Os hackers da Binance estão a branquear o dinheiro roubado através de «meme coins»

O grupo que desviou cerca de 6,3 mil milhões de dólares da Binance começou a cunhar moedas meme. Não se pretende que ninguém as compre. Elas existem para que o dinheiro roubado tenha um lugar onde se esconder durante algumas horas.

A notícia espalhou-se rapidamente no X, onde o StalkHQ alertou para o lançamento das moedas meme, e os detalhes provêm de um relatório divulgado na segunda-feira pela empresa de análise de blockchain Elliptic. De acordo com a Elliptic, os lavadores de dinheiro que trabalham para o grupo norte-coreano TraderTraitor criaram pelo menos seis tokens descartáveis na rede NEAR entre 5 e 7 de novembro. Uma delas apresenta um macaco com um laço cor-de-rosa. Outra tem um pato envolto numa bandeira dos EUA. Uma mostra Elon Musk sob uma faixa com a inscrição «Elon 2028 President», que, segundo a Elliptic, não tem nada a ver com Musk. Os nomes incluem FUK e SINU.

Os montantes são pequenos. Cerca de 117 000 NEAR, aproximadamente 430 000 dólares, passaram pelos seis tokens, o que representa menos de 0,01% do total roubado. O método é a parte que merece atenção.

Já abordámos o próprio ataque quando este ocorreu. Resumo: a 29 de outubro, os atacantes retiraram milhares de milhões em cerca de 20 minutos, e o CEO Richard Teng afirmou posteriormente que o atacante utilizou um mecanismo de autodestruição que apagou as ferramentas e os vestígios ao longo do processo. O FBI identificou o «TraderTraitor» dois dias depois. Trata-se do mesmo grupo que o FBI responsabilizou pelo roubo de 1,4 mil milhões de dólares à Bybit em 2025.

Como um token sem valor «branqueia» dinheiro real

O truque é simples e barato. Cada token custou cerca de 25 NEAR, aproximadamente 90 dólares, para ser lançado. Os lavadores de dinheiro emparelham-no com um ativo real, como o NEAR, num pool de liquidez numa bolsa descentralizada. Um conjunto de carteiras deposita os fundos roubados no pool e recebe o novo token em troca. Um segundo conjunto de carteiras vende o token no mesmo pool e retira NEAR com aparência «limpa».

O dinheiro roubado nunca passa diretamente do primeiro conjunto de carteiras para o segundo. O pool fica no meio e as carteiras receptoras parecem ser de negociadores comuns que venderam uma moeda meme com lucro. O cofundador da Elliptic, Tom Robinson, explicou-o claramente no X: as moedas são um disfarce, mas cada passo está na cadeia de blocos e a Elliptic conseguiu rastreá-lo.

É difícil contestar as provas da Elliptic de que estes tokens nunca tiveram um mercado real. As carteiras da rede de branqueamento realizaram todas as vendas dos seis tokens e compraram todas as unidades de cinco deles. Cinco dos seis criadores foram financiados por uma carteira que tinha vendido o token anterior alguns minutos antes, pelo que cada moeda pagou a seguinte. Todas as seis foram vendidas pela primeira vez no prazo de três horas após o lançamento e, em seguida, despejadas no mercado. Nenhuma foi negociada desde 8 de novembro, e os criadores de quatro delas retiraram a liquidez restante nessa mesma tarde.

Não é novidade, apenas em maior escala

A Coreia do Norte já fez isto antes. A Elliptic detectou-o pela primeira vez após o ataque à Bybit, quando pelo menos 24 milhões de dólares passaram por um token sem valor na Tron. Desta vez, o grupo agiu em poucos dias. Um token da Tron surgiu a 2 de novembro e, a 3 de novembro, SOL roubado foi trocado por tokens da Solana com pouca liquidez, antes de ser vendido por USDC. O lote da NEAR surgiu mais tarde nessa semana.

As «meme coins» são um disfarce decente, porque milhares são lançadas todos os dias e a maioria desaparece em poucos dias. Uma carteira com um token de desenho animado recente no seu histórico parece pertencer a um especulador, não a um lavador de dinheiro, a menos que alguém verifique de onde veio o dinheiro.

Um espetáculo secundário em relação à máquina principal

A Elliptic é clara ao afirmar que esta camada não esconde nada. Apenas atrasa os investigadores e, numa corrida à lavagem de dinheiro, o atraso é o objetivo.

A operação de maior dimensão tem um aspeto diferente. O recenseamento da Elliptic abrange agora mais de 20 000 carteiras em 16 blockchains e, pelo menos, 36 serviços. No início da semana, a empresa afirmou que os fundos estavam a ser transferidos para uma nova carteira aproximadamente a cada 25 segundos, e Robinson descreveu-o como branqueamento em piloto automático, provavelmente automatizado com supervisão humana. O próprio aviso da Elliptic foi de que listas estáticas e verificações pontuais não irão detetar um aglomerado como este. A Chainalysis também apontou para a automatização por trás do branqueamento.

Existem também outras vias abertas. Cerca de 7 000 ETH, aproximadamente 15 milhões de dólares, entraram no Tornado Cash desde domingo. Cerca de 3 000 BTC, no valor aproximado de 225 milhões de dólares, encontram-se agora em endereços de bitcoin recém-criados, e alguns fundos roubados passaram pela THORChain, algo que os podcasters já estavam a debater no contexto da atribuição feita pelo FBI.

Parte do montante nunca teve oportunidade de ser movimentada. O FBI afirma que 2,85 mil milhões de dólares foram congelados na cadeia de blocos pela Tether, Circle, Ripple, Arbitrum e Optimism. A TRM estima que o valor se aproxime dos 2,7 mil milhões de dólares, enquanto a Binance aponta para cerca de 3 mil milhões de dólares. A Elliptic também informou que 11,8 milhões de NEAR roubados, no valor de cerca de 43,7 milhões de dólares, ainda não foram movimentados.

Uma ressalva por parte das pessoas que se dedicam a monitorizar a Coreia do Norte. Michael Barnhart, da DTEX, disse à Recorded Future News que o TraderTraitor tende a entregar dinheiro rapidamente a redes chinesas de branqueamento de capitais, pelo que parte do que os analistas observam na cadeia de blocos pode ser o resultado da atividade dessas redes. A Elliptic continua a classificar a atividade relacionada com as «meme coins» como sendo de origem norte-coreana.

O que as equipas de conformidade devem procurar

O conselho da Elliptic é deixar de tratar os fundos dos pools de liquidez como «limpos» por defeito. Uma carteira financiada através de um swap pode estar a apenas dois passos de dinheiro roubado. Os sinais de alerta são um token criado nos últimos dias, um pool com apenas um punhado de negociadores, carteiras que apenas compram ou apenas vendem e novas carteiras financiadas com montantes redondos pouco antes do início da negociação. A empresa também publica uma lista de bloqueio gratuita de endereços do hack da Binance e afirma que a mantém atualizada.

Por enquanto, o número a acompanhar é aquele 11,8 milhões de NEAR que ainda não foram tocados.