Corea del Norte se ha integrado en las redes criminales globales: una nueva era de lavado de criptoactivos
El análisis de las tendencias recientes muestra que los operadores norcoreanos han cambiado radicalmente su enfoque hacia la legalización de activos digitales robados. En lugar de crear una infraestructura aislada, ahora se integran activamente en ecosistemas financieros criminales ya existentes. Esto no es solo una evolución: es un salto cualitativo en la complejidad y eficiencia del lavado de dinero.
Las rutas del movimiento de capital abarcan servicios extrabursátiles (OTC), traders P2P, casas de cambio ilegales, mezcladores, puentes entre cadenas y plataformas vinculadas a esquemas fraudulentos. Según mis estimaciones, basadas en datos de monitoreo, desde enero de 2024 hasta septiembre de 2025, Corea del Norte ha robado al menos $2.8 mil millones en activos virtuales. Estos fondos alimentan directamente el programa de creación de armas de destrucción masiva. Es notable que la etapa de conversión a dinero fiduciario esté mucho menos estudiada que el lavado en cadena, lo que crea vacíos significativos en el sistema global de contramedidas.
De hackers a intermediarios criminales
Tras el movimiento inicial de fondos, Corea del Norte cada vez más transfiere criptomonedas a lavadores externos. Un ejemplo ilustrativo es el hackeo del exchange Bybit por $1.5 mil millones en febrero de 2025. En el proceso de "blanqueo" participó toda una red de traders OTC y P2P, principalmente ciudadanos chinos. Estos intermediarios trabajaban las 24 horas, moviendo activos, y finalmente convirtieron por completo la criptomoneda robada en fiduciario y efectivo. Para septiembre de 2025, todos los fondos de Bybit habían sido retirados en efectivo.
La criptomoneda, mientras tanto, pasa por decenas de direcciones y varias cadenas de bloques, y la propiedad cambia múltiples veces. En algunos casos, la transferencia de fondos de operadores norcoreanos a lavadores externos se puede rastrear mediante cambios característicos en el comportamiento transaccional: este es un indicador clave para los analistas.
Las estafas como parte del ecosistema
Especial atención atrae la conexión del dinero norcoreano con la industria de estafas criptográficas. Detecto señales de mezcla de fondos de Corea del Norte con ingresos de fraudes tipo "sacrificio de cerdos": esquemas de inversión donde las víctimas primero se involucran en relaciones de confianza y luego se les convence de invertir en proyectos ficticios.
Un papel crítico lo juegan los llamados mercados de garantía: plataformas clandestinas que operan principalmente a través de Telegram en chino. Ofrecen servicios de lavado de dinero, herramientas técnicas e intermediación. Mi análisis ha revelado casos donde criptomonedas de hackeos vinculados a Corea del Norte llegaban a acuerdos de custodia cerrados en tales plataformas. Por ejemplo, parte de los fondos tras el ataque a WazirX fue transferida a través de TRON, consolidada y enviada a direcciones asociadas con Xinbi Guarantee y la ahora desaparecida Huione Guarantee. Tales acuerdos potencialmente permiten intercambiar criptomonedas por efectivo.
Fragmentación y mecanismos P2P
Otro elemento del esquema es la fragmentación de grandes sumas. En lugar de retirar millones directamente a través de una sola plataforma, los fondos se dividen en muchas operaciones pequeñas. Los operadores norcoreanos venden stablecoins a través de mercados P2P en lotes de aproximadamente $7,000, obteniendo efectivo. Esta cantidad permite evitar el monitoreo AML. También se observa la fragmentación de transacciones hasta aproximadamente $30,000, para que un posible congelamiento afecte solo una parte insignificante de los fondos.
Para acelerar el proceso, se utilizan billeteras preparadas de antemano que distribuyen automáticamente los activos a direcciones designadas. Los puntos finales son mercados P2P en el sur de Asia y exchanges de criptomonedas no regulados en América Latina.
Como resultado, después de varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otra criptomoneda criminal. Esto crea un problema adicional para exchanges y empresas criptográficas: una vez que los fondos entran en la amplia red de intermediarios criminales, es extremadamente difícil establecer el vínculo con el ataque original.
La característica principal del modelo norcoreano no es la existencia de un único canal "secreto", sino la capacidad de integrar la criptomoneda robada en el ecosistema ya existente de casas de cambio ilegales, redes P2P y estafas. Esto permite a Corea del Norte utilizar infraestructura ajena y complica significativamente el bloqueo de fondos en las etapas finales.
Mi comentario: Esta tendencia señala que los métodos tradicionales de lucha contra el lavado de dinero, basados en el seguimiento de direcciones individuales, se están volviendo ineficaces. La industria necesita pasar al análisis de patrones de comportamiento y filtrado colaborativo a nivel de redes; de lo contrario, observaremos una mayor convergencia del cibercrimen estatal y el crimen organizado.