Korea Utara semakin sering mengalirkan mata uang kripto curian melalui jaringan pencucian uang yang sama yang digunakan oleh sindikat penipuan dan kejahatan terorganisir, mengaburkan jejak yang diikuti para penyelidik, menurut makalah penelitian yang diterbitkan bulan ini oleh Royal United Services Institute, sebuah lembaga think tank pertahanan dan keamanan Inggris.
Rezim tersebut mencuri setidaknya $2,8 miliar dalam aset virtual antara Januari 2024 dan September 2025, dana yang menurut makalah tersebut diasumsikan untuk mendukung program senjatanya. Penulis Allison Owen dan Noémi També berfokus pada titik di mana uang tersebut berubah menjadi uang tunai, daripada perjalanan yang terdokumentasi dengan baik melalui layanan terdesentralisasi.
Kepemilikan sering berpindah tangan sebelum konversi, dengan pihak ketiga terkadang membeli koin curian secara langsung dengan diskon. Seorang penyelidik mengatakan kepada para penulis bahwa serah terima semacam itu dapat disimpulkan ketika dana muncul bercampur dengan hasil dari kegiatan seperti penipuan investasi "pig butchering", atau di alamat yang terkait dengan entitas seperti Huione Group Kamboja, yang infrastrukturnya disita oleh Departemen Kehakiman pada bulan Juni. Elliptic, yang menyediakan data untuk penelitian ini, percaya bahwa serah terima sering terjadi di blockchain Bitcoin.
Setelah peretasan Bybit pada Februari 2025, penanggap insiden di ZeroShadow menemukan rezim tersebut mengandalkan jaringan pencuci uang, meja OTC (over-the-counter), dan pedagang peer-to-peer, seringkali warga negara Tiongkok yang bekerja tanpa henti. TraderTraitor, kelompok Korea Utara di balik pencurian itu, menggunakan kelompok kejahatan terorganisir Tiongkok untuk memindahkan uang dan mengembalikan uang tunai.
Tumpang tindih tersebut adalah masalah yang diajukan makalah ini kepada tim kepatuhan, karena begitu hasil kejahatan rezim memasuki ekosistem kriminal, penanda keuangan proliferasi menjadi sulit dipisahkan dari pencucian uang biasa.
Akun-akun yang melakukan pencairan dana biasanya milik orang lain, dengan 'mule' yang direkrut terutama di Filipina, Indonesia, dan Tiongkok, di mana kredensial dijual cukup murah untuk dibeli secara massal dan membuka akun dalam skala besar. Narasumber mengatakan 'mule' yang diberitahu siapa sebenarnya atasan mereka umumnya tidak ingin terlibat lebih jauh.
Konversi terjadi dalam potongan kecil, dengan para pelaku menjual stablecoin sekitar $7.000 setiap kali di pasar peer-to-peer, di bawah ambang batas yang memicu tinjauan bank, sementara ZeroShadow menemukan jumlah yang lebih besar dipecah menjadi potongan $30.000 sehingga pembekuan "tidak akan terlalu berdampak." Perilaku di bursa itu sendiri menawarkan sinyal lebih lanjut, mulai dari login VPN Astrill hingga 50 hingga 70 tiket dukungan yang kini diajukan pencuci uang untuk melepaskan satu transaksi yang ditahan.
Uang fiat jarang tiba melalui transfer bank sederhana, dengan hasil dari broker over-the-counter sering disetorkan ke rekening yang dikendalikan Korea Utara menggunakan kartu UnionPay yang dikeluarkan oleh bank-bank Tiongkok. Makalah ini mencantumkan 19 bank Tiongkok yang diidentifikasi oleh Tim Pemantau Sanksi Multilateral tahun lalu sebagai digunakan oleh rezim dan proksinya.
Dari sekitar $1,5 miliar yang diambil dari Bybit, 95% dipindahkan melalui layanan terdesentralisasi, dan tim pemantau melaporkan bahwa seluruhnya telah dikonversi menjadi uang fiat atau mata uang keras pada September 2025.
Para penulis menyerukan panduan regulasi tentang hubungan koresponden antara bursa, kuesioner orientasi terstandardisasi, saluran berbagi intelijen yang aman, dan pengidentifikasi VASP (Penyedia Layanan Aset Virtual) dalam pesan pembayaran agar bank penerima dapat mendeteksi mereka.
Apa yang tersisa bagi para korban jelas dari laporan Bybit sendiri: bursa tersebut mengumumkan pada hari Senin bahwa mereka telah menggugat Korea Utara dan memenangkan perintah pembekuan aset yang teridentifikasi, setelah memulihkan $48,4 juta dan membekukan $30,5 juta lagi, totalnya sekitar 5% dari yang diambil.
