Северная Корея наращивает отмывание украденной криптовалюты через криминальные сети

Согласно исследованиям экспертов британского Королевского объединенного института оборонных исследований (RUSI), Северная Корея активно использует уже существующие криминальные финансовые сети для отмывания украденной криптовалюты, вместо создания изолированной инфраструктуры. Это включает в себя использование OTC-сервисов, P2P-трейдеров, нелегальных обменников, миксеров и кроссчейн-мостов, а также платформ, связанных с мошенничеством.

По оценкам аналитиков, с января 2024 года по сентябрь 2025 года КНДР похитила не менее USD 2800000000 в виртуальных активах, которые напрямую финансируют ее программу по разработке оружия массового поражения. Исследование показывает, что этап конвертации криптовалюты в фиат еще менее изучен, чем отмывание на блокчейне.

После первоначального перемещения средств КНДР передает свои активы криминальным посредникам. Например, в процессе отмывания средств, похищенных из биржи Bybit на сумму USD 1500000000 в феврале 2025 года, участвовали OTC- и P2P-трейдеры, многие из которых были гражданами Китая. Эти посредники помогли конвертировать украденную криптовалюту в наличные деньги. К сентябрю 2025 года все средства, похищенные у Bybit, были обналичены.

Криптовалюта может проходить через множество адресов и блокчейнов, и право собственности на активы многократно меняется. Аналитики отмечают, что в некоторых случаях можно определить движение средств от северокорейских операторов к отмывщикам по изменениям в транзакционном поведении.

Эксперты также выявили связь северокорейских средств с индустрией криптоскамов. В ходе расследований обнаружены признаки смешивания активов КНДР с доходами от схем мошенничества, таких как "разделка свиней", где злоумышленники создают доверительные отношения с жертвами, убеждая их инвестировать в фиктивные проекты. Важную роль в этом играют так называемые guarantee-маркетплейсы, работающие в основном через Telegram на китайском языке, которые предоставляют услуги по отмыванию денег и технические инструменты для совершения нелегальных операций.

Elliptic зафиксировала случаи, когда криптовалюта, связанная с КНДР, использовалась в закрытых эскроу-сделках на таких платформах. Например, часть средств, похищенных в результате атаки на WazirX, была переведена через TRON и затем отправлена на адреса, связанные с Xinbi Guarantee и Huione Guarantee, которые больше не существуют. Эти сделки позволяют обменивать криптовалюту на наличные.

Еще одним элементом схемы является дробление крупных сумм. Вместо вывода миллионов долларов через одну платформу, средства разбиваются на множество небольших операций. По данным одного из провайдеров криптоуслуг, северокорейские операторы могут продавать стейблкоины через P2P-маркетплейсы партиями по около USD 7000, что помогает избежать AML-мониторинга. Также фиксировалось дробление транзакций до USD 30000, чтобы минимизировать риск заморозки активов.

В результате нескольких этапов средства из Северной Кореи становятся практически неотличимыми от других преступных криптовалют. Это создает дополнительные проблемы для бирж и криптокомпаний, так как установить связь с первоначальной атакой становится значительно сложнее. Эксперты RUSI подчеркивают, что главная особенность северокорейской модели заключается в умении встраивать украденную криптовалюту в существующие экосистемы нелегальных обменников и P2P-сетей, что значительно усложняет блокировку средств на финальных этапах их превращения в наличные.

Напомним, в мае аналитики CertiK пришли к выводу, что связанные с КНДР хакерские группы превратили кражу криптовалют в масштабную государственную операцию с собственной инфраструктурой отмывания средств и сетью IT-агентов.