Corea del Norte se ha integrado en las redes globales de estafas: un nuevo modelo de lavado de 2.800 millones de dólares
El análisis de las últimas tendencias en el ámbito de la ciberdelincuencia muestra que los operadores norcoreanos han cambiado radicalmente su enfoque hacia la legalización de activos digitales robados. En lugar de crear una infraestructura aislada, Pionyang ahora se integra activamente en ecosistemas financieros criminales ya existentes, lo que complica significativamente el rastreo y bloqueo de fondos.
Se trata de un esquema integral que incluye servicios extrabursátiles (OTC), traders P2P, casas de cambio ilegales, mezcladores, puentes entre cadenas y plataformas vinculadas a la industria de estafas. Entre enero de 2024 y septiembre de 2025, Corea del Norte logró robar al menos $2.800 millones en activos virtuales, y estos fondos alimentan directamente el programa de armamento. El problema clave para los investigadores es la etapa de conversión a moneda fiduciaria, que está mucho menos estudiada que los movimientos en cadena.
De hackers a intermediarios criminales
Tras la extracción inicial de fondos, los norcoreanos transfieren los activos a lavadores externos. Un ejemplo revelador es el hackeo del exchange Bybit por $1.500 millones en febrero de 2025. En el proceso de "blanqueo" participó toda una red de traders OTC y P2P, principalmente ciudadanos chinos, que fraccionaban y movían los activos las 24 horas, convirtiéndolos finalmente en efectivo. Para septiembre de 2025, todos los fondos robados habían sido completamente convertidos en efectivo.
La criptomoneda, mientras tanto, pasa por decenas de direcciones y varias cadenas de bloques, cambiando de "propietario" repetidamente. En algunos casos, la transición de los operadores norcoreanos a terceros puede detectarse por cambios característicos en el comportamiento transaccional, pero esto es más la excepción que la regla.
Las estafas como elemento clave
Especial atención atrae la conexión del dinero norcoreano con la industria de las criptoestafas. Los investigadores registran la mezcla de fondos de Corea del Norte con ingresos de esquemas fraudulentos como el "sacrificio de cerdos", donde las víctimas primero se involucran en relaciones de confianza y luego se les convence de invertir en proyectos ficticios.
Un papel crítico juegan los llamados mercados de garantía: plataformas clandestinas de Telegram en chino que ofrecen servicios de lavado, herramientas técnicas e intermediación. Se han registrado casos en los que criptomonedas de hackeos vinculados a Corea del Norte llegaban a acuerdos de custodia cerrados en dichas plataformas. Por ejemplo, parte de los fondos tras el ataque a WazirX se consolidó en la red TRON y luego se dirigió a direcciones vinculadas con Xinbi Guarantee y la ya inexistente Huione Guarantee, lo que potencialmente permitía intercambiar los activos por efectivo.
Fraccionamiento y canales P2P
El elemento clave del esquema es el fraccionamiento de grandes sumas. En lugar de extraer millones de dólares directamente, los fondos se dividen en numerosas operaciones pequeñas. Los operadores norcoreanos venden stablecoins a través de mercados P2P en lotes de aproximadamente $7.000, lo que permite evadir el monitoreo AML. En otros casos, las transacciones se fraccionan hasta $30.000 para que un posible congelamiento afecte solo una parte insignificante de los fondos. Para acelerar el proceso, se utilizan billeteras preparadas con distribución automática de activos. Los puntos finales son mercados P2P en el sur de Asia y exchanges no regulados en América Latina.
Como resultado, tras varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otras criptomonedas criminales. Esto crea un problema colosal para los exchanges: una vez que los activos llegan a la amplia red de intermediarios criminales, establecer el vínculo con el ataque original se vuelve extremadamente difícil.
La principal característica del nuevo modelo norcoreano no es la existencia de un único canal "secreto", sino la capacidad de integrar lo robado en un ecosistema ya operativo de casas de cambio ilegales, redes P2P y proyectos de estafa. Esto permite a Corea del Norte utilizar infraestructura ajena y prácticamente elimina el bloqueo de fondos en las etapas finales.
Mi comentario: Esta tendencia es una señal alarmante para toda la industria. Mientras los reguladores y exchanges se centran en bloquear direcciones vinculadas a hackeos específicos, Corea del Norte ya juega con ventaja, disolviendo sus activos en el flujo general de dinero criminal. Combatir esto requiere no medidas puntuales, sino un enfoque integral para la verificación del origen de los fondos a nivel de todo el ecosistema, incluido el segmento P2P, que sigue siendo una "zona gris".