Korea Północna skradła co najmniej 2,8 miliarda dolarów w kryptowalutach między styczniem 2024 a wrześniem 2025 roku i coraz częściej pranie tych środków przeprowadza przez te same sieci, z których korzystają syndykaty oszustw i zorganizowana przestępczość — wynika z opublikowanego w tym miesiącu raportu badawczego Royal United Services Institute (RUSI), brytyjskiego think tanku zajmującego się obroną i bezpieczeństwem. Kwota ta stanowi znaczną część wszystkich kryptowalut skradzionych na świecie w tym okresie i podkreśla rosnącą rolę kradzieży aktywów cyfrowych jako źródła dochodów dla silnie sankcjonowanego państwa.

Raport, którego autorami są Allison Owen i Noémi També, przenosi punkt ciężkości na moment, w którym skradzione aktywa cyfrowe są zamieniane na waluty fiducjarne — etap, który dotychczas otrzymywał mniej uwagi niż dobrze udokumentowany przepływ środków przez zdecentralizowane usługi, takie jak miksery i mosty międzyłańcuchowe. Ponieważ transakcje na publicznych blockchainach z założenia są możliwe do śledzenia, większość wcześniejszych badań i działań egzekucyjnych koncentrowała się na praniu on-chain. Trudniejszy problem — argumentują autorzy — stanowi ostatni krok: zamiana kryptowalut na gotówkę, którą można wydać, za pośrednictwem sieci ludzkich działających w dużej mierze poza polem widzenia analityki blockchainowej.

Według raportu przyjmuje się, że skradzione środki wspierają program zbrojeniowy Korei Północnej — kategorię nielegalnych finansów znaną jako finansowanie proliferacji, którą Financial Action Task Force, globalny strażnik anti-money-laundering, uznaje za jedno z najpoważniejszych zagrożeń dla międzynarodowego systemu finansowego.

Przekazanie własności przed wymianą na gotówkę

Własność skradzionych kryptowalut często zmienia właściciela przed konwersją — stwierdza raport. Osoby trzecie czasami wykupują skradzione monety w całości z dyskontem. Jeden z badaczy powiedział autorom, że takie przelewy można wykryć, gdy środki pojawiają się zmieszane z zyskami z oszustw inwestycyjnych typu „pig butchering” lub pod adresami powiązanymi z podmiotami takimi jak kambodżańska Huione Group, której infrastrukturę amerykański Departament Sprawiedliwości zajął w czerwcu. Elliptic, firma zajmująca się analityką blockchainową, która dostarczyła dane do badania, ocenia, że te przelewy mają często miejsce na blockchainie Bitcoin.

Po haku Bybit z lutego 2025 — o wartości około 1,5 miliarda dolarów, największej kradzieży na giełdzie kryptowalut w historii — zespoły reagowania incydentowego ZeroShadow zaobserwowały, że reżim polega na sieci praczów, biur over-the-counter i traderów peer-to-peer — często obywateli Chin działających całą dobę. TraderTraitor, północnokoreańska grupa odpowiedzialna za kradzież z Bybit, rzekomo wykorzystywała chińskie grupy zorganizowanej przestępczości do przemieszczania środków i zwrotu gotówki.

To nakładanie się kradzieży sponsorowanej przez państwo na transnarodowe sieci przestępcze stanowi poważne wyzwanie dla zespołów compliance. Gdy środki Korei Północnej wpadną do ekosystemów przestępczych, wskaźniki finansowania proliferacji stają się trudne do odróżnienia od zwykłego prania pieniędzy, co komplikuje obowiązki banków i giełd wynikające z międzynarodowych reżimów sankcyjnych.

Muły finansowe i ustrukturyzowane konwersje

Konta wykorzystywane do wymiany na gotówkę należą zazwyczaj do mułów finansowych rekrutowanych głównie na Filipinach, w Indonezji i Chinach, gdzie poświadczenia bankowe są na tyle tanie, że można je nabywać masowo i otwierać konta na dużą skalę. Rozmówcy powiedzieli autorom, że gdy muły dowiadują się, dla kogo faktycznie pracują, zazwyczaj chcą zakończyć swoje zaangażowanie.

Konwersje przeprowadzane są w niewielkich przyrostach. Aktorzy sprzedają naraz około 7000 dolarów w stablecoinach na platformach peer-to-peer, pozostając poniżej progów, które uruchomiłyby kontrolę bankową. ZeroShadow odkryło również, że większe kwoty były dzielone na transze po 30 000 dolarów, tak aby ewentualne zamrożenie „nie było zbyt dotkliwe.” Dalsze sygnały behawioralne pojawiają się na poziomie giełdy, w tym logowania przez Astrill VPN oraz 50 do 70 zgłoszeń do supportu, jakie pracze składają obecnie, aby uwolnić pojedynczą wstrzymaną transakcję.

Docieranie do waluty fiducjarnej

Środki fiducjarne rzadko docierają poprzez proste przelewy bankowe. Zamiast tego fundusze od brokerów over-the-counter są często wpłacane na konta kontrolowane przez Koreę Północną przy użyciu kart UnionPay wydanych przez chińskie banki. Raport identyfikuje 19 chińskich banków, które Multilateral Sanctions Monitoring Team ubiegłego roku oflagował jako wykorzystywane przez reżim i jego pośredników. Zespół, w skład którego wchodzą państwa członkowskie, w tym Stany Zjednoczone, Korea Południowa i Japonia, został powołany w celu kontynuacji monitorowania sankcji po wygaśnięciu mandatu Panelu Ekspertów ONZ w kwietniu 2025 roku.

Z około 1,5 miliarda dolarów skradzionych z Bybit 95% przepłynęło przez zdecentralizowane usługi. Zespół monitorujący zgłosił, że do września 2025 roku wszystkie te środki zostały zamienione na walutę fiducjarną lub gotówkę.

Rekomendacje i odzyskiwanie środków przez ofiary

Autorzy wzywają do wydania wytycznych regulacyjnych dotyczących relacji korespondencyjnych między giełdami, ustandaryzowanych kwestionariuszy onboardingowych, bezpiecznych kanałów wymiany informacji wywiadowczych oraz włączenia identyfikatora Virtual Asset Service Provider (VASP) w komunikatach płatniczych, aby banki otrzymujące mogły je zidentyfikować.

Praktyczny rezultat dla ofiar jest drastyczny. Bybit ogłosił w poniedziałek, że pozwał Koreę Północną i uzyskał nakaz sądowy zamrażający zidentyfikowane aktywa. Giełda odzyskała 48,4 miliona dolarów i zamroziła dodatkowe 30,5 miliona dolarów — łącznie około 5% całkowitej skradzionej kwoty.