Corea del Norte ha integrado activos criptográficos robados en redes globales de estafas: una nueva era de lavado de dinero
El análisis de las últimas tendencias muestra que los operadores norcoreanos han cambiado radicalmente su enfoque hacia la legalización de activos digitales robados. En lugar de crear una infraestructura aislada, ahora se integran activamente en ecosistemas financieros criminales ya existentes, lo que hace que el rastreo de fondos sea mucho más complejo.
Las rutas clave del movimiento de capital incluyen servicios extrabursátiles (OTC), traders P2P, casas de cambio ilegales, mezcladores, puentes entre cadenas y plataformas vinculadas a esquemas fraudulentos. Según mis estimaciones, basadas en un conjunto de datos de los últimos dos años, de enero de 2024 a septiembre de 2025, Corea del Norte ha robado al menos $2.8 mil millones en activos virtuales. Estos fondos alimentan directamente el programa de creación de armas de destrucción masiva, y la etapa de conversión a dinero fiduciario sigue siendo el eslabón menos estudiado en esta cadena.
De hackers a intermediarios criminales
Tras el movimiento inicial de fondos, los norcoreanos transfieren la criptomoneda a lavadores externos. Un ejemplo revelador es el hackeo del exchange Bybit por $1.5 mil millones en febrero de 2025. En el proceso de "blanqueo" participó una extensa red de traders OTC y P2P, principalmente ciudadanos chinos, que movían los activos las 24 horas. Para septiembre de 2025, todos los fondos robados habían sido completamente convertidos en efectivo, lo que confirma la eficacia de este modelo.
La criptomoneda pasa a través de decenas de direcciones y varias blockchains, y la propiedad cambia múltiples veces. En varios casos, la transferencia de fondos de los operadores norcoreanos a intermediarios externos puede identificarse por cambios característicos en el comportamiento transaccional.
La industria de las estafas como refugio
Especial atención atrae la conexión del dinero norcoreano con la industria de las criptoestafas. Los investigadores registran la mezcla de fondos de Corea del Norte con ingresos de fraudes tipo "sacrificio de cerdos": esquemas de inversión donde las víctimas primero se involucran en relaciones de confianza y luego se les convence de invertir en proyectos ficticios. Un papel crítico lo desempeñan los llamados mercados de garantía: plataformas clandestinas de Telegram en chino que ofrecen servicios de lavado, herramientas técnicas e intermediación.
Se conocen casos en los que criptomonedas de hackeos relacionados con Corea del Norte llegaron a acuerdos de custodia cerrados. Por ejemplo, parte de los fondos tras el ataque a WazirX fue transferida a través de TRON, consolidada y enviada a direcciones vinculadas con Xinbi Guarantee y la ya inexistente Huione Guarantee. Tales acuerdos permiten intercambiar criptomonedas por efectivo prácticamente sin dejar rastro.
Fragmentación y mecanismos P2P
Otro elemento del esquema es la fragmentación de grandes sumas. En lugar de retirar millones de dólares directamente, los fondos se dividen en numerosas operaciones pequeñas. Los operadores norcoreanos venden stablecoins a través de mercados P2P en lotes de aproximadamente $7,000, obteniendo efectivo y evitando el monitoreo AML. También se registra la fragmentación de transacciones hasta ~$30,000, para que un posible congelamiento afecte solo una parte insignificante de los fondos. Para acelerar el proceso, se utilizan billeteras preparadas con distribución automática de activos. Los puntos finales son mercados P2P en el sur de Asia y exchanges no regulados en América Latina.
Después de varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otra criptomoneda criminal. Esto crea un problema colosal para los exchanges: establecer el vínculo con el ataque original se vuelve extremadamente difícil.
Mi conclusión: La característica clave del modelo norcoreano no es la existencia de un único canal "secreto", sino la capacidad de integrar activos robados en un ecosistema ya operativo de exchanges ilegales y estafas. Esto permite a Corea del Norte utilizar infraestructura ajena, complicando significativamente el bloqueo de fondos en las etapas finales. La industria necesita replantear sus enfoques de monitoreo, desplazando el enfoque del seguimiento de direcciones específicas al análisis de patrones de comportamiento en redes criminales globales.