La RPDC se ha integrado en las redes criminales globales: un nuevo modelo de lavado de criptomonedas robadas
Corea del Norte ha cambiado radicalmente su enfoque hacia la legalización de activos digitales robados. En lugar de crear una infraestructura aislada para el lavado de dinero, los operadores norcoreanos se integran cada vez más en ecosistemas financieros criminales ya existentes. Esta es la conclusión clave de mi análisis de los datos más recientes, que cambia drásticamente el panorama de amenazas para la industria cripto global.
Según mis estimaciones, basadas en investigaciones recientes, desde enero de 2024 hasta septiembre de 2025, Pionyang ha robado al menos $2,800 millones en activos virtuales. Estos fondos alimentan directamente el programa de creación de armas de destrucción masiva. Es notable que la etapa de conversión de criptomonedas a dinero fiduciario siga siendo el eslabón menos estudiado en esta cadena, aunque es el que presenta la mayor dificultad para el rastreo.
De hackers a intermediarios criminales
Después del movimiento inicial de fondos, los operadores norcoreanos transfieren los activos a lavadores externos. Un ejemplo claro es el hackeo del exchange Bybit por $1,500 millones en febrero de 2025. En el proceso de "blanqueo" de estos fondos participó una extensa red de traders OTC y P2P, principalmente ciudadanos chinos. Estos intermediarios trabajaban las 24 horas, fraccionaban los activos y, en última instancia, aseguraron la conversión completa de la criptomoneda robada en efectivo. Ya para septiembre de 2025, todos los fondos de Bybit habían sido completamente convertidos en efectivo.
La criptomoneda pasa a través de decenas de direcciones y varias blockchains, y la propiedad de los activos cambia múltiples veces. En varios casos, la transferencia de fondos de operadores norcoreanos a lavadores externos puede identificarse por cambios característicos en el comportamiento transaccional, lo que brinda pistas importantes a los analistas.
El fraude como elemento clave del esquema
Especial atención atrae la conexión del dinero norcoreano con la industria de estafas cripto. Detecto señales de mezcla de fondos norcoreanos con ingresos de esquemas fraudulentos como el "sacrificio de cerdos", donde los delincuentes ganan la confianza de las víctimas y las convencen de invertir en proyectos ficticios. Un papel crítico aquí lo juegan los llamados mercados de garantía: plataformas clandestinas que operan principalmente a través de Telegram en chino. Ofrecen servicios de lavado de dinero, herramientas técnicas e intermediación en operaciones ilegales.
En mi práctica, ha habido casos donde criptomonedas de hackeos relacionados con Corea del Norte terminaban en acuerdos de custodia cerrados en dichas plataformas. Por ejemplo, parte de los fondos tras el ataque a WazirX fue transferida a través de la blockchain TRON, consolidada y luego enviada a direcciones vinculadas con Xinbi Guarantee y la ya inexistente Huione Guarantee. Tales acuerdos permiten intercambiar criptomonedas por efectivo.
Fraccionamiento y canales P2P
Otro elemento importante es el fraccionamiento de grandes sumas. En lugar de retirar millones de dólares directamente a través de una sola plataforma, los fondos se dividen en muchas operaciones pequeñas. Los operadores norcoreanos venden stablecoins a través de mercados P2P en lotes de aproximadamente $7,000, lo que permite evitar el monitoreo AML. También se detecta el fraccionamiento de transacciones hasta $30,000, para que un posible congelamiento afecte solo una parte insignificante de los fondos.
Para acelerar el proceso, se utilizan billeteras preparadas de antemano que distribuyen automáticamente los activos a direcciones predeterminadas. Los puntos finales son mercados P2P en el sur de Asia y exchanges de criptomonedas no regulados en América Latina. Después de varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otras criptomonedas criminales, lo que crea un serio problema para exchanges y empresas cripto: el vínculo con el ataque original se vuelve extremadamente difícil de establecer.
Mi evaluación experta: La principal característica del nuevo modelo norcoreano no es la existencia de un único canal "secreto", sino la capacidad de integrar la criptomoneda robada en el ecosistema ya existente de casas de cambio ilegales, redes P2P y estafas cripto. Esto permite a Corea del Norte utilizar infraestructura ajena y complica significativamente el bloqueo de fondos en las etapas finales de su conversión en efectivo. La industria necesita revisar sus enfoques de monitoreo, desplazando el enfoque del rastreo de direcciones específicas al análisis de patrones de comportamiento en redes criminales en general.