Operadores ligados à Coreia do Norte criaram memecoins sem valor para movimentar fundos roubados da Binance. De acordo com a empresa de análise blockchain Elliptic, o método utiliza pools de liquidez para evitar transferências diretas entre as carteiras. Assim, os recursos passam pelos tokens antes de chegar a novos endereços.

Entre 5 e 7 de novembro, o grupo emitiu ao menos seis tokens na blockchain NEAR: FUK, OLCCL, MEILI, MMLI, DABI e SINU. Cada memecoin recebeu um pool próprio com NEAR. Depois, os envolvidos compraram os tokens com NEAR roubados. Outro conjunto de carteiras vendeu os mesmos tokens e recolheu os recursos.

Cerca de 117 mil NEAR, avaliados em aproximadamente US$ 430 mil, passaram pelos seis tokens. A Elliptic detalhou a movimentação em sua análise. A operação integra uma lavagem mais ampla ligada ao roubo de 29 de outubro contra a Binance, que estimou perdas de US$ 6,34 bilhões.

Pools de liquidez dificultam o rastreamento

O FBI atribuiu o ataque ao grupo norte-coreano TraderTraitor. Paralelamente, cerca de 3 mil BTC chegaram a novos endereços após a conversão de outros recursos roubados. Esse volume correspondia a aproximadamente US$ 225 milhões. Outros 11,8 milhões de NEAR, equivalentes a US$ 43,7 milhões, ainda não registraram movimentações.

“A maioria das pessoas vê os memecoins como moedas de brincadeira, cujos preços sobem e caem com base no entusiasmo. Os lavadores da Coreia do Norte encontraram outro uso para eles.”

Tom Robinson, cofundador e cientista-chefe da Elliptic, explicou a estratégia com essa declaração. Conforme o executivo, os tokens descartáveis cumprem uma função operacional na movimentação dos valores. Contudo, o esquema não apaga os registros públicos mantidos pela blockchain.

Como ocorre a sequência de transações

A técnica segue quatro etapas. Primeiro, os operadores criam um token com uma ferramenta pública de lançamento. Logo depois, abrem um pool de liquidez que combina o novo token com NEAR ou uma stablecoin. Dessa maneira, estabelecem uma rota indireta para os recursos roubados.

Na etapa seguinte, uma série de carteiras compra o token com os valores desviados. Outro conjunto de endereços vende o mesmo token ao pool e recebe o ativo legítimo. Com isso, os recursos não seguem diretamente da carteira compradora para aquela que os recolhe. A separação dificulta uma leitura rápida do fluxo financeiro.

Para um observador casual, as carteiras finais podem parecer traders que lucraram com a venda. Cada um dos seis tokens custou cerca de 25 NEAR, ou US$ 90, para ser criado. Poucas horas depois, os envolvidos negociaram intensamente os ativos e os abandonaram. Portanto, o baixo custo permitiu criar novas camadas de transações com rapidez.

Memecoins descartáveis ampliam a investigação

Nenhum dos seis tokens registrou negociações desde 8 de novembro. Naquela tarde, os criadores de quatro projetos retiraram a liquidez restante. Além do mais, cinco criadores receberam recursos de uma carteira que acabara de vender um token anterior. Esses repasses ocorreram entre dois e 13 minutos antes do lançamento seguinte.

Desse modo, as memecoins formaram uma cadeia interligada de transações. A Elliptic já havia identificado uma estratégia semelhante após o roubo contra a Bybit, em fevereiro de 2025. Naquele caso, também atribuído ao TraderTraitor, um token sem valor na Tron ajudou a movimentar ao menos US$ 24 milhões. A repetição indica o uso recorrente dessa técnica pelo grupo.

No caso da Binance, a empresa observou o mesmo método na Tron e uma variante semelhante na Solana. Essa versão utilizou tokens existentes com pouca negociação, em vez de projetos criados pelos operadores. Embora cada etapa permaneça visível on-chain, a sequência aumenta o tempo necessário para a investigação. Por consequência, analistas precisam relacionar mais carteiras, redes e pools.

Rastreamento alcança milhares de carteiras

Desde o roubo, a Elliptic rastreou mais de 20 mil carteiras em 16 blockchains. A investigação também abrangeu pelo menos 36 serviços e 65 mil transações. A Binance afirmou que o ataque começou com uma falsa entrevista de emprego. Ainda assim, os invasores esperaram cinco meses antes de movimentar qualquer valor.

Empresas de análise blockchain relacionaram a invasão ao TraderTraitor em apenas um dia. Enquanto isso, a conversão para Bitcoin concentrou a maior parcela em dólares. Todo o SOL roubado passou por conversões, pontes ou serviços de mistura. Da mesma forma, grande parte da rota de XRP terminou em Bitcoin.

Cerca de US$ 2,85 bilhões foram congelados durante as ações de rastreamento. Entretanto, a Elliptic considera negligenciável o volume provavelmente convertido em dinheiro até agora. A empresa estima que a Coreia do Norte roubou mais de US$ 2 bilhões em criptomoedas durante 2025. Esse cálculo inclui a exploração de US$ 1,46 bilhão contra a Bybit.

Antes do caso Binance, o total conhecido já superava US$ 6 bilhões. Posteriormente, a Binance retomou os saques de forma gradual. A corretora também afirmou que cobriu as perdas dos clientes com recursos próprios. Ainda assim, os investigadores continuam acompanhando os valores distribuídos entre diferentes redes.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.