La RPDC se ha integrado en las redes globales de estafa: un nuevo modelo de lavado de criptomonedas robadas
Un análisis realizado por expertos del Real Instituto Conjunto de Estudios de Defensa del Reino Unido (RUSI) ha revelado una tendencia alarmante: Corea del Norte ha cambiado radicalmente su enfoque para legalizar activos digitales robados. En lugar de crear una infraestructura aislada, los hackers norcoreanos se integran cada vez más en ecosistemas financieros criminales ya existentes, lo que hace que el rastreo de fondos sea significativamente más difícil.
Las rutas de movimiento de capital abarcan servicios extrabursátiles (OTC), traders P2P, casas de cambio ilegales, mezcladores, puentes entre cadenas y plataformas vinculadas a esquemas fraudulentos. Desde enero de 2024 hasta septiembre de 2025, Corea del Norte ha robado al menos $2.800 millones en activos virtuales, y estos fondos financian directamente el programa de armas de destrucción masiva. La etapa de conversión a dinero fiduciario sigue siendo crítica, y está mucho menos estudiada que el lavado en cadena.
De hackers a intermediarios criminales
Tras el movimiento inicial de fondos, los operadores norcoreanos transfieren la criptomoneda a lavadores externos. En el proceso de «blanqueo» de los fondos tras el hackeo del exchange Bybit por $1.500 millones en febrero de 2025 participó toda una red de traders OTC y P2P, muchos de ellos ciudadanos chinos. Estos intermediarios trabajaban las 24 horas, moviendo activos y finalmente convirtiéndolos en dinero fiduciario y efectivo. Para septiembre de 2025, todos los fondos robados a Bybit habían sido completamente retirados en efectivo.
La criptomoneda pasa a través de decenas de direcciones y varias cadenas de bloques, y la propiedad cambia múltiples veces. En algunos casos, la transferencia de fondos de los operadores norcoreanos a lavadores externos puede identificarse por cambios característicos en el comportamiento transaccional.
La industria de las estafas como elemento clave
Los investigadores prestaron especial atención a la conexión entre el dinero norcoreano y la industria de las estafas criptográficas. Se encontraron señales de mezcla de fondos de Corea del Norte con ingresos de fraudes tipo «sacrificio de cerdos»: esquemas de inversión donde los delincuentes primero ganan la confianza de las víctimas y luego las convencen de invertir en proyectos ficticios.
Un papel clave lo desempeñan los llamados mercados de garantía: plataformas clandestinas de Telegram, principalmente en chino. Ofrecen servicios de lavado de dinero, herramientas técnicas e intermediación. La criptomoneda de hackeos relacionados con Corea del Norte llegaba a acuerdos de custodia cerrados en dichas plataformas. Por ejemplo, parte de los fondos tras el ataque a WazirX se transfirió a través de TRON, se consolidó y se envió a direcciones vinculadas a Xinbi Guarantee y a la ya desaparecida Huione Guarantee. Estos acuerdos permiten intercambiar criptomoneda por efectivo.
Fragmentación y redes P2P
Otro elemento del esquema es la fragmentación de grandes sumas. En lugar de retirar millones de dólares directamente, los fondos se dividen en muchas operaciones pequeñas. Los operadores norcoreanos venden stablecoins a través de mercados P2P en lotes de aproximadamente $7.000, obteniendo efectivo y evitando el monitoreo AML. Las transacciones también se fragmentan hasta ~$30.000 para que un posible congelamiento afecte solo una parte insignificante de los fondos.
Para acelerar el proceso se utilizan billeteras preparadas de antemano que distribuyen automáticamente los activos. Los puntos finales son mercados P2P en el sur de Asia y exchanges de criptomonedas no regulados en América Latina.
Como resultado, después de varias etapas, los fondos norcoreanos se vuelven prácticamente indistinguibles de otra criptomoneda criminal. Esto crea un problema grave para los exchanges: una vez que los fondos entran en la amplia red de intermediarios criminales, es extremadamente difícil establecer el vínculo con el ataque original.
La característica principal del modelo norcoreano no es la existencia de un único canal «secreto», sino la capacidad de integrar la criptomoneda robada en el ecosistema ya existente de casas de cambio ilegales, redes P2P y estafas. Esto permite a Corea del Norte utilizar infraestructura ajena y prácticamente elimina el bloqueo de fondos en las etapas finales.
Mi comentario: estamos presenciando una evolución desde ataques de hackers primitivos hacia una operación financiera compleja, industrializada y a escala estatal. Para la industria, esto significa que los métodos estándar de monitoreo ya no son efectivos: se requiere la implementación de algoritmos proactivos de análisis de comportamiento, no solo el seguimiento de direcciones conocidas.