Corea del Norte se ha integrado en las redes criminales mundiales: una nueva era de lavado de criptoactivos
El análisis de las últimas tendencias muestra que los operadores norcoreanos han cambiado radicalmente su enfoque hacia la legalización de activos digitales robados. En lugar de crear su propia infraestructura aislada, ahora se integran activamente en ecosistemas financieros criminales globales ya existentes. Esto no es solo una evolución: es un salto cualitativo en la complejidad y escala de las operaciones.
Las rutas de movimiento de fondos abarcan plataformas extrabursátiles (OTC), traders P2P, casas de cambio ilegales, mezcladores, puentes entre cadenas e incluso plataformas vinculadas a esquemas fraudulentos. Según mis estimaciones, basadas en un conjunto de datos abiertos, desde enero de 2024 hasta septiembre de 2025, Corea del Norte ha robado al menos $2,800 millones en activos virtuales. Estos fondos alimentan directamente el programa de armamento, y el problema clave es que la etapa de conversión a dinero fiduciario está mucho menos estudiada que el análisis en cadena del movimiento de tokens.
De hackers a intermediarios criminales
Después del movimiento inicial de activos, los norcoreanos los transfieren a lavadores externos. Por ejemplo, en el proceso de "blanqueo" de fondos tras el hackeo del exchange Bybit por $1,500 millones en febrero de 2025, se involucró una red de traders OTC y P2P, principalmente ciudadanos chinos. Estos intermediarios trabajaban las 24 horas, fraccionaban los activos y, finalmente, aseguraron la conversión completa de la criptomoneda robada en efectivo para septiembre de 2025. La criptomoneda pasa por decenas de direcciones y varias blockchains, y la propiedad cambia múltiples veces, lo que hace que el rastreo sea extremadamente difícil.
La industria de las estafas como refugio
Especial atención atrae la conexión de los fondos norcoreanos con los ingresos de fraudes tipo "sacrificio de cerdos". Se trata de esquemas de inversión donde las víctimas primero se involucran en relaciones de confianza y luego se les convence de invertir en proyectos ficticios. Mis investigaciones muestran que la mezcla de flujos se ha convertido en una práctica común.
Un papel clave aquí lo juegan los llamados mercados de garantía: plataformas clandestinas de Telegram en chino. Proporcionan servicios de lavado, herramientas técnicas y mediación de custodia. Por ejemplo, parte de los fondos tras el ataque a WazirX se consolidó en la red TRON y se dirigió a direcciones vinculadas con Xinbi Guarantee y la ahora inactiva Huione Guarantee. Tales transacciones permiten intercambiar criptomoneda por efectivo fuera del sistema financiero tradicional.
Fragmentación y redes P2P
Otro elemento importante es la fragmentación de grandes sumas. En lugar de retirar millones directamente, los operadores dividen los fondos en transacciones pequeñas. Por ejemplo, las stablecoins se venden a través de mercados P2P en lotes de aproximadamente $7,000, lo que permite evitar el monitoreo AML. También se registra la fragmentación de transacciones hasta $30,000 para que una posible congelación afecte solo una parte insignificante del capital. Para automatizar el proceso, se utilizan billeteras preparadas de antemano que distribuyen los activos a direcciones específicas. Los puntos finales suelen ser plataformas P2P en el sur de Asia y exchanges no regulados en América Latina.
En última instancia, después de varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otra criptomoneda criminal. Esto crea un problema colosal para los exchanges: establecer un vínculo con el ataque inicial después de que los fondos ingresan a una amplia red de intermediarios se vuelve casi imposible.
Mi conclusión experta: La principal amenaza no radica en la existencia de un único canal "secreto", sino en la capacidad de Corea del Norte de integrarse sin fisuras en el ecosistema global de casas de cambio ilegales, redes P2P y proyectos de estafa. Esto convierte la lucha contra la financiación de programas de armamento en un juego interminable del gato y el ratón, donde los métodos tradicionales de bloqueo de activos en las etapas finales se vuelven cada vez menos efectivos. La industria necesita revisar los enfoques de monitoreo, desplazando el enfoque de la búsqueda de direcciones "sucias" al análisis de patrones de comportamiento en toda la red.