Corea del Norte está impulsando cada vez más las criptomonedas robadas a través de las mismas redes de blanqueo de dinero utilizadas por los sindicatos de estafadores y el crimen organizado, difuminando el rastro que siguen los investigadores, según un documento de investigación publicado este mes por el Royal United Services Institute, un centro de estudios británico de defensa y seguridad.
El régimen robó al menos 2.800 millones de dólares en activos virtuales entre enero de 2024 y septiembre de 2025, fondos que, según el documento, se asumen que apoyan su programa de armamento. Los autores Allison Owen y Noémi També se centran en el punto en que ese dinero se convierte en efectivo, en lugar del bien documentado viaje a través de servicios descentralizados.
La propiedad cambia de manos con frecuencia antes de la conversión, y un tercero a veces compra directamente las monedas robadas con descuento. Un investigador dijo a los autores que tal traspaso puede inferirse cuando los fondos aparecen mezclados con las ganancias de actividades como las estafas de inversión tipo "pig butchering" (carnicería de cerdos), o en direcciones vinculadas a entidades como Huione Group de Camboya, cuya infraestructura fue incautada por el Departamento de Justicia en junio. Elliptic, que suministró datos para la investigación, cree que el traspaso a menudo ocurre en la blockchain de Bitcoin.
Después del hackeo de Bybit en febrero de 2025, los encargados de respuesta a incidentes de ZeroShadow descubrieron que el régimen dependía de una red de blanqueadores, mesas de venta extrabursátil (OTC) y traders peer-to-peer, a menudo ciudadanos chinos trabajando sin descanso. TraderTraitor, el grupo norcoreano detrás del robo, utilizó grupos de crimen organizado chinos para mover el dinero y devolver el efectivo.
Esa superposición es el problema que el documento presenta a los equipos de cumplimiento, porque una vez que los ingresos del régimen entran en los ecosistemas criminales, los marcadores de la financiación de la proliferación se vuelven difíciles de separar del blanqueo de dinero ordinario.
Las cuentas utilizadas para la conversión a efectivo suelen pertenecer a otra persona, con mulas reclutadas principalmente en Filipinas, Indonesia y China, donde las credenciales se venden lo suficientemente baratas como para comprarlas al por mayor y abrir cuentas a gran escala. Los entrevistados dijeron que las mulas a quienes se les revela para quién trabajan realmente generalmente no quieren seguir participando.
La conversión se realiza en pequeñas fracciones, con actores vendiendo aproximadamente 7.000 dólares en stablecoins a la vez en mercados peer-to-peer, por debajo de los umbrales que activan la revisión bancaria, mientras que ZeroShadow encontró sumas mayores divididas en bloques de 30.000 dólares para que una congelación "no fuera demasiado impactante". El comportamiento en el propio exchange ofrece señales adicionales, desde inicios de sesión de Astrill VPN hasta los 50 o 70 tickets de soporte que los blanqueadores ahora presentan para que se libere una sola transacción retenida.
El dinero fiduciario rara vez llega mediante una simple transferencia bancaria; los ingresos de los brokers extrabursátiles a menudo se depositan en cuentas controladas por Corea del Norte utilizando tarjetas UnionPay emitidas por bancos chinos. El documento enumera 19 bancos chinos que el Equipo de Monitoreo de Sanciones Multilaterales identificó el año pasado como utilizados por el régimen y sus apoderados.
De los aproximadamente 1.500 millones de dólares sustraídos de Bybit, el 95% se movió a través de servicios descentralizados, y el equipo de monitoreo informó que todo se había convertido en dinero fiduciario o moneda fuerte para septiembre de 2025.
Los autores solicitan orientación regulatoria sobre las relaciones de corresponsalía entre exchanges, cuestionarios de incorporación estandarizados, canales seguros para compartir inteligencia y un identificador VASP en los mensajes de pago para que los bancos receptores puedan detectarlos.
Lo que esto deja para las víctimas queda claro por las propias cuentas de Bybit: el exchange anunció el lunes que había demandado a Corea del Norte y ganado una orden para congelar los activos identificados, habiendo recuperado 48,4 millones de dólares y congelado 30,5 millones de dólares más, lo que suma aproximadamente el 5% de lo sustraído.
