تدفع كوريا الشمالية بشكل متزايد العملات المشفرة المسروقة عبر نفس شبكات غسل الأموال التي تستخدمها عصابات الاحتيال والجريمة المنظمة، مما يطمس أثر التحقيقات التي يتبعها المحققون، وفقاً لورقة بحثية نشرها هذا الشهر المعهد الملكي للخدمات المتحدة (RUSI)، وهو مركز أبحاث بريطاني في مجال الدفاع والأمن.
سرق النظام ما لا يقل عن 2.8 مليار دولار من الأصول الافتراضية بين يناير 2024 وسبتمبر 2025، وهي أموال تفترض الورقة أنها تدعم برنامج أسلحته. يركز المؤلفان أليسون أوين ونويمي تامبي على النقطة التي تتحول فيها هذه الأموال إلى نقد، بدلاً من الرحلة الموثقة جيداً عبر الخدمات اللامركزية.
غالباً ما تتغير الملكية قبل التحويل، حيث يقوم طرف ثالث أحياناً بشراء العملات المسروقة مباشرة بخصم. أخبر أحد المحققين المؤلفين أنه يمكن استنتاج مثل هذا التسليم عندما تظهر الأموال مختلطة مع عائدات أنشطة مثل عمليات الاحتيال الاستثمارية المعروفة باسم "ذبح الخنازير" (pig butchering)، أو في عناوين مرتبطة بكيانات مثل مجموعة Huione Group الكمبودية، التي صادرت وزارة العدل بنيتها التحتية في يونيو. تعتقد Elliptic، التي قدمت بيانات للبحث، أن هذا التسليم غالباً ما يحدث على بلوكتشين البيتكوين.
بعد اختراق Bybit في فبراير 2025، وجد مستجيبو الحوادث في ZeroShadow أن النظام يعتمد على شبكة من غاسلي الأموال ومكاتب التداول خارج البورصة (OTC desks) ومتداولين من نظير إلى نظير (P2P traders)، وغالباً ما يكونون مواطنين صينيين يعملون على مدار الساعة. استخدمت مجموعة TraderTraitor، وهي المجموعة الكورية الشمالية وراء السرقة، مجموعات الجريمة المنظمة الصينية لنقل الأموال وتسليم النقد.
يمثل هذا التداخل المشكلة التي تطرحها الورقة على فرق الامتثال، لأنه بمجرد دخول عائدات النظام إلى الأنظمة البيئية الإجرامية، يصبح من الصعب فصل علامات تمويل الانتشار عن الغسيل العادي للأموال.
عادة ما تكون الحسابات التي يتم من خلالها صرف الأموال مملوكة لشخص آخر، مع تجنيد عملاء وسيطين بشكل رئيسي في الفلبين وإندونيسيا والصين، حيث تباع بيانات اعتمادهم بأسعار رخيصة بما يكفي للشراء بكميات كبيرة وفتح حسابات على نطاق واسع. قال من تمت مقابلتهم إن العملاء الوسيطين الذين أبلغوا عن من يعملون لديه بالفعل لا يرغبون عادة في الاستمرار في ذلك.
تتم عملية التحويل على أجزاء صغيرة، حيث يبيع الفاعلون ما يقرب من 7000 دولار من العملات المستقرة في كل مرة في أسواق نظير إلى نظير، تحت العتبات التي تثير مراجعة البنك، بينما وجدت ZeroShadow مبالغ أكبر مقسمة إلى أجزاء بقيمة 30000 دولار بحيث "لا يكون التجميد مؤثراً بشكل مفرط". يقدم السلوك في البورصة نفسها إشارات إضافية، من عمليات تسجيل الدخول عبر Astrill VPN إلى تذاكر الدعم التي يقدمها غاسلو الأموال، والتي تتراوح بين 50 و 70 تذكرة، للحصول على معاملة واحدة معلقة.
نادراً ما تصل العملات الورقية عن طريق التحويل المصرفي البسيط، حيث تودع عائدات وسطاء التداول خارج البورصة غالباً في حسابات تسيطر عليها كوريا الشمالية باستخدام بطاقات UnionPay الصادرة عن البنوك الصينية. تسرد الورقة 19 بنكاً صينياً حددها فريق رصد العقوبات متعدد الأطراف العام الماضي على أنها تستخدم من قبل النظام ووكلائه.
من أصل حوالي 1.5 مليار دولار تم أخذها من Bybit، انتقل 95% منها عبر الخدمات اللامركزية، وأفاد فريق الرصد أنه تم تحويلها بالكامل إلى عملات ورقية أو عملات صعبة بحلول سبتمبر 2025.
يدعو المؤلفون إلى إرشادات تنظيمية بشأن العلاقات المراسلة بين البورصات، واستبيانات تعريف موحدة للعملاء (onboarding questionnaires)، وقنوات آمنة لتبادل المعلومات الاستخباراتية، ومعرف مزود خدمة الأصول الافتراضية (VASP identifier) في رسائل الدفع حتى تتمكن البنوك المستلمة من التعرف عليها.
ما يتركه ذلك للضحايا واضح من حسابات Bybit نفسها: أعلنت البورصة يوم الاثنين أنها رفعت دعوى قضائية ضد كوريا الشمالية وفازت بأمر بتجميد الأصول المحددة، بعد أن استعادت 48.4 مليون دولار وجمدت 30.5 مليون دولار إضافية، أي ما يعادل حوالي 5% مما تم أخذه.
