Os hackers norte-coreanos responsáveis pelo roubo de aproximadamente US$ 6,3 bilhões da Binance estão criando suas próprias criptomoedas para tentar lavar os recursos desviados da corretora. Uma investigação divulgada nesta segunda-feira (9) pela empresa de análise de blockchain Elliptic revelou que os criminosos desenvolveram pelo menos seis memecoins, incluindo uma com a imagem do bilionário Elon Musk, para disfarçar a origem dos ativos roubados e dificultar seu rastreamento.A estratégia consiste em criar criptomoedas sem valor econômico real e simular negociações entre carteiras controladas pelos próprios criminosos. Dessa forma, os recursos originalmente associados ao ataque passam por plataformas descentralizadas e chegam a novos endereços aparentando ser resultado de operações legítimas de compra e venda de ativos digitais.Segundo a Elliptic, aproximadamente 117 mil unidades da criptomoeda NEAR, avaliadas em cerca de US$ 430 mil, foram movimentadas por meio dessas memecoins entre os dias 5 e 7 de novembro.Embora o valor represente uma parcela pequena dos recursos desviados da Binance, a empresa alerta que a técnica é barata, pode ser reproduzida rapidamente e tem potencial para movimentar quantias muito maiores.Os tokens criados pelos criminosos utilizavam imagens semelhantes às encontradas em memecoins populares, incluindo um macaco com laço rosa, um pato diante de uma bandeira americana, uma raposa e uma representação de Elon Musk acompanhada da frase “Elon 2028 President”.Leia também: Hack da Binance começou com falsa entrevista de emprego e uso de IA, diz empresaA Elliptic ressaltou que não há qualquer indicação de envolvimento do empresário com essas criptomoedas.A utilização desse tipo de ativo chama atenção porque as memecoins normalmente são associadas a especulação, humor e tendências das redes sociais. No caso dos hackers, entretanto, elas não foram criadas para atrair investidores, mas como instrumentos para dificultar a identificação da origem de recursos obtidos ilegalmente.O ataque à Binance aconteceu em 29 de outubro e foi atribuído pelo FBI ao grupo TraderTraitor, associado à Coreia do Norte. O episódio é considerado um dos maiores roubos de criptomoedas da história.Como os hackers estão utilizando memecoins para lavar o dinheiroDe acordo com a investigação da Elliptic, os criminosos estão explorando uma característica das corretoras descentralizadas: a possibilidade de negociar tokens por meio de pools de liquidez, estruturas que permitem trocar criptomoedas diretamente, sem depender de uma corretora centralizada.Nesse modelo, os hackers criam um token e disponibilizam liquidez para que ele possa ser negociado contra uma criptomoeda com valor de mercado, como a NEAR.Em seguida, carteiras que receberam recursos roubados realizam operações envolvendo os novos tokens, enquanto outros endereços ligados ao mesmo grupo movimentam os ativos na direção contrária.O resultado é que os recursos acabam chegando a novas carteiras sem que exista uma transferência direta entre os endereços utilizados na entrada e na saída das operações.Para quem analisa superficialmente as movimentações, os novos endereços podem parecer pertencentes a investidores que negociaram memecoins e obtiveram lucro, em vez de criminosos tentando ocultar a origem de recursos roubados.“Os responsáveis pela lavagem criaram seis desses tokens e negociaram apenas entre si. Isso faz com que os fundos roubados pareçam receitas de negociações”, explicou Tom Robinson, cofundador e cientista-chefe da Elliptic, ao CoinDesk.A investigação identificou seis memecoins criadas na blockchain NEAR: FUK, OLCCL, MEILI, MMLI, DABI e SINU. Cada uma custou aproximadamente 25 NEAR, equivalentes a cerca de US$ 90, para ser lançada.Todas seguiram um comportamento semelhante. Os tokens eram criados, utilizados intensamente durante algumas horas e depois abandonados. Nenhum dos seis registrava novas negociações desde 8 de novembro.A Elliptic também identificou evidências de que praticamente todas as operações foram realizadas pelos próprios responsáveis pelo esquema.Em cinco dos seis tokens, todas as compras partiram de carteiras associadas à lavagem dos recursos. No sexto, chamado FUK, houve uma pequena participação de compradores externos, mas essas negociações representaram menos de 1% do volume total.Os dados mostram ainda que os recursos utilizados para criar novos tokens frequentemente vinham de carteiras que haviam participado das negociações anteriores, formando uma sequência de operações.Depois de passar pelas memecoins, parte significativa das criptomoedas foi convertida em stablecoins ou transferida para outras blockchains por meio de pontes entre redes.Apesar da estratégia, a Elliptic ressalta que as movimentações continuam registradas publicamente nas blockchains.Isso significa que o dinheiro não se torna efetivamente impossível de rastrear. O principal objetivo