Corea del Norte se integra en redes criptográficas criminales: una nueva era de lavado de dinero
El análisis de las últimas tendencias muestra que la RPDC está cambiando radicalmente su enfoque hacia la legalización de activos digitales robados. En lugar de crear una infraestructura aislada, los operadores norcoreanos se están infiltrando cada vez más en ecosistemas financieros criminales ya existentes. Este es un cambio estratégico que complica enormemente el trabajo de las fuerzas del orden y los analistas de blockchain.
Las rutas de movimiento de fondos ahora abarcan servicios OTC, traders P2P, casas de cambio ilegales, mezcladores, puentes entre cadenas y plataformas vinculadas a la industria de estafas. Según mis estimaciones, basadas en datos de monitoreo, desde enero de 2024 hasta septiembre de 2025, Pyongyang ha robado al menos $2.8 mil millones en activos virtuales. Estos fondos alimentan directamente el programa de armas de destrucción masiva. Es fundamental entender: la etapa de conversión a dinero fiduciario está mucho menos estudiada que el lavado on-chain, y es aquí donde se esconden los principales riesgos.
De hackers a intermediarios criminales
Después del movimiento inicial de fondos, la RPDC entrega la criptomoneda a lavadores externos. Un ejemplo destacado es el hackeo de Bybit por $1.5 mil millones en febrero de 2025. En el proceso de "blanqueo" participó toda una red de traders OTC y P2P, principalmente ciudadanos chinos. Estos intermediarios trabajaban las 24 horas, moviendo activos y finalmente convirtiendo todo lo robado en fiduciario y efectivo. Según datos del grupo de monitoreo internacional MSMT, para septiembre de 2025 todos los fondos de Bybit habían sido convertidos en efectivo.
Los activos pasan a través de decenas de direcciones y varias blockchains, y la propiedad cambia constantemente. En algunos casos, la transición de operadores norcoreanos a lavadores externos se puede rastrear por cambios característicos en el comportamiento transaccional, pero esto requiere recursos colosales.
La industria de estafas como elemento clave
Especial atención atrae la conexión del dinero norcoreano con las criptoestafas. Los investigadores han registrado señales de mezcla de fondos de la RPDC con ingresos de fraudes tipo "sacrificio de cerdos" — esquemas de inversión donde las víctimas primero son atraídas a relaciones de confianza y luego convencidas de invertir en proyectos ficticios.
Un papel clave lo juegan los llamados mercados de garantía — plataformas clandestinas que operan principalmente a través de Telegram en chino. Ofrecen servicios de lavado de dinero, herramientas técnicas e intermediación. Elliptic ha descubierto casos donde criptomoneda de hackeos vinculados a la RPDC entraba en acuerdos de custodia cerrados en tales plataformas. Por ejemplo, parte de los fondos tras el ataque a WazirX fue transferida a través de TRON, consolidada y enviada a direcciones vinculadas a Xinbi Guarantee y la ya inexistente Huione Guarantee. Tales acuerdos permiten intercambiar criptomoneda por efectivo.
Fragmentación y P2P: tácticas para evadir AML
Otro elemento importante es la fragmentación de grandes sumas. En lugar de retirar millones de dólares directamente, los fondos se dividen en muchas operaciones pequeñas. Los operadores norcoreanos venden stablecoins a través de mercados P2P en lotes de aproximadamente $7,000, obteniendo efectivo. Tal cantidad permite evitar el monitoreo AML. ZeroShadow también ha registrado la fragmentación de transacciones hasta aproximadamente $30,000, para que un posible congelamiento afectara solo a una pequeña parte de los fondos.
Para acelerar el proceso se utilizan billeteras preparadas con distribución automática de activos. Los puntos finales son mercados P2P en el sur de Asia y casas de cambio de criptomonedas no reguladas en América Latina.
Como resultado, después de varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otra criptomoneda criminal. Esto crea un problema adicional para las casas de cambio: después de que los fondos entran en la amplia red de intermediarios criminales, la conexión con el ataque original se vuelve mucho más difícil de establecer.
La principal característica del modelo norcoreano — no es la existencia de un solo canal "secreto", sino la capacidad de integrar la criptomoneda robada en el ecosistema ya existente de casas de cambio ilegales, redes P2P y estafas. Esto permite a la RPDC usar infraestructura ajena y complica significativamente el bloqueo de fondos en las etapas finales.
Mi comentario: Esta tendencia confirma la industrialización de los robos de criptomonedas norcoreanos. No observamos simplemente ataques de hackers, sino una operación estatal completa con su propia logística e integración en redes criminales globales. Para la industria, esto significa que los simples monitoreos on-chain ya no son suficientes — se necesitan soluciones integrales capaces de rastrear patrones de comportamiento y conexiones entre direcciones aparentemente no relacionadas.