Северная Корея украла как минимум $2.8 billion в криптовалюте в период с January 2024 по September 2025 и все чаще отмывает эти средства через те же сети, которые используют мошеннические синдикаты и организованная преступность, говорится в исследовании, опубликованном в этом месяце Royal United Services Institute (RUSI), британским аналитическим центром по вопросам обороны и безопасности. Эта сумма составляет значительную долю всей криптовалюты, украденной в мире за тот же период, и подчеркивает растущую роль хищения цифровых активов как источника дохода для государства, находящегося под жесткими санкциями.

Авторы исследования, Allison Owen и Noémi També, смещают фокус к тому моменту, когда украденные цифровые активы превращаются в фиатную валюту — этапу, который привлекал меньше внимания, чем хорошо изученный поток средств через децентрализованные сервисы, такие как миксеры и кроссчейн-мосты. Поскольку транзакции в публичных блокчейнах по своей природе отслеживаемы, большая часть прежних исследований и усилий правоохранительных органов была сосредоточена на ончейн-отмывании. Более сложная задача, по мнению авторов, — это финальный шаг: превращение криптовалюты в наличные деньги через человеческие сети, которые в основном находятся вне поля зрения блокчейн-аналитики.

Согласно отчету, считается, что украденные средства идут на поддержку оружейной программы Северной Кореи — категории незаконного финансирования, известной как финансирование распространения оружия, которую Группа разработки финансовых мер борьбы с отмыванием денег (Financial Action Task Force), мировой надзорный орган по борьбе с отмыванием денег, относит к числу наиболее серьезных угроз международной финансовой системе.

Перед обналичиванием право собственности переходит к другим лицам

Как установило исследование, право собственности на украденную криптовалюту нередко меняется до конвертации. Третьи лица иногда выкупают украденные монеты напрямую со скидкой. Один из экспертов сообщил авторам, что такие передачи можно выявить, когда средства появляются в смешении с доходами от инвестиционных схем типа "pig butchering" или на адресах, связанных с такими структурами, как камбоджийская Huione Group, чья инфраструктура была изъята Минюстом США в June. Elliptic, компания по блокчейн-аналитике, предоставившая данные для исследования, считает, что такие передачи часто происходят в сети Bitcoin.

После взлома Bybit в February 2025 — примерно на $1.5 billion, что является крупнейшей кражей на криптовалютной бирже за всю историю наблюдений — специалисты ZeroShadow, реагировавшие на инцидент, увидели, что режим опирался на сеть отмывателей, OTC-десков и peer-to-peer трейдеров, часто граждан Китая, работавших круглосуточно. TraderTraitor, северокорейская группировка, стоящая за кражей у Bybit, как сообщается, использовала китайские группы организованной преступности для перемещения средств и возврата наличных.

Именно это пересечение между поддерживаемыми государством хищениями и транснациональными преступными сетями создает серьезную проблему для специалистов по комплаенсу. Как только доходы Северной Кореи попадают в криминальные экосистемы, признаки финансирования распространения оружия становится трудно отличить от обычного отмывания денег, что усложняет обязанности банков и бирж в рамках международных санкционных режимов.

Денежные мулы и структурированные конвертации

Счета, используемые для обналичивания, обычно принадлежат денежным мулам, которых в основном вербуют на Филиппинах, в Индонезии и Китае, где банковские учетные данные достаточно дешевы, чтобы закупать их оптом и открывать счета в больших масштабах. По словам собеседников, когда мулы узнают, на кого они на самом деле работают, они, как правило, хотят прекратить участие.

Конвертация проводится небольшими порциями. Участники продают примерно $7,000 в стейблкоинах за раз на peer-to-peer площадках, не превышая пороги, которые запускают банковскую проверку. ZeroShadow также установила, что более крупные суммы разбивались на части по $30,000, чтобы возможная заморозка "would not be overly impactful." Дополнительные поведенческие сигналы видны на уровне биржи, включая входы через Astrill VPN и 50 to 70 обращений в поддержку, которые отмыватели теперь подают, чтобы освободить одну удерживаемую транзакцию.

Выход в фиатную валюту

Фиатные средства редко поступают простым банковским переводом. Вместо этого средства от OTC-брокеров часто зачисляются на счета, контролируемые Северной Кореей, с использованием карт UnionPay, выпущенных китайскими банками. В отчете перечислены 19 китайских банков, которые Multilateral Sanctions Monitoring Team в прошлом году указала как используемые режимом и его посредниками.

Из примерно $1.5 billion, похищенных у Bybit, 95% прошло через децентрализованные сервисы, и мониторинговая группа сообщила, что к September 2025 все эти средства были конвертированы либо в фиатную, либо в твердую валюту.

Авторы призывают к регуляторным разъяснениям по корреспондентским отношениям между биржами, стандартизированным анкетам при онбординге, защищенным каналам обмена разведывательной информацией и идентификатору VASP в платежных сообщениях, чтобы принимающие банки могли их распознавать.

Для жертв последствия очевидны из собственных заявлений Bybit: в Monday биржа сообщила, что подала иск против Северной Кореи и получила судебный приказ о заморозке идентифицированных активов, восстановив $48.4 million и дополнительно заморозив $30.5 million, вместе около 5% от похищенного.