Nordkorea stahl zwischen Januar 2024 und September 2025 mindestens $2.8 billion in Kryptowährungen und wäscht diese Gelder zunehmend über dieselben Netzwerke, die auch von Betrugsringen und organisierter Kriminalität genutzt werden, wie aus einer diesen Monat veröffentlichten Forschungsarbeit des Royal United Services Institute (RUSI), einem britischen Think Tank für Verteidigung und Sicherheit, hervorgeht. Die Zahl steht für einen erheblichen Anteil aller weltweit in diesem Zeitraum gestohlenen Kryptowährungen und unterstreicht die wachsende Rolle des Diebstahls digitaler Vermögenswerte als Einnahmequelle für den stark sanktionierten Staat.

Die von Allison Owen und Noémi També verfasste Studie richtet den Blick auf den Punkt, an dem gestohlene digitale Vermögenswerte in Fiatgeld umgewandelt werden — eine Phase, die weniger Beachtung gefunden hat als der gut dokumentierte Geldfluss über dezentrale Dienste wie Mixer und Cross-Chain-Bridges. Da Transaktionen auf öffentlichen Blockchains grundsätzlich nachvollziehbar sind, konzentrierten sich frühere Forschung und Durchsetzung vor allem auf On-Chain-Geldwäsche. Das schwerere Problem, so die Studie, ist der letzte Schritt: Kryptowährungen über menschliche Netzwerke, die sich weitgehend der Sicht von Blockchain-Analysen entziehen, in ausgabefähiges Bargeld zu verwandeln.

Laut dem Bericht sollen die gestohlenen Erlöse Nordkoreas Waffenprogramm unterstützen — eine Form illegaler Finanzströme, die als Proliferationsfinanzierung bekannt ist und von der Financial Action Task Force, der globalen Aufsichtsbehörde gegen Geldwäsche, als eine der schwerwiegendsten Bedrohungen für das internationale Finanzsystem eingestuft wird.

Eigentumsübertragungen vor der Auszahlung

Das Eigentum an gestohlener Kryptowährung wechselt vor der Umwandlung häufig den Besitzer, so die Studie. Drittparteien kaufen die gestohlenen Coins teils direkt zu einem Abschlag. Ein Ermittler teilte den Autoren mit, dass sich solche Übergaben daran erkennen lassen können, dass Gelder zusammen mit Erlösen aus "pig butchering"-Anlagebetrug auftauchen oder an Adressen hängen, die mit Einrichtungen wie der kambodschanischen Huione Group verbunden sind, deren Infrastruktur das US-Justizministerium im Juni beschlagnahmte. Elliptic, das Blockchain-Analyseunternehmen, das Daten für die Untersuchung bereitstellte, geht davon aus, dass diese Übergaben häufig auf der Bitcoin-Blockchain stattfinden.

Nach dem Bybit-Hack im Februar 2025 — mit rund $1.5 billion der bislang größte bekannte Diebstahl von einer Kryptobörse — beobachteten Incident Responder bei ZeroShadow, dass das Regime auf ein Netzwerk von Geldwäschern, OTC-Schaltern und Peer-to-Peer-Händlern setzte, oft chinesische Staatsangehörige, die rund um die Uhr arbeiteten. TraderTraitor, die nordkoreanische Gruppe hinter dem Bybit-Diebstahl, soll chinesische organisierte Kriminalitätsgruppen genutzt haben, um Gelder zu verschieben und Bargeld zurückzuführen.

Diese Überschneidung von staatlich gestütztem Diebstahl und transnationalen kriminellen Netzwerken stellt Compliance-Teams vor erhebliche Probleme. Sobald Nordkoreas Erlöse in kriminelle Ökosysteme gelangen, lassen sich die Merkmale von Proliferationsfinanzierung nur schwer von gewöhnlicher Geldwäsche unterscheiden, was die Verpflichtungen von Banken und Börsen unter internationalen Sanktionsregimen erschwert.

Geldkuriere und gestaffelte Umwandlungen

Die Konten, über die das Geld ausgezahlt wird, gehören in der Regel Geldkurieren, die vor allem in den Philippinen, Indonesien und China angeworben werden, wo Bankzugangsdaten billig genug sind, um sie in großen Mengen zu erwerben und Konten in großem Umfang zu eröffnen. Befragte erklärten den Autoren, dass Geldkuriere, sobald sie erfahren, für wen sie tatsächlich arbeiten, im Allgemeinen keine weitere Beteiligung wünschen.

Die Umwandlung erfolgt in kleinen Beträgen. Die Akteure verkaufen auf Peer-to-Peer-Marktplätzen jeweils etwa $7,000 in Stablecoins und bleiben damit unter Schwellenwerten, die eine Bankenprüfung auslösen würden. ZeroShadow stellte zudem fest, dass größere Summen in $30,000-Blöcke aufgeteilt wurden, damit eine mögliche Sperre "nicht übermäßig einschneidend" wäre. Weitere Verhaltenssignale zeigen sich auf Börsenebene, darunter Astrill-VPN-Logins und die 50 bis 70 Support-Tickets, die Geldwäscher inzwischen einreichen, um eine einzelne zurückgehaltene Transaktion freizugeben.

Zum Fiatgeld gelangen

Fiatgelder treffen selten per einfacher Banküberweisung ein. Stattdessen werden Erlöse von OTC-Brokern häufig auf von Nordkorea kontrollierte Konten eingezahlt, wobei UnionPay-Karten verwendet werden, die von chinesischen Banken ausgegeben wurden. Die Studie nennt 19 chinesische Banken, die das Multilateral Sanctions Monitoring Team im vergangenen Jahr als von dem Regime und seinen Stellvertretern genutzt identifizierte. Das Team, dem Mitgliedstaaten wie die Vereinigten Staaten, Südkorea und Japan angehören, wurde gebildet, um die Sanktionsüberwachung fortzusetzen, nachdem das Mandat des UN-Expertengremiums im April 2025 ausgelaufen war.

Von den rund $1.5 billion, die Bybit entwendet wurden, liefen 95% über dezentrale Dienste. Das Monitoring-Team berichtete, dass all diese Gelder bis September 2025 in Fiatgeld oder Hartwährung umgewandelt worden waren.

Empfehlungen und Rückgewinnung für Opfer

Die Autoren fordern regulatorische Leitlinien zu Korrespondenzbeziehungen zwischen Börsen, standardisierte Onboarding-Fragebögen, sichere Kanäle für den Austausch von Informationen und eine VASP-Kennung in Zahlungsnachrichten, damit empfangende Banken diese erkennen können.

Das praktische Ergebnis für die Opfer ist ernüchternd. Bybit teilte am Montag mit, dass das Unternehmen Nordkorea verklagt und eine gerichtliche Anordnung zur Sperrung identifizierter Vermögenswerte erwirkt habe. Die Börse hat $48.4 million zurückerhalten und weitere $30.5 million eingefroren — zusammen etwa 5% des gestohlenen Gesamtbetrags.