Corea del Norte se ha integrado en las redes criminales globales: un nuevo modelo de lavado de criptomonedas robadas
El análisis de las últimas tendencias en ciberseguridad muestra que los operadores norcoreanos han cambiado radicalmente su enfoque hacia la legalización de activos digitales robados. En lugar de crear una infraestructura aislada, ahora se integran activamente en ecosistemas financieros criminales ya existentes, lo que complica significativamente el rastreo y bloqueo de fondos.
Las rutas de movimiento de capital incluyen servicios extrabursátiles (OTC), traders P2P, casas de cambio ilegales, mezcladores, puentes entre cadenas y plataformas vinculadas a esquemas fraudulentos. Según mis estimaciones, basadas en datos de monitoreo, desde enero de 2024 hasta septiembre de 2025, Pionyang ha robado al menos $2,8 mil millones en activos virtuales. Estos fondos alimentan directamente el programa de creación de armas de destrucción masiva. Es notable que la etapa de conversión a dinero fiduciario siga siendo la menos estudiada en comparación con el lavado en cadena.
De hackers a intermediarios criminales
Tras el movimiento inicial de activos, los hackers norcoreanos transfieren la criptomoneda a lavadores externos. Por ejemplo, en el proceso de "blanqueo" de fondos tras el hackeo del exchange Bybit por $1,5 mil millones en febrero de 2025, participó una red extensa de traders OTC y P2P, principalmente ciudadanos chinos. Estos intermediarios trabajaban las 24 horas, moviendo activos y finalmente convirtiendo la criptomoneda robada en dinero fiduciario y efectivo. Para septiembre de 2025, todos los fondos robados a Bybit habían sido completamente convertidos en efectivo.
La criptomoneda pasa a través de decenas de direcciones y varias cadenas de bloques, y la propiedad cambia múltiples veces. En algunos casos, la transferencia de fondos de operadores norcoreanos a lavadores externos puede identificarse por cambios característicos en el comportamiento transaccional.
Conexión con estafas criptográficas
De particular interés es la conexión descubierta entre el dinero norcoreano y la industria de estafas criptográficas. Durante las investigaciones, se han identificado señales de mezcla de fondos de la RPDC con ingresos de esquemas fraudulentos como el "sacrificio de cerdos", donde los delincuentes primero ganan la confianza de las víctimas y luego las convencen de invertir en proyectos ficticios.
Un papel clave lo desempeñan los llamados mercados de garantía: plataformas clandestinas que operan principalmente a través de Telegram en chino. Ofrecen servicios de lavado de dinero, herramientas técnicas e intermediación en operaciones ilegales. En particular, se han registrado casos donde criptomonedas de hackeos vinculados a la RPDC llegaban a acuerdos de custodia cerrados en dichas plataformas. Parte de los fondos tras el ataque a WazirX fue transferida a través de TRON, consolidada y dirigida a direcciones asociadas con Xinbi Guarantee y la ahora inexistente Huione Guarantee.
Fragmentación y esquemas P2P
Otro elemento importante es la fragmentación de grandes sumas. En lugar de retirar millones de dólares directamente a través de una sola plataforma, los fondos se dividen en muchas operaciones pequeñas. Los operadores norcoreanos venden stablecoins a través de mercados P2P en lotes de aproximadamente $7,000, recibiendo efectivo. Esto permite evitar el monitoreo AML. También se registra la fragmentación de transacciones hasta ~$30,000, para que un posible congelamiento afecte solo una parte insignificante de los fondos.
Para acelerar el proceso, se utilizan billeteras preparadas de antemano que distribuyen automáticamente los activos a direcciones predeterminadas. Los puntos finales suelen ser mercados P2P en el sur de Asia y exchanges de criptomonedas no regulados en América Latina.
Después de varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otras criptomonedas criminales. Esto crea un problema serio para los exchanges: una vez que los activos entran en la amplia red de intermediarios criminales, es extremadamente difícil establecer un vínculo con el ataque original.
Mi análisis: La característica principal del nuevo modelo norcoreano no es la existencia de un canal de lavado "secreto", sino la capacidad de integrar activos robados en el ecosistema ya operativo de casas de cambio ilegales, redes P2P y estafas criptográficas. Esto permite a la RPDC utilizar infraestructura ajena y complica significativamente el bloqueo de fondos en las etapas finales de su conversión en efectivo. La industria debe desarrollar nuevos métodos de análisis orientados a identificar anomalías de comportamiento, no solo a rastrear direcciones específicas.