Tokens falsos y pools de liquidez utilizados para mover fondos vinculados al robo de Binance

Cómo los tokens recién creados se convirtieron en una herramienta para el blanqueo de capitales

Elliptic ha identificado un método de blanqueo de capitales en el que los atacantes crean tokens nuevos y utilizan pools de liquidez de exchanges descentralizados para mover criptomonedas vinculadas al robo de Binance. En lugar de enviar activos directamente de un monedero a otro, los operadores los intercambian a través de un token que acaban de lanzar. Estos pasos adicionales hacen menos evidente la conexión entre los fondos que entran en un pool y las criptomonedas que se retiran después, aunque las transacciones siguen registradas en la cadena de bloques.

La técnica comienza con un token recién creado emparejado con un activo consolidado, como NEAR o una moneda estable. Los operadores aportan ambos activos a un pool de un exchange descentralizado y, luego, utilizan un conjunto de monederos para comprar el nuevo token con fondos robados. Otros monederos venden ese token de nuevo al pool y reciben la criptomoneda emparejada. Así, el pool sirve de intermediario entre los monederos y complica el recorrido de las transacciones sin hacerlo desaparecer.

Elliptic afirma que identificó por primera vez este método al rastrear fondos robados a Bybit en 2025. En aquel caso, blanqueadores norcoreanos crearon un token sin valor en Tron y usaron un fondo de liquidez para mover al menos 24 millones de dólares. El método volvió a aparecer poco después del robo a Binance, en Tron, Solana y NEAR. La recurrencia sugiere que la técnica puede adaptarse a distintas cadenas de bloques, aunque los hallazgos proporcionados no demuestran que todas las transacciones relacionadas siguieran la misma ruta.

Una ruta basada en fondos de liquidez oculta las conexiones entre monederos

El 2 de noviembre, Elliptic identificó en Tron un token recién creado que parecía haberse lanzado específicamente para blanquear fondos. Al día siguiente, se intercambiaron SOL robados por tokens envueltos y con poca liquidez, que luego se convirtieron en USDC y se transfirieron a otras cadenas de bloques. Estos movimientos muestran que la actividad descrita no se limitó a una sola red ni a un solo activo. El informe describe una secuencia de intercambios y transferencias, en lugar de un movimiento directo de los fondos robados originales a un destino final.

La actividad en NEAR descrita ofrece los detalles más claros sobre cómo funcionó el mecanismo. Entre el 5 y el 7 de noviembre, los atacantes crearon seis tokens llamados FUK, OLCCL, MEILI, MMLI, DABI y SINU. Cada token se emparejó con NEAR en su propio fondo de liquidez. Crear cada token costó unos 25 NEAR, o aproximadamente 90 dólares, una cantidad relativamente pequeña en comparación con el valor que luego se canalizó a través de los seis fondos.

En conjunto, los seis tokens se usaron para mover unos 117.000 NEAR, con un valor aproximado de 430.000 dólares. Elliptic afirma que los monederos que compraron los tokens habían recibido fondos provenientes de NEAR robados, mientras que casi la misma cantidad reapareció posteriormente en monederos distintos. Gran parte del valor retirado se convirtió en monedas estables o se envió a través de un puente entre cadenas. Esta secuencia ofrece a los investigadores vínculos identificables, aunque la diversidad de monederos y los pasos de conversión hacen que el recorrido sea más complejo.

Seis tokens de NEAR revelan una operación coordinada

El patrón de negociación también distinguía esta actividad de la participación habitual en el mercado. Las billeteras vinculadas a la operación realizaron casi todas las compras y ventas, en lugar de tratarse de un amplio grupo de operadores independientes. Tres tokens —DABI, MMLI y SINU— tuvieron cada uno una sola billetera compradora y una sola billetera vendedora. Los tokens registraron una intensa actividad de negociación poco después de su lanzamiento y luego fueron abandonados; según Elliptic, ninguno de los seis había registrado más actividad de negociación desde el 8 de noviembre.

Los investigadores también encontraron un vínculo entre lanzamientos sucesivos de tokens: los ingresos obtenidos con tokens anteriores se utilizaron para financiar la creación de otros nuevos. Ese hallazgo conecta la operación de seis tokens e indica que los pools no eran simplemente experimentos sin relación entre sí. También ayuda a explicar cómo los operadores pueden repetir el método: un bajo costo de creación y la reutilización de los ingresos recuperados pueden facilitar lanzamientos adicionales. Sin embargo, la información disponible no identifica todas las billeteras ni establece el destino final de todos los fondos.

La principal limitación de la técnica es que añade complejidad en lugar de borrar las pruebas. Los intercambios en los pools y las billeteras intermedias hacen que lleve más tiempo conectar los activos robados entrantes con las criptomonedas salientes, pero las transacciones siguen dejando un registro en la cadena de bloques. Elliptic afirma que los investigadores pueden seguir rastreando los fondos. Para los equipos de rastreo, el desafío práctico consiste en interpretar la actividad conectada entre billeteras, contratos de tokens, pools y, en algunos casos, puentes entre cadenas de bloques.

El rastro sigue siendo visible, pero persisten los riesgos de cumplimiento normativo

Los 430.000 dólares que, según se informó, circularon a través de los seis tokens NEAR representan solo una parte de los fondos mencionados en la investigación. Elliptic estima que unos 11,8 millones de NEAR, con un valor aproximado de 43,7 millones de dólares, permanecen inmóviles. Esa cifra describe la cantidad que, según la firma, no se había movido; no indica que esa cantidad haya pasado por los seis pools. La distinción es importante: la operación con tokens es una parte documentada de la actividad, no un recuento completo de los fondos robados.

Elliptic ha advertido a los exchanges y a los equipos de cumplimiento que no deben considerar automáticamente legítimas las criptomonedas recibidas de pools de liquidez. La fuente identifica específicamente varias señales de alerta que conviene revisar: tokens recién creados, pools con muy pocas billeteras participantes y cuentas financiadas poco antes del inicio de las operaciones. Ninguna de estas características por sí sola se describe como prueba concluyente de blanqueo de capitales. Sin embargo, junto con vínculos transaccionales con activos robados, pueden ayudar a los equipos de cumplimiento a decidir qué actividad merece un examen más detenido.

Los hallazgos publicados dejan abiertas varias preguntas importantes. No especifican qué proporción del robo total a Binance se canalizó mediante este método, adónde fueron a parar finalmente todos los fondos ni si se moverán los 11,8 millones de NEAR restantes. Tampoco afirman que todos los tokens recién lanzados o los pools con pocos participantes sean ilícitos. La investigación sí establece algo más acotado, pero práctico: los intercambios de tokens pueden dificultar la atribución, mientras que los patrones de las billeteras y el rastro público de las transacciones siguen proporcionando a los analistas y a los exchanges pruebas que pueden evaluar.

Fuente: CryptoPotato