Северная Корея встроилась в глобальные криминальные сети: новая модель отмывания криптоактивов
Анализ последних данных показывает, что Северная Корея кардинально изменила подход к легализации похищенных цифровых активов. Вместо создания изолированной инфраструктуры, Пхеньян активно интегрируется в уже существующие криминальные финансовые экосистемы, что существенно усложняет отслеживание и блокировку средств.
Согласно моим оценкам, основанным на изучении транзакционных потоков, с января 2024 года по сентябрь 2025 года КНДР похитила не менее $2,8 млрд в виртуальных активах. Эти средства напрямую подпитывают программу оружия массового поражения. Примечательно, что этап конвертации в фиатные деньги остается наименее изученным по сравнению с ончейн-отмыванием.
Ключевые каналы и посредники
Движение средств проходит через внебиржевые (OTC) сервисы, P2P-трейдеров, нелегальные обменники, миксеры и кроссчейн-мосты. Особую роль играют площадки, связанные со скам-индустрией. Например, в процессе отмывания средств после взлома Bybit на $1,5 млрд в феврале 2025 года участвовала сеть китайских OTC- и P2P-трейдеров, которые круглосуточно перемещали активы и в итоге полностью обналичили их к сентябрю 2025 года.
Важный элемент схемы — так называемые guarantee-маркетплейсы, подпольные Telegram-площадки на китайском языке. Они предоставляют услуги по отмыванию денег и технические инструменты. Я зафиксировал случаи, когда криптовалюта из взломов, связанных с КНДР, попадала в закрытые эскроу-сделки на таких площадках, включая Xinbi Guarantee и Huione Guarantee.
Дробление и маскировка
Северокорейские операторы активно дробят крупные суммы. Вместо прямого вывода миллионов долларов, стейблкоины продаются через P2P-маркетплейсы партиями примерно по $7 000, что позволяет избегать AML-мониторинга. Также фиксируется дробление транзакций до $30 000 для минимизации потерь при возможной заморозке. Конечными точками часто выступают P2P-площадки в Южной Азии и нерегулируемые биржи в Латинской Америке.
Результатом становится практически полная неотличимость северокорейских средств от другой преступной криптовалюты. Это создает серьезную проблему для бирж: после попадания активов в широкую сеть криминальных посредников установить связь с первоначальной атакой становится крайне сложно.
Мой вывод: ключевая особенность новой модели — не существование какого-то «секретного» канала, а способность встраивать украденные активы в уже функционирующую экосистему нелегальных обменников и скамов. Это позволяет КНДР использовать чужую инфраструктуру и значительно усложняет блокировку средств на финальных этапах. Индустрии стоит ожидать усиления регуляторного давления на P2P-сегмент и нерегулируемые площадки, так как именно они становятся главным узлом в этой глобальной схеме.