La Corea del Nord ha rubato almeno 2,8 miliardi di dollari in criptovalute tra gennaio 2024 e settembre 2025 e sta riciclando sempre più quei fondi attraverso le stesse reti utilizzate dai sindacati di truffe e dalla criminalità organizzata, secondo un documento di ricerca pubblicato questo mese dal Royal United Services Institute (RUSI), un think tank britannico specializzato in difesa e sicurezza. La cifra rappresenta una quota significativa di tutte le criptovalute rubate a livello globale in quel periodo e sottolinea il ruolo crescente del furto di asset digitali come fonte di entrate per lo Stato pesantemente sanzionato.

Il documento, redatto da Allison Owen e Noémi També, sposta l'attenzione sul momento in cui gli asset digitali rubati vengono convertiti in valuta fiat — una fase che ha ricevuto meno attenzione rispetto al flusso ben documentato di fondi attraverso servizi decentralizzati come mixer e cross-chain bridge. Poiché le transazioni sulle blockchain pubbliche sono tracciabili per progettazione, gran parte della ricerca precedente e degli sforzi di applicazione della legge si è concentrata sul riciclaggio on-chain. Il problema più difficile, sostiene il documento, è il passaggio finale: trasformare la criptovaluta in contanti spendibili attraverso reti umane che operano in gran parte al di fuori della visibilità dell'analytics blockchain.

Secondo il rapporto, si presume che i proventi rubati sostengano il programma di armi della Corea del Nord — una categoria di finanza illecita nota come finanza di proliferazione, che il Financial Action Task Force, l'organismo globale di contrasto al riciclaggio di denaro, individua come una delle minacce più gravi per il sistema finanziario internazionale.

Trasferimenti di proprietà prima della conversione in contanti

La proprietà delle criptovalute rubate cambia frequentemente mano prima della conversione, rileva il documento. Terze parti a volte acquistano le monete rubate direttamente a un prezzo scontato. Un investigatore ha riferito agli autori che tali passaggi di mano possono essere rilevati quando i fondi emergono mescolati con i proventi di truffe di investimento di tipo "pig butchering", o presso indirizzi collegati a entità come Huione Group della Cambogia, la cui infrastruttura è stata sequestrata dal Dipartimento di Giustizia degli Stati Uniti a giugno. Elliptic, l'azienda di analytics blockchain che ha fornito i dati per la ricerca, valuta che questi passaggi di mano avvengano frequentemente sulla blockchain Bitcoin.

Dopo l'hack di Bybit di febbraio 2025 — con circa 1,5 miliardi di dollari, il più grande furto subìto da un exchange di criptovalute nella storia — gli incident responder di ZeroShadow hanno osservato il regime affidarsi a una rete di riciclatori, desk over-the-counter e trader peer-to-peer — spesso cittadini cinesi che operavano 24 ore su 24. TraderTraitor, il gruppo nordcoreano responsabile del furto da Bybit, avrebbe utilizzato gruppi di criminalità organizzata cinese per muovere i fondi e restituire contanti.

Questa sovrapposizione tra furto sponsorizzato dallo Stato e reti criminali transnazionali rappresenta una sfida significativa per i team di conformità. Una volta che i proventi della Corea del Nord entrano negli ecosistemi criminali, gli indicatori di finanza di proliferazione diventano difficili da distinguere dalle normali attività di riciclaggio di denaro, complicando gli obblighi che banche ed exchange affrontano nell'ambito dei regimi di sanzioni internazionali.

Money mule e conversioni strutturate

I conti utilizzati per la conversione in contanti appartengono tipicamente a money mule reclutate principalmente nelle Filippine, in Indonesia e in Cina, dove le credenziali bancarie sono sufficientemente economiche da essere acquisite in grandi quantità e aprire conti su larga scala. Gli intervistati hanno riferito agli autori che, una volta che le mule scoprono per chi stanno effettivamente lavorando, generalmente desiderano interrompere il proprio coinvolgimento.

Le conversioni avvengono in piccoli incrementi. Gli attori vendono circa 7.000 dollari in stablecoin alla volta sui marketplace peer-to-peer, rimanendo al di sotto delle soglie che provocherebbero verifiche bancarie. ZeroShadow ha inoltre riscontrato che somme più grandi venivano suddivise in tranche da 30.000 dollari in modo che un eventuale congelamento "non fosse eccessivamente impattante". Ulteriori segnali comportamentali emergono a livello di exchange, inclusi accessi tramite Astrill VPN e i 50-70 ticket di assistenza che i riciclatori ora presentano per ottenere il rilascio di una singola transazione bloccata.

Raggiungimento della valuta fiat

I proventi in fiat raramente arrivano tramite semplici bonifici bancari. Al contrario, i fondi dei broker over-the-counter vengono spesso depositati su conti controllati dalla Corea del Nord utilizzando carte UnionPay emesse da banche cinesi. Il documento identifica 19 banche cinesi che il Multilateral Sanctions Monitoring Team ha segnalato lo scorso anno come utilizzate dal regime e dai suoi procuratori. Il team, composto da Stati membri tra cui Stati Uniti, Corea del Sud e Giappone, è stato formato per continuare il monitoraggio delle sanzioni dopo la scadenza del mandato del Panel of Experts delle Nazioni Unite nell'aprile 2025.

Dei circa 1,5 miliardi di dollari rubati a Bybit, il 95% è transitato attraverso servizi decentralizzati. Il team di monitoraggio ha riferito che tutti quei fondi erano stati convertiti in valuta fiat o in contanti entro settembre 2025.

Raccomandazioni e recupero per le vittime

Gli autori chiedono linee guida regolamentari sui rapporti di corrispondenza tra exchange, questionari standardizzati per l'onboarding, canali sicuri di condivisione di intelligence e l'inclusione di un identificativo VASP (Virtual Asset Service Provider) nei messaggi di pagamento affinché le banche riceventi possano individuarli.

L'esito pratico per le vittime è netto. Bybit ha annunciato lunedì di aver citato in giudizio la Corea del Nord e di aver ottenuto un'ordinanza del tribunale per il congelamento degli asset identificati. L'exchange ha recuperato 48,4 milioni di dollari e congelato ulteriori 30,5 milioni di dollari — che insieme rappresentano circa il 5% dell'importo totale rubato.