transacciones de la billetera Binance 14.
Debido a que la billetera estaba procesando retiros activamente, su contador seguía cambiando. Blockaid dijo que las autorizaciones cubrían valores de contador consecutivos, lo que le daba al atacante múltiples oportunidades de coincidir con el valor cuando se ejecutara la transacción.
La investigación inicial de Binance dijo que no había encontrado evidencia de que se hubiera filtrado una clave privada de la billetera.
Los fondos congelados en Arbitrum requieren una votación de gobernanza
Los esfuerzos de recuperación incluyen una solicitud del 5 de noviembre para la devolución de activos congelados, que comprenden 8.425,997 ETH y 74,56 millones de ARB inmovilizados en Arbitrum.
El Consejo de Seguridad de la red actualizó temporalmente un contrato para mover los activos a una dirección congelada, y luego restauró la implementación original. Mover esos saldos nuevamente requiere la aprobación de la DAO.
Binance propuso devolver los activos congelados existentes mediante una actualización temporal del contrato, sin solicitar una nueva asignación del tesoro. Los activos recuperados podrían cubrir los costos relacionados con el incidente y reponer las reservas ya utilizadas para compensar a los clientes, según la propuesta.
El exchange estimó siete semanas o más para la discusión, votación y ejecución. Su calendario propuesto incluía una semana de discusión en el foro, una semana de sondeo de temperatura, una votación en cadena de dos semanas y aproximadamente 18 días más antes de la ejecución tras la aprobación.
