Corea del Norte ha integrado criptomonedas robadas en redes globales de estafas: un nuevo nivel de lavado de dinero.
El análisis de las últimas tendencias en el movimiento de activos digitales robados muestra que los operadores norcoreanos han cambiado radicalmente su estrategia. En lugar de crear una infraestructura aislada para el lavado de fondos, se integran cada vez más en ecosistemas financieros criminales ya existentes. Esto no es solo una evolución, es un salto cualitativo en la complejidad y resiliencia de sus operaciones.
Según mis datos, desde enero de 2024 hasta septiembre de 2025, Corea del Norte ha robado al menos $2.8 mil millones en activos virtuales. Estos fondos alimentan directamente el programa de armamento, y el problema clave para la industria no es tanto el hackeo en sí, sino la conversión final a dinero fiduciario. Es esta etapa, a diferencia del rastreo on-chain, la que sigue siendo la menos estudiada.
Intermediarios criminales como nueva herramienta
Las rutas de movimiento de fondos incluyen servicios OTC, traders P2P, casas de cambio ilegales, mezcladores y puentes cross-chain. De particular interés es el uso de los llamados mercados de garantía: plataformas clandestinas de Telegram en chino que ofrecen servicios de depósito en garantía y soporte técnico para el lavado de dinero. Por ejemplo, tras el hackeo de Bybit por $1.5 mil millones en febrero de 2025, participó en el proceso toda una red de traders OTC y P2P, muchos de los cuales eran ciudadanos chinos. Para septiembre de 2025, todos los fondos robados se habían convertido completamente en efectivo.
Estafas como cobertura
Se observa una tendencia alarmante de mezclar fondos norcoreanos con ingresos de esquemas fraudulentos como el "sacrificio de cerdos". Parte de los activos tras el ataque a WazirX fue transferida a través de TRON a direcciones vinculadas con Xinbi Guarantee y Huione Guarantee. Esto permite no solo ocultar el origen de los fondos, sino también cambiarlos por efectivo sin contacto directo con el sistema bancario tradicional.
Fragmentación y automatización
Un elemento clave del esquema es la fragmentación de transacciones. Los operadores venden stablecoins a través de plataformas P2P en lotes de aproximadamente $7,000, lo que permite evitar el monitoreo AML. En algunos casos, los montos se fragmentan hasta $30,000 para que la congelación afecte solo una parte mínima de los fondos. Para acelerar el proceso, se utilizan billeteras preparadas de antemano con distribución automática de activos a puntos finales: mercados P2P en el sur de Asia y exchanges no regulados en América Latina.
Como resultado, después de varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otras criptomonedas criminales. Esto crea un problema colosal para los exchanges: el vínculo con el ataque inicial se vuelve casi imposible de establecer.
Mi conclusión: la principal amenaza no radica en la existencia de un canal "secreto", sino en la capacidad de Corea del Norte de parasitar infraestructura ajena. Esto exige que la industria revise sus enfoques de monitoreo: luchar contra direcciones individuales es inútil; se necesita un análisis integral de patrones de comportamiento e interacción con redes criminales. Los grupos de hackers ya han convertido el robo de criptomonedas en una operación estatal a gran escala, y la industria debe responder en consecuencia.