Новини криптоміра

Аналіз, проведений експертами британського Королівського об'єднаного інституту оборонних досліджень (RUSI), виявив тривожну тенденцію: Північна Корея кардинально змінила підхід до легалізації викрадених цифрових активів. Замість створення ізольованої інфраструктури, хакери КНДР дедалі частіше інтегруються в уже існуючі кримінальні фінансові екосистеми, що робить відстеження коштів значно складнішим.

Маршрути руху капіталу охоплюють позабіржові (OTC) сервіси, P2P-трейдерів, нелегальні обмінники, міксери, кроссчейн-мости та майданчики, пов'язані з шахрайськими схемами. З січня 2024 року по вересень 2025 року КНДР викрала щонайменше $2,8 млрд у віртуальних активах, і ці кошти безпосередньо фінансують програму зброї масового знищення. Критично важливим залишається етап конвертації у фіатні гроші, який вивчений набагато гірше, ніж ончейн-відмивання.

Від хакерів до кримінальних посередників

Після первинного переміщення коштів північнокорейські оператори передають криптовалюту стороннім відмивачам. У процесі «відбілювання» коштів після зламу біржі Bybit на $1,5 млрд у лютому 2025 року брала участь ціла мережа OTC- та P2P-трейдерів, багато з яких — громадяни Китаю. Ці посередники працювали цілодобово, переміщуючи активи та зрештою конвертувавши їх у фіат і готівку. До вересня 2025 року всі викрадені у Bybit кошти були повністю обготівковані.

Криптовалюта при цьому проходить через десятки адрес і кілька блокчейнів, а право власності багаторазово змінюється. У ряді випадків перехід коштів від північнокорейських операторів до сторонніх відмивачів можна ідентифікувати за характерними змінами транзакційної поведінки.

Скам-індустрія як ключовий елемент

Особливу увагу дослідники приділили зв'язку північнокорейських грошей з індустрією криптоскамів. Було виявлено ознаки змішування коштів КНДР з доходами від шахрайства типу «обробка свиней» — інвестиційних схем, де зловмисники спочатку втираються в довіру до жертв, а потім переконують їх вкладати кошти у фіктивні проєкти.

Ключову роль відіграють так звані guarantee-маркетплейси — підпільні Telegram-майданчики, переважно китайською мовою. Вони пропонують послуги з відмивання грошей, технічні інструменти та посередництво. Криптовалюта зі зламів, пов'язаних з КНДР, потрапляла в закриті ескроу-угоди на таких майданчиках. Наприклад, частина коштів після атаки на WazirX була переведена через TRON, консолідована та відправлена на адреси, пов'язані з Xinbi Guarantee та нині неіснуючою Huione Guarantee. Такі угоди дозволяють обмінювати криптовалюту на готівку.

Дроблення та P2P-мережі

Ще один елемент схеми — дроблення великих сум. Замість прямого виведення мільйонів доларів, кошти розбиваються на безліч дрібних операцій. Північнокорейські оператори продають стейблкоїни через P2P-маркетплейси партіями приблизно по $7 000, отримуючи готівку та уникаючи AML-моніторингу. Транзакції також дробляться до ~$30 000, щоб можливе заморожування торкнулося лише незначної частини коштів.

Для прискорення процесу використовуються заздалегідь підготовлені гаманці, які автоматично розподіляють активи. Кінцевими точками виступають P2P-маркетплейси в Південній Азії та нерегульовані криптобіржі в Латинській Америці.

У результаті після кількох етапів північнокорейські кошти стають практично невідрізненними від іншої злочинної криптовалюти. Це створює серйозну проблему для бірж: після потрапляння коштів у широку мережу кримінальних посередників зв'язок із початковою атакою встановити вкрай складно.

Головна особливість північнокорейської моделі — не наявність якогось одного «секретного» каналу, а здатність вбудовувати викрадену криптовалюту в уже існуючу екосистему нелегальних обмінників, P2P-мереж і скамів. Це дозволяє КНДР використовувати чужу інфраструктуру та практично виключає блокування коштів на фінальних етапах.

Мій коментар: ми спостерігаємо еволюцію від примітивних хакерських атак до складної, індустріалізованої фінансової операції державного масштабу. Для індустрії це означає, що стандартні методи моніторингу вже неефективні — потрібне впровадження проактивних алгоритмів аналізу поведінки, а не просто відстеження відомих адрес.