Tokens falsos e pools de liquidez usados para movimentar fundos ligados ao roubo da Binance

Como tokens recém-criados se tornaram uma ferramenta de lavagem de dinheiro

A Elliptic identificou um método de lavagem de dinheiro no qual invasores criam novos tokens e usam pools de liquidez de exchanges descentralizadas para movimentar criptomoedas ligadas ao roubo da Binance. Em vez de enviar ativos diretamente de uma carteira para outra, os operadores os trocam por meio de um token que acabaram de lançar. As etapas adicionais dificultam a associação imediata entre os fundos que entram em um pool e as criptomoedas retiradas posteriormente, embora as transações continuem registradas na blockchain.

A técnica começa com um token recém-criado pareado com um ativo estabelecido, como NEAR ou uma stablecoin. Os operadores adicionam os dois ativos a um pool de uma exchange descentralizada e, em seguida, usam um conjunto de carteiras para comprar o novo token com fundos roubados. Carteiras separadas vendem esse token de volta ao pool e recebem a criptomoeda pareada. Assim, o pool funciona como intermediário entre as carteiras, dificultando o rastreamento do caminho das transações sem fazê-lo desaparecer.

A Elliptic afirma que identificou esta abordagem pela primeira vez ao rastrear fundos roubados da Bybit em 2025. Nesse caso anterior, lavadores de dinheiro norte-coreanos criaram um token sem valor na Tron e usaram um pool de liquidez para movimentar pelo menos US$ 24 milhões. O método voltou a aparecer pouco depois do roubo da Binance, nas redes Tron, Solana e NEAR. A recorrência sugere que a técnica pode ser adaptada a diferentes blockchains, embora as conclusões fornecidas não comprovem que todas as transações relacionadas tenham seguido a mesma rota.

Uma rota baseada em pools oculta as ligações entre carteiras

Em 2 de novembro, a Elliptic identificou um token recém-criado na Tron que parecia ter sido lançado especificamente para lavagem de dinheiro. No dia seguinte, SOL roubados foram trocados por tokens encapsulados e pouco negociados, depois convertidos em USDC e transferidos para outras blockchains. Esses movimentos mostram que a atividade relatada não se limitou a uma única rede ou a um único ativo. O relato descreve uma sequência de trocas e transferências, e não uma movimentação direta dos fundos roubados originais até um destino final.

A atividade relatada na NEAR oferece os detalhes mais claros de como o mecanismo funcionava. De 5 a 7 de novembro, os invasores criaram seis tokens chamados FUK, OLCCL, MEILI, MMLI, DABI e SINU. Cada token foi pareado com NEAR em seu próprio pool de liquidez. A criação de cada token custou cerca de 25 NEAR, ou aproximadamente US$ 90, uma quantia relativamente pequena em comparação com o valor posteriormente movimentado pelos seis pools.

Em conjunto, os seis tokens foram usados para movimentar cerca de 117.000 NEAR, no valor aproximado de US$ 430.000. Segundo a Elliptic, as carteiras que compraram os tokens haviam recebido fundos provenientes de NEAR roubados, enquanto quase o mesmo valor reapareceu posteriormente por meio de carteiras distintas. Grande parte do valor retirado foi convertida em stablecoins ou enviada por uma ponte entre blockchains. Essa sequência oferece aos investigadores ligações identificáveis, embora a variedade de carteiras e etapas de conversão torne o percurso mais complexo.

Seis tokens NEAR revelam uma operação coordenada

O padrão de negociação também diferenciava a atividade da participação habitual no mercado. As carteiras ligadas à operação realizavam quase todas as compras e vendas, em vez de envolver um amplo grupo de traders independentes. Três tokens — DABI, MMLI e SINU — tinham apenas uma carteira compradora e uma carteira vendedora cada. Os tokens tiveram um volume intenso de negociações logo após o lançamento, mas depois foram abandonados; segundo a Elliptic, nenhum dos seis registrou novas atividades de negociação desde 8 de novembro.

Os investigadores também encontraram uma ligação entre lançamentos sucessivos de tokens: os lucros obtidos com tokens anteriores foram usados para financiar a criação de novos. Essa descoberta conecta a operação dos seis tokens e indica que os pools não eram simplesmente experiências sem relação entre si. Também ajuda a explicar como os operadores podem repetir a abordagem: um baixo custo de criação e a reutilização dos lucros recuperados podem viabilizar lançamentos adicionais. No entanto, o relato disponível não identifica todas as carteiras nem determina o destino final de todos os fundos.

A principal limitação da técnica é que ela acrescenta complexidade, em vez de apagar provas. Os swaps nos pools e as carteiras intermediárias tornam mais demorada a tarefa de conectar os ativos roubados recebidos às criptomoedas enviadas, mas as transações ainda deixam um registro na blockchain. A Elliptic afirma que os investigadores podem continuar acompanhando os fundos. Para as equipes de rastreamento, o desafio prático é interpretar atividades conectadas entre carteiras, contratos de tokens, pools e, em alguns casos, pontes de blockchain.

O rastro continua visível, mas os riscos de conformidade persistem

Os US$ 430.000 que, segundo o relato, circularam pelos seis tokens NEAR representam apenas uma parte dos fundos abordados na investigação. A Elliptic estima que cerca de 11,8 milhões de NEAR, no valor aproximado de US$ 43,7 milhões, permanecem sem movimentação. Esse número descreve o montante que, segundo a empresa, não havia sido movimentado — não um valor que comprovadamente tenha passado pelos seis pools. Essa distinção é importante: a operação com tokens é uma parte documentada da atividade, não um relato completo dos fundos roubados.

A Elliptic alertou exchanges e equipes de compliance para que não considerem automaticamente legítimas as criptomoedas recebidas de pools de liquidez. A fonte identifica especificamente vários sinais de alerta que devem ser analisados: tokens recém-criados, pools com pouquíssimas carteiras participantes e contas financiadas pouco antes do início das negociações. Nenhuma dessas características, por si só, é descrita como prova conclusiva de lavagem de dinheiro. No entanto, em conjunto com vínculos entre transações e ativos roubados, elas podem ajudar as equipes de compliance a decidir quais atividades merecem uma análise mais aprofundada.

Ainda há questões importantes sem resposta nas conclusões divulgadas. Elas não especificam quanto do total roubado da Binance foi movimentado por esse método, para onde foram todos os recursos nem se os 11,8 milhões de NEAR restantes serão movimentados. Também não afirmam que todo token recém-lançado ou pool com baixa participação seja ilícito. O que a investigação demonstra é mais específico, mas prático: as trocas de tokens podem dificultar a identificação da origem, enquanto os padrões das carteiras e o histórico público de transações ainda fornecem às equipes de análise e às exchanges evidências para avaliação.

Fonte: CryptoPotato