Corea del Norte se ha integrado en las redes criminales globales: nueva estrategia para blanquear 2.800 millones de dólares
El análisis de las últimas tendencias en el movimiento de activos digitales robados ha revelado un enfoque fundamentalmente nuevo de Pionyang para legalizar ingresos delictivos. En lugar de crear una infraestructura aislada, los operadores norcoreanos se integran cada vez más en ecosistemas financieros criminales ya existentes, lo que complica drásticamente el rastreo y bloqueo de fondos.
Las rutas de movimiento de capital abarcan servicios extrabursátiles (OTC), traders P2P, casas de cambio ilegales, mezcladores, puentes entre cadenas y plataformas vinculadas a esquemas fraudulentos. Según mis estimaciones, basadas en datos de monitoreo, entre enero de 2024 y septiembre de 2025, Corea del Norte robó al menos $2.800 millones en activos virtuales. Estos fondos alimentan directamente el programa de creación de armas de destrucción masiva. Es fundamental destacar que la etapa de conversión a dinero fiduciario está mucho menos estudiada que el lavado en cadena, y es aquí donde se esconden los principales riesgos para el sistema financiero global.
De hackers a intermediarios criminales
Tras el movimiento inicial de fondos, se observa la transferencia de activos a lavadores externos. En particular, en el proceso de "blanqueo" de fondos tras el hackeo del exchange Bybit por $1.500 millones en febrero de 2025, participó una red ramificada de traders OTC y P2P, principalmente ciudadanos chinos. Estos intermediarios trabajaban las 24 horas, asegurando la conversión de la criptomoneda robada en dinero fiduciario y efectivo. Para septiembre de 2025, según datos del grupo internacional de monitoreo, todos los fondos robados a Bybit habían sido completamente convertidos en efectivo.
Es notable que la criptomoneda pasa por decenas de direcciones y varias blockchains, y la propiedad cambia múltiples veces. En varios casos, la transición de fondos de operadores norcoreanos a lavadores externos puede identificarse por cambios característicos en el comportamiento transaccional, lo que da a los analistas una clave para resolver el misterio.
La industria de estafas como refugio
De particular interés es la conexión del dinero norcoreano con la industria de estafas criptográficas. Durante las investigaciones se encuentran señales de mezcla de fondos de Corea del Norte con ingresos de fraudes tipo "sacrificio de cerdos" — esquemas de inversión donde los delincuentes primero ganan la confianza de las víctimas y luego las convencen de invertir en proyectos ficticios.
Un papel clave aquí lo juegan los llamados mercados de garantía — plataformas clandestinas que funcionan principalmente a través de Telegram en chino. Ofrecen servicios de lavado de dinero, herramientas técnicas e intermediación en operaciones ilegales. Mi análisis muestra que parte de los fondos tras el ataque a WazirX fue transferida a través de TRON, consolidada y luego dirigida a direcciones vinculadas con Xinbi Guarantee y la ya inexistente Huione Guarantee. Tales transacciones potencialmente permiten intercambiar criptomoneda por efectivo, evitando las instituciones financieras tradicionales.
Fragmentación y redes P2P
Otro elemento del esquema es la fragmentación de grandes sumas. En lugar de retirar millones de dólares directamente a través de una sola plataforma, los fondos se dividen en muchas operaciones pequeñas. Los operadores norcoreanos venden stablecoins a través de mercados P2P en lotes de aproximadamente $7.000, recibiendo efectivo a cambio. Esta cantidad permite evitar el monitoreo AML. También se registra la fragmentación de transacciones hasta aproximadamente $30.000 — esto se hace para que un posible congelamiento afecte solo una parte insignificante de los fondos.
Para acelerar el proceso, se utilizan billeteras preparadas de antemano, capaces de distribuir automáticamente los activos a direcciones designadas. Los puntos finales son mercados P2P en el sur de Asia y exchanges de criptomonedas no regulados en América Latina. Después de varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otras criptomonedas delictivas, lo que crea un serio problema para los exchanges: el vínculo con el ataque original se vuelve extremadamente difícil de establecer.
La principal característica del modelo norcoreano no es la existencia de un único canal "secreto", sino la capacidad de integrar la criptomoneda robada en el ecosistema ya existente de casas de cambio ilegales, redes P2P y estafas criptográficas. Esto permite a Corea del Norte utilizar infraestructura ajena y complica significativamente el bloqueo de fondos en las etapas finales.
Mi conclusión experta: Estamos observando un cambio fundamental en la táctica — de operaciones aisladas a una simbiosis con el inframundo criminal global. Esto significa que los métodos tradicionales de lucha contra el lavado de dinero, orientados al rastreo de direcciones específicas, se vuelven ineficaces. La industria necesita pasar al análisis de patrones de comportamiento e interacciones de red; de lo contrario, corremos el riesgo de encontrarnos en una situación donde cada dólar robado sea indistinguible del flujo legal.