A Coreia do Norte está cada vez mais direcionando criptomoedas roubadas através das mesmas redes de lavagem de dinheiro usadas por sindicatos de golpes e crime organizado, dificultando o rastreamento por parte dos investigadores, de acordo com um artigo de pesquisa publicado este mês pelo Royal United Services Institute, um think tank britânico de defesa e segurança.
O regime roubou pelo menos US$ 2,8 bilhões em ativos virtuais entre janeiro de 2024 e setembro de 2025, fundos que, segundo o artigo, são supostamente destinados a apoiar seu programa de armas. Os autores Allison Owen e Noémi També focam no ponto em que esse dinheiro se transforma em dinheiro físico, em vez da jornada bem documentada através de serviços descentralizados.
A propriedade frequentemente muda de mãos antes da conversão, com um terceiro por vezes comprando as moedas roubadas diretamente com desconto. Um investigador disse aos autores que essa transferência pode ser inferida quando os fundos aparecem misturados com lucros de atividades como golpes de investimento de "pig butchering", ou em endereços ligados a entidades como o Huione Group do Camboja, cuja infraestrutura o Departamento de Justiça apreendeu em junho. A Elliptic, que forneceu dados para a pesquisa, acredita que essa transferência frequentemente ocorre na blockchain do Bitcoin.
Após o ataque à Bybit em fevereiro de 2025, os responsáveis pela resposta a incidentes da ZeroShadow descobriram que o regime contava com uma rede de lavadores, mesas de balcão (OTC) e traders peer-to-peer, frequentemente cidadãos chineses trabalhando 24 horas por dia. TraderTraitor, o grupo norte-coreano por trás do roubo, usou grupos do crime organizado chinês para movimentar o dinheiro e devolver o caixa.
Essa sobreposição é o problema que o artigo apresenta às equipes de compliance, porque uma vez que os lucros do regime entram nos ecossistemas criminosos, os marcadores de financiamento da proliferação tornam-se difíceis de separar da lavagem de dinheiro comum.
As contas que realizam a conversão em dinheiro geralmente pertencem a outras pessoas, com mulas recrutadas principalmente nas Filipinas, Indonésia e China, onde as credenciais são vendidas a preços suficientemente baixos para serem compradas em massa e abrir contas em grande escala. Entrevistados disseram que as mulas, uma vez que descobrem para quem estão realmente trabalhando, geralmente não querem mais fazer parte disso.
A conversão ocorre em pequenas partes, com os atores vendendo aproximadamente US$ 7.000 em stablecoins por vez em mercados peer-to-peer, abaixo dos limites que acionam a revisão bancária, enquanto a ZeroShadow descobriu que somas maiores eram divididas em blocos de US$ 30.000 para que um congelamento "não tivesse um impacto excessivo". O comportamento na própria exchange oferece outros sinais, desde logins de VPN Astrill até os 50 a 70 tickets de suporte que os lavadores agora abrem para liberar uma única transação retida.
O dinheiro fiduciário raramente chega por simples transferência bancária, com os lucros de corretores de balcão (OTC) frequentemente depositados em contas controladas pela Coreia do Norte usando cartões UnionPay emitidos por bancos chineses. O artigo lista 19 bancos chineses que a Equipe Multilateral de Monitoramento de Sanções identificou no ano passado como sendo usados pelo regime e seus representantes.
Dos aproximadamente US$ 1,5 bilhão retirados da Bybit, 95% foram movimentados através de serviços descentralizados, e a equipe de monitoramento relatou que todo o valor havia sido convertido em fiduciário ou moeda forte até setembro de 2025.
Os autores pedem diretrizes regulatórias sobre relações de correspondência entre exchanges, questionários padronizados de onboarding, canais seguros de compartilhamento de inteligência e um identificador VASP em mensagens de pagamento para que os bancos recebedores possam detectá-los.
O que isso significa para as vítimas fica claro pelos próprios relatos da Bybit: a exchange anunciou na segunda-feira que havia processado a Coreia do Norte e obtido uma ordem para congelar ativos identificados, tendo recuperado US$ 48,4 milhões e congelado mais US$ 30,5 milhões, totalizando cerca de 5% do que foi roubado.
BTC