Північна Корея дедалі частіше просуває викрадену криптовалюту через ті ж мережі відмивання грошей, які використовуються шахрайськими синдикатами та організованою злочинністю, що ускладнює роботу слідчих, згідно з дослідницькою доповіддю, опублікованою цього місяця Королівським інститутом об'єднаних служб (Royal United Services Institute), британським аналітичним центром з питань оборони та безпеки.
Режим викрав щонайменше 2,8 мільярда доларів у віртуальних активах у період з січня 2024 року по вересень 2025 року, кошти, які, як припускається в доповіді, підтримують його програму озброєнь. Автори Еллісон Оуен та Ноемі Тамбе зосереджуються на моменті, коли ці гроші перетворюються на готівку, а не на добре задокументованому шляху через децентралізовані сервіси.
Право власності часто змінює власника перед конвертацією, при цьому третя сторона іноді купує викрадені монети безпосередньо зі знижкою. Один слідчий розповів авторам, що таке передання можна припустити, коли кошти виявляються змішаними з надходженнями від таких видів діяльності, як інвестиційні шахрайства типу "pig butchering", або на адресах, пов'язаних з такими організаціями, як камбоджійська Huione Group, інфраструктуру якої Міністерство юстиції конфіскувало в червні. Elliptic, яка надала дані для дослідження, вважає, що таке передання часто відбувається в блокчейні Bitcoin.
Після хакерської атаки на Bybit у лютому 2025 року спеціалісти з реагування на інциденти в ZeroShadow виявили, що режим покладався на мережу відмивачів, позабіржових пунктів обміну (OTC-десків) та однорангових (P2P) трейдерів, часто китайських громадян, які працювали цілодобово. TraderTraitor, північнокорейська група, що стояла за крадіжкою, використовувала китайські організовані злочинні групи для переміщення грошей та повернення готівки.
Саме це переплетення є проблемою, яку доповідь ставить перед командами комплаєнсу, оскільки, як тільки надходження режиму потрапляють у злочинні екосистеми, маркери фінансування розповсюдження (зброї) стає важко відрізнити від звичайного відмивання коштів.
Рахунки, які використовуються для обготівкування, зазвичай належать комусь іншому, при цьому мулів вербують переважно на Філіппінах, в Індонезії та Китаї, де облікові дані продаються достатньо дешево, щоб купувати їх оптом та відкривати рахунки у великих масштабах. Опитані особи зазначили, що мули, яким розповідали, на кого вони насправді працюють, зазвичай не хотіли продовжувати участь у цьому.
Конвертація відбувається невеликими частинами, при цьому зловмисники продають приблизно 7 000 доларів стейблкоїнів за раз на однорангових торгових майданчиках, що нижче порогів, які викликають банківську перевірку, тоді як ZeroShadow виявив, що більші суми розбиваються на блоки по 30 000 доларів, щоб заморожування "не мало надмірного впливу". Поведінка на самій біржі дає додаткові сигнали, від входів через Astrill VPN до 50-70 запитів до служби підтримки, які відмивачі тепер подають, щоб розблокувати одну затриману транзакцію.
Фіатні гроші рідко надходять простим банківським переказом, при цьому надходження від позабіржових брокерів часто депонуються на рахунки, контрольовані Північною Кореєю, за допомогою карток UnionPay, виданих китайськими банками. Доповідь перелічує 19 китайських банків, які Багатостороння група моніторингу санкцій ідентифікувала минулого року як такі, що використовуються режимом та його представниками.
З приблизно 1,5 мільярда доларів, викрадених з Bybit, 95% переміщувалися через децентралізовані сервіси, і група моніторингу повідомила, що вся ця сума була конвертована у фіатні або тверді валюти до вересня 2025 року.
Автори закликають до розробки регуляторних вказівок щодо кореспондентських відносин між біржами, стандартизованих анкет для реєстрації, безпечних каналів обміну розвідувальною інформацією та ідентифікатора VASP у платіжних повідомленнях, щоб банки-отримувачі могли їх виявляти.
Що це означає для жертв, чітко видно з власних звітів Bybit: біржа оголосила в понеділок, що подала в суд на Північну Корею та виграла постанову про заморожування ідентифікованих активів, відшкодувавши 48,4 мільйона доларів та заморозивши ще 30,5 мільйона доларів, що разом становить близько 5% від викраденого.
BTC