dos criminosos seria criar obstáculos adicionais para as investigações, aumentando o tempo necessário para identificar o destino dos recursos antes que eles possam ser bloqueados.Técnica já foi utilizada após ataque à BybitA criação de memecoins para movimentar dinheiro roubado não é uma estratégia inédita dos hackers norte-coreanos.Segundo a Elliptic, o mesmo método foi utilizado após o ataque à corretora Bybit, em fevereiro de 2025, quando criminosos ligados à Coreia do Norte roubaram aproximadamente US$ 1,5 bilhão em criptomoedas.Naquela ocasião, os responsáveis criaram um token sem valor na blockchain Tron e o associaram a uma stablecoin em uma plataforma descentralizada. A estratégia permitiu movimentar pelo menos US$ 24 milhões em recursos desviados.A investigação identificou que, no caso da Binance, os hackers começaram a repetir a técnica poucos dias depois do ataque.Em 2 de novembro, a Elliptic identificou a criação de um token na rede Tron utilizado exclusivamente para lavar recursos. No dia seguinte, os criminosos adotaram uma abordagem semelhante na Solana, utilizando criptomoedas já existentes e com baixa liquidez para realizar transações antes de converter os recursos em USDC e enviá-los para outras redes.Entre 5 e 7 de novembro, o método passou a ser utilizado na NEAR, com as seis memecoins identificadas pela empresa.O esquema representa apenas uma das várias técnicas empregadas para movimentar o dinheiro roubado da Binance.Em outro levantamento, atualizado nesta segunda-feira, a Elliptic revelou que os responsáveis pelo ataque já utilizaram mais de 20 mil carteiras em 16 blockchains diferentes, além de pelo menos 36 serviços e 65 mil transações.O volume equivale, em média, à utilização de uma nova carteira a cada 30 segundos e à realização de uma transação a cada dez segundos desde o ataque.A velocidade e a complexidade dessas movimentações indicam, segundo a empresa, que boa parte do processo de lavagem está sendo automatizada.O levantamento também aponta que aproximadamente US$ 225 milhões em ativos roubados já haviam sido convertidos em Bitcoin (BTC), enquanto outros recursos passaram por serviços voltados à privacidade das transações, incluindo mecanismos de mistura de moedas.Apesar dessas movimentações, a Elliptic estima que aproximadamente US$ 3 bilhões ainda permaneçam em endereços associados ao ataque, principalmente em Ethereum e Bitcoin. A empresa ressalta que uma parcela insignificante dos valores roubados parece ter sido efetivamente convertida em dinheiro fora do mercado de criptomoedas.O FBI atribuiu oficialmente o roubo à Coreia do Norte em 31 de outubro e pediu que corretoras, plataformas de finanças descentralizadas e outras empresas do setor ajudem a identificar e bloquear transações associadas aos criminosos.Binance promete cobrir perdas dos clientesEm relatório divulgado em 3 de novembro, a Binance afirmou que a invasão foi resultado de uma campanha sofisticada, preparada durante meses e envolvendo engenharia social, entrevistas falsas de emprego, softwares maliciosos e o comprometimento de ferramentas internas de inteligência artificial.Segundo a corretora, os criminosos conseguiram acessar um serviço responsável pela assinatura de transações de carteiras e utilizaram essa infraestrutura para autorizar transferências de ativos sem permissão.A empresa informou que aproximadamente US$ 6,34 bilhões em criptomoedas foram afetados e que, até a publicação daquele relatório, cerca de US$ 2,85 bilhões haviam sido congelados ou interceptados.A Binance também garantiu que os clientes não arcarão com as perdas provocadas pelo ataque.Para isso, a corretora afirmou ter reservado recursos de seu fundo de proteção aos usuários, conhecido como SAFU, e de seu próprio caixa. Segundo a companhia, 98% dos ativos afetados já haviam sido repostos até o início de novembro, enquanto os demais, de menor liquidez, ainda estavam sendo adquiridos.As descobertas mais recentes da Elliptic mostram, entretanto, que a investigação do ataque está longe de terminar.A criação de memecoins descartáveis representa mais uma tentativa dos criminosos de explorar a infraestrutura aberta das blockchains para movimentar dinheiro roubado e dificultar o trabalho das empresas de monitoramento.Para a Elliptic, o caso também serve de alerta às corretoras e instituições financeiras: recursos recebidos de pools de liquidez não devem ser considerados automaticamente legítimos apenas porque não apresentam uma ligação direta com os endereços envolvidos em um roubo.A empresa recomenda atenção especial a tokens recém-criados, com poucos participantes e negociações concentradas em um pequeno número de carteiras, características que podem indicar operações artificiais destinadas a ocultar a origem de fundos ilícitos.O post Hackers da Coreia do Norte estão criando memecoins para lavar dinheiro roubado da Binance apareceu primeiro em Portal do Bitcoin.