Північна Корея вбудувалася в кримінальні криптомережі: нова модель відмивання $2,8 млрд
Аналіз британського Королівського об'єднаного інституту оборонних досліджень (RUSI) виявив тривожну тенденцію: Пхеньян радикально змінив підхід до легалізації викрадених цифрових активів. Замість створення ізольованої інфраструктури, північнокорейські оператори тепер активно вбудовуються в уже існуючі глобальні кримінальні фінансові екосистеми. Це не просто еволюція методів — це якісний стрибок у складності відстеження.
Згідно з моїми даними, з січня 2024 року по вересень 2025 року КНДР викрала щонайменше $2,8 млрд у віртуальних валютах. Критично важливо, що ці кошти безпосередньо живлять програму створення зброї масового ураження. При цьому найменш вивчений етап — не ончейн-переміщення, а саме конвертація у фіатні гроші, де хакери максимально ефективно використовують чужі напрацювання.
Інфраструктура чужого криміналу
Маршрути руху коштів включають OTC-сервіси, P2P-трейдерів, нелегальні обмінники, міксери та кроссчейн-мости. Особливий інтерес становить використання так званих guarantee-маркетплейсів — підпільних Telegram-майданчиків, переважно орієнтованих на китайськомовну аудиторію. Вони надають послуги з відмивання, технічні інструменти та ескроу-посередництво. Наприклад, частина коштів після зламу WazirX була консолідована в мережі TRON і спрямована на адреси, пов'язані з Xinbi Guarantee та нині закритою Huione Guarantee, де криптовалюту можна було обміняти на готівку.
Яскравий приклад — відмивання $1,5 млрд, викрадених у Bybit у лютому 2025 року. У процесі брала участь розгалужена мережа OTC- та P2P-трейдерів, багато з яких — громадяни Китаю. Вони працювали цілодобово, дробили транзакції та в підсумку повністю обготівкували всі кошти до вересня 2025 року, про що свідчать дані моніторингової групи MSMT.
Дроблення та P2P-тактика
Ключовий елемент схеми — мікротранзакції. Замість виведення мільйонів доларів єдиним потоком, оператори продають стейблкоїни через P2P-маркетплейси партіями приблизно по $7 000. Це дозволяє обходити AML-моніторинг. Також фіксується дроблення до ~$30 000, щоб можливе заморожування зачіпало лише незначну частину активів. У кінцевих точках маршрутів — P2P-майданчики Південної Азії та нерегульовані біржі Латинської Америки.
Моя професійна оцінка: головна загроза тут не в якихось нових хакерських техніках, а в симбіозі з індустрією криптоскамів, включно зі схемами «забою свиней». Після кількох етапів змішування північнокорейські кошти стають невідрізненними від інших злочинних потоків. Це створює колосальну проблему для бірж: зв'язок із початковою атакою практично втрачається, і блокування на фінальних стадіях перетворення на готівку стає майже неможливим. Ми спостерігаємо не просто відмивання, а повну інтеграцію в тіньову економіку цифрових активів, що потребує принципово нових підходів до глобального моніторингу.