Coreea de Nord introduce din ce în ce mai mult criptomonede furate prin aceleași rețele de spălare de bani folosite de sindicatele de înșelăciuni și crima organizată, estompând urmele pe care le urmăresc anchetatorii, conform unei lucrări de cercetare publicate luna aceasta de Royal United Services Institute, un think tank britanic de apărare și securitate.

Regimul a furat cel puțin 2,8 miliarde de dolari în active virtuale între ianuarie 2024 și septembrie 2025, fonduri despre care lucrarea afirmă că se presupune că sprijină programul său de armament. Autorii Allison Owen și Noémi També se concentrează pe momentul în care acești bani se transformă în numerar, mai degrabă decât pe traseul bine documentat prin serviciile descentralizate.

Proprietatea își schimbă frecvent mâinile înainte de conversie, o terță parte cumpărând uneori monedele furate direct, cu o reducere. Un investigator le-a spus autorilor că o astfel de predare poate fi dedusă atunci când fondurile apar amestecate cu venituri din activități precum escrocheriile de investiții de tip „pig butchering”, sau la adrese legate de entități precum Huione Group din Cambodgia, a cărei infrastructură a fost confiscată de Departamentul de Justiție în iunie. Elliptic, care a furnizat date pentru cercetare, consideră că predarea se întâmplă adesea pe blockchain-ul Bitcoin.

După hack-ul Bybit din februarie 2025, specialiștii în răspuns la incidente de la ZeroShadow au descoperit că regimul se baza pe o rețea de spălători de bani, birouri over-the-counter și traderi peer-to-peer, adesea cetățeni chinezi care lucrau non-stop. TraderTraitor, grupul nord-coreean din spatele furtului, a folosit grupuri de crimă organizată chineze pentru a muta banii și a returna numerarul.

Această suprapunere este problema pe care lucrarea o prezintă echipelor de conformitate, deoarece odată ce veniturile regimului intră în ecosistemele criminale, indicatorii finanțării proliferării devin greu de separat de spălarea obișnuită a banilor.

Catâri de bani și sume mici

Conturile care efectuează conversia în numerar aparțin de obicei altcuiva, cu catâri de bani recrutați în principal în Filipine, Indonezia și China, unde acreditările se vând suficient de ieftin pentru a fi cumpărate în vrac și pentru a deschide conturi la scară largă. Intervievații au declarat că catârii de bani cărora li se spune pentru cine lucrează de fapt, în general, nu mai doresc să ia parte la asta.

Conversia se realizează în bucăți mici, actorii vânzând aproximativ 7.000 de dolari în stablecoin-uri la un moment dat pe piețele peer-to-peer, sub pragurile care declanșează revizuirea bancară, în timp ce ZeroShadow a constatat că sumele mai mari sunt împărțite în bucăți de 30.000 de dolari, astfel încât o blocare „nu ar fi prea impactantă”. Comportamentul la bursă în sine oferă și alte semnale, de la autentificările VPN Astrill până la cele 50-70 de tickete de suport pe care spălătorii de bani le depun acum pentru a elibera o singură tranzacție reținută.

Obținerea numerarului

Moneda fiat ajunge rareori printr-un simplu transfer bancar, veniturile de la brokerii over-the-counter fiind adesea depuse în conturi controlate de Coreea de Nord folosind carduri UnionPay emise de băncile chinezești. Lucrarea enumeră 19 bănci chinezești pe care Echipa Multilaterală de Monitorizare a Sancțiunilor le-a identificat anul trecut ca fiind folosite de regim și de proxy-urile sale.

Din cele aproximativ 1,5 miliarde de dolari prelevate de la Bybit, 95% s-au mutat prin servicii descentralizate, iar echipa de monitorizare a raportat că toate acestea fuseseră convertite în monedă fiat sau valută forte până în septembrie 2025.

Autorii solicită orientări de reglementare privind relațiile de corespondență între burse, chestionare standardizate de înrolare (onboarding), canale securizate de partajare a informațiilor și un identificator VASP în mesajele de plată, astfel încât băncile receptoare să le poată identifica.

Ceea ce rămâne pentru victime este clar din propriile relatări ale Bybit: bursa a anunțat luni că a dat în judecată Coreea de Nord și a obținut un ordin de înghețare a activelor identificate, recuperând 48,4 milioane de dolari și blocând încă 30,5 milioane de dolari, adică în total aproximativ 5% din suma furată.