Alrededor de 117,000 unidades de NEAR, valoradas en unos 430,000 dólares, pasaron por seis memecoins creadas por personas vinculadas al robo a Binance, según una investigación de Elliptic publicada el 9 de noviembre. La firma de análisis de cadenas de bloques sostiene que los tokens se usaron para mover activos sustraídos entre billeteras y dar a esas transferencias apariencia de operaciones de mercado.
Las monedas aparecieron en la red NEAR entre el 5 y el 7 de noviembre. El importe rastreado es una pequeña parte de los activos afectados por el ataque del 29 de octubre: en su informe inicial, Binance calculó el impacto en unos 6,340 millones de dólares.
El FBI atribuyó el robo a Corea del Norte y llama TraderTraitor a la actividad cibernética vinculada al caso. Kim Yo Jong, funcionaria norcoreana y hermana del líder Kim Jong Un, rechazó esa acusación el 3 de noviembre, informó The Associated Press.
Las operaciones que Elliptic vinculó con los tokens
Las memecoins son criptoactivos que suelen apoyarse en referencias de internet, animales o figuras públicas. En este caso, Elliptic identificó seis creadas en NEAR y analizó las billeteras que las financiaron y negociaron. La firma calculó que crear cada una costó unos 25 NEAR, equivalentes a alrededor de 90 dólares.
El análisis encontró poca participación externa. En cinco de los seis tokens no identificó compradores ajenos a las billeteras vinculadas con la operación. En el restante hubo algunas compras externas, que representaron menos del 1 % de su volumen. Todas las ventas observadas procedían de cuentas que Elliptic relaciona con el esquema.
La firma también encontró conexiones entre los lanzamientos: cinco creadores recibieron fondos de billeteras que ya habían vendido un token anterior. Esas transferencias ocurrieron entre dos y 13 minutos antes de que se creara el nuevo token, según el reporte.
Los seis activos dejaron de registrar intercambios desde el 8 de noviembre, indicó Elliptic. Ese día, los creadores de cuatro de ellos retiraron la liquidez que quedaba en sus respectivos fondos. Las conexiones entre direcciones ayudan a reconstruir la ruta, aunque el informe no identifica a las personas que controlan cada billetera.
Qué pasó con los fondos rastreados
La investigación sitúa las operaciones en fondos de liquidez de intercambios descentralizados, donde se pueden cambiar unos criptoactivos por otros. Un grupo de billeteras utilizó NEAR procedente del robo para adquirir los tokens; otro grupo los vendió y recibió NEAR a través de esos fondos.
La estructura evitaba una transferencia directa entre las billeteras compradoras y las que recibían los activos. Para un observador que no revise el origen del dinero, las cuentas receptoras podían parecer operadores que obtenían ganancias con una memecoin. Elliptic señala que las transacciones siguen registradas en la cadena de bloques y pueden rastrearse, aunque la capa adicional complique el trabajo de los investigadores.
La firma observó después que buena parte de los NEAR recibidos se dirigió hacia monedas estables o un puente entre cadenas. Ese movimiento no demuestra por sí solo que los 430,000 dólares se hayan convertido en dinero convencional ni que hayan sido recuperados.
Patricia Rodriguez
Un método observado también tras el robo a Bybit
Elliptic dijo que había detectado una técnica semejante después del ataque a Bybit en 2025. En aquel caso, calculó que al menos 24 millones de dólares pasaron por un token creado en la red Tron.
En el caso de Binance, la firma identificó un token creado en Tron el 2 de noviembre y una variante en Solana al día siguiente. La diferencia es que las operaciones en Solana utilizaron tokens que ya existían, mientras que los seis de NEAR se crearon durante los días posteriores al ataque.
Según el informe del 9 de noviembre, unos 11.8 millones de NEAR sustraídos, valorados entonces en aproximadamente 43.7 millones de dólares, seguían sin moverse. La cifra de 430,000 dólares corresponde a la parte que Elliptic rastreó a través de las seis monedas, no al total pendiente de seguimiento.
