Новини криптоміра

Аналіз останніх тенденцій у сфері кіберзлочинності показує, що північнокорейські оператори радикально змінили підхід до легалізації викрадених цифрових активів. Замість створення ізольованої інфраструктури, Пхеньян тепер активно інтегрується в уже існуючі кримінальні фінансові екосистеми, що суттєво ускладнює відстеження та блокування коштів.

Йдеться про комплексну схему, що включає позабіржові (OTC) сервіси, P2P-трейдерів, нелегальні обмінники, міксери, кроссчейн-мости та майданчики, пов'язані зі скам-індустрією. За період із січня 2024 по вересень 2025 року КНДР вдалося викрасти щонайменше $2,8 млрд у віртуальних активах, і ці кошти безпосередньо живлять програму озброєнь. Ключова проблема для розслідувачів — етап конвертації у фіат, який вивчений набагато гірше, ніж ончейн-переміщення.

Від хакерів до кримінальних посередників

Після первинного виведення коштів північнокорейці передають активи стороннім відмивачам. Показовий приклад — злом біржі Bybit на $1,5 млрд у лютому 2025 року. У процесі «відбілювання» брала участь ціла мережа OTC- та P2P-трейдерів, переважно громадян Китаю, які цілодобово дробили та переміщували активи, зрештою конвертувавши їх у готівку. До вересня 2025 року всі викрадені кошти були повністю обготівковані.

Криптовалюта при цьому проходить через десятки адрес і кілька блокчейнів, багаторазово змінюючи «власника». У ряді випадків перехід від північнокорейських операторів до третіх осіб можна виявити за характерними змінами в транзакційній поведінці, але це радше виняток, ніж правило.

Скам як ключовий елемент

Особливу увагу привертає зв'язок північнокорейських грошей з індустрією криптоскамів. Розслідувачі фіксують змішування коштів КНДР із доходами від шахрайських схем типу «обробка свиней», де жертв спочатку втягують у довірливі стосунки, а потім переконують інвестувати у фіктивні проєкти.

Критичну роль відіграють так звані guarantee-маркетплейси — підпільні Telegram-майданчики китайською мовою, що пропонують послуги з відмивання, технічні інструменти та посередництво. Зафіксовано випадки, коли криптовалюта зі зломів, пов'язаних із КНДР, потрапляла в закриті ескроу-угоди на таких платформах. Наприклад, частина коштів після атаки на WazirX консолідувалася в мережі TRON і потім спрямовувалася на адреси, пов'язані з Xinbi Guarantee та нині неіснуючою Huione Guarantee, що потенційно дозволяло обміняти активи на готівку.

Дроблення та P2P-канали

Ключовий елемент схеми — дроблення великих сум. Замість прямого виведення мільйонів доларів, кошти розбиваються на безліч дрібних операцій. Північнокорейські оператори продають стейблкоїни через P2P-маркетплейси партіями приблизно по $7 000, що дозволяє обходити AML-моніторинг. В інших випадках транзакції дробляться до $30 000, щоб можливе замороження зачепило лише незначну частину коштів. Для прискорення процесу використовуються заздалегідь підготовлені гаманці з автоматичним розподілом активів. Кінцевими точками виступають P2P-маркетплейси в Південній Азії та нерегульовані біржі в Латинській Америці.

У результаті після кількох етапів північнокорейські кошти стають практично невідрізненними від іншої злочинної криптовалюти. Це створює колосальну проблему для бірж: після потрапляння активів у широку мережу кримінальних посередників встановити зв'язок із початковою атакою стає вкрай складно.

Головна особливість нової північнокорейської моделі — не існування якогось одного «секретного» каналу, а здатність вбудовувати викрадене в уже діючу екосистему нелегальних обмінників, P2P-мереж і скам-проєктів. Це дозволяє КНДР використовувати чужу інфраструктуру та практично виключає блокування коштів на фінальних етапах.

Мій коментар: Ця тенденція — тривожний сигнал для всієї індустрії. Поки регулятори та біржі зосереджені на блокуванні адрес, пов'язаних із конкретними зломами, КНДР уже грає на випередження, розчиняючи свої активи в загальному потоці кримінальних грошей. Боротьба з цим потребує не точкових заходів, а комплексного підходу до верифікації походження коштів на рівні всієї екосистеми, включно з P2P-сегментом, який досі залишається «сірою зоною».