Corea del Norte se ha integrado en las redes criminales mundiales: una nueva era de lavado de criptoactivos
Al analizar las últimas tendencias en el ámbito de la ciberdelincuencia, he llegado a la conclusión de que los operadores norcoreanos han cambiado radicalmente su táctica. En lugar de crear una infraestructura aislada para blanquear activos digitales robados, ahora se integran activamente en ecosistemas financieros criminales ya existentes. Esto no es solo una evolución, es un salto cualitativo que plantea nuevos desafíos para toda la industria.
Mi análisis muestra que las rutas clave del movimiento de fondos incluyen servicios extrabursátiles (OTC), traders P2P, casas de cambio ilegales, mezcladores, puentes entre cadenas y plataformas relacionadas con estafas. Entre enero de 2024 y septiembre de 2025, Corea del Norte ha robado al menos $2.800 millones en activos virtuales. Estos fondos alimentan directamente el programa de armas de destrucción masiva, lo que hace que el problema sea especialmente grave. Es notable que la etapa de conversión a dinero fiduciario esté mucho menos estudiada que el blanqueo en cadena.
De hackers a intermediarios criminales
Tras el movimiento inicial de fondos, los operadores norcoreanos transfieren la criptomoneda a terceros blanqueadores. El hackeo de Bybit por $1.500 millones en febrero de 2025 es un claro ejemplo. En el proceso de "blanqueo" participó toda una red de traders OTC y P2P, principalmente ciudadanos chinos. Estos intermediarios trabajaban las 24 horas, moviendo activos y finalmente convirtiendo por completo la criptomoneda robada en dinero fiduciario y efectivo para septiembre de 2025.
La criptomoneda pasa por decenas de direcciones y varias cadenas de bloques, mientras que la propiedad cambia múltiples veces. En algunos casos, la transferencia de fondos de los operadores norcoreanos a blanqueadores externos se puede identificar por cambios característicos en el comportamiento transaccional.
La industria de estafas como refugio
Especial atención atrae la conexión del dinero norcoreano con la industria de estafas criptográficas. He encontrado señales de mezcla de fondos de Corea del Norte con ingresos de fraudes tipo "sacrificio de cerdos", esquemas de inversión donde primero se involucra a las víctimas en relaciones de confianza y luego se las convence de invertir en proyectos ficticios.
Un papel crítico lo juegan los llamados mercados de garantía, plataformas clandestinas que operan a través de Telegram en chino. Ofrecen servicios de blanqueo de dinero, herramientas técnicas e intermediación. Por ejemplo, parte de los fondos tras el ataque a WazirX fue transferida a través de TRON, consolidada y enviada a direcciones vinculadas con Xinbi Guarantee y la ya desaparecida Huione Guarantee. Tales transacciones permiten intercambiar criptomoneda por efectivo.
Fragmentación y redes P2P
Otro elemento del esquema es la fragmentación de grandes sumas. En lugar de retirar millones de dólares directamente, los fondos se dividen en numerosas operaciones pequeñas. Los operadores norcoreanos venden stablecoins a través de mercados P2P en lotes de aproximadamente $7.000, recibiendo efectivo. Esto permite evitar el monitoreo AML. También se registra la fragmentación de transacciones hasta $30.000, para que un posible congelamiento afecte solo a una pequeña parte de los fondos.
Para acelerar el proceso, se utilizan billeteras preparadas de antemano que distribuyen automáticamente los activos. Los puntos finales son mercados P2P en el sur de Asia y exchanges de criptomonedas no regulados en América Latina. Después de varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otra criptomoneda criminal.
Mi conclusión profesional: la principal característica del modelo norcoreano no es la existencia de un único canal "secreto", sino la capacidad de integrar activos robados en el ecosistema ya existente de casas de cambio ilegales, redes P2P y estafas. Esto permite utilizar infraestructura ajena y complica significativamente el bloqueo de fondos en las etapas finales. Para los exchanges y empresas de criptomonedas, esto significa que, una vez que los fondos entran en la amplia red de intermediarios criminales, la conexión con el ataque original se vuelve prácticamente imposible de establecer. La industria debe replantear sus enfoques hacia el monitoreo AML, haciendo hincapié en el análisis de comportamiento, no solo en el seguimiento de direcciones conocidas.