Korea Północna outsourcuje pranie skradzionych krypto

Korea Północna zmienia sposób prania krypto

Korea Północna coraz częściej nie przerzuca już skradzionych kryptowalut wyłącznie własnymi kanałami. Zamiast tego korzysta z usług rozbudowanych sieci przestępczych, które pomagają zamieniać cyfrowe aktywa na gotówkę i zacierać ślady pochodzenia środków.

Według danych przywoływanych w raporcie brytyjskiego think tanku RUSI, od stycznia 2024 roku do września 2025 roku reżim miał ukraść co najmniej 2,8 mld dolarów w kryptowalutach. Autorzy opracowania zakładają, że pieniądze te wspierają północnokoreański program zbrojeniowy.

Jak działa nowy model?

Najważniejsza zmiana polega na tym, że środki coraz częściej trafiają do podmiotów działających na styku cyberprzestępczości, oszustw inwestycyjnych i zorganizowanego rynku prania pieniędzy. W praktyce oznacza to, że skradzione aktywa bywają:

sprzedawane od razu z dyskontem pośrednikom,
mieszane z wpływami z oszustw typu pig butchering,
przerzucane przez sieci powiązane z przestępczością w Azji, w tym z adresami łączonymi z Huione Group.

Taki model utrudnia śledzenie środków, bo po zmieszaniu z innymi nielegalnymi wpływami granica między finansowaniem proliferacji a zwykłym praniem pieniędzy staje się dla śledczych znacznie mniej wyraźna.

Bitcoin, stablecoiny i dziesiątki zgłoszeń do supportu

Z analiz wynika, że przejęcie własności skradzionych monet często następuje jeszcze przed finalną konwersją na gotówkę. Według danych dostarczonych do raportu przez Elliptic, takie transfery własności często zachodzą na Bitcoinie.

W przypadku głośnego ataku na Bybit w lutym 2025 roku północnokoreańska grupa TraderTraitor miała korzystać z:

pośredników OTC,
traderów peer-to-peer,
sieci blancherów działających praktycznie non stop,
a także osób pochodzenia chińskiego pomagających w przemieszczaniu aktywów.

Co ciekawe, rozbijanie transakcji odbywa się bardzo drobnymi krokami. W praktyce sprzedawane są partie po około 7 000 dolarów w stablecoinach, żeby nie wzbudzać automatycznych alarmów bankowych. W niektórych przypadkach dzielone są też większe kwoty, rzędu 30 000 dolarów, uznawane za na tyle małe, by ewentualne zamrożenie nie było dla przestępców zbyt bolesne.

Dodatkowe sygnały ostrzegawcze to m.in. logowania przez Astrill VPN oraz nawet 50–70 zgłoszeń do supportu składanych w celu odblokowania jednej zatrzymanej transakcji.

Mules, konta podstawione i chińskie banki

W końcowej fazie operacji ważną rolę odgrywają tzw. mules, czyli osoby udostępniające swoje konta. Rekrutowane są głównie na Filipinach, w Indonezji i w Chinach, gdzie dane dostępowe i tożsamości cyfrowe można kupować hurtowo.

Pieniądze trafiają następnie do kanałów kontrolowanych przez Pyongyang, często z wykorzystaniem kart UnionPay wydawanych przez chińskie banki. W raporcie wskazano 19 instytucji finansowych, które miały być wykorzystywane przez reżim lub jego pośredników.

Bybit odzyskał tylko niewielką część strat

Przykład ataku na Bybit dobrze pokazuje skalę problemu. Z około 1,5 mld dolarów skradzionych w tym incydencie:

95% środków przeszło przez zdecentralizowane usługi,
całość miała zostać zamieniona na waluty fiducjarne lub twarde aktywa do września 2025 roku,
a platformie udało się odzyskać 48,4 mln dolarów i zamrozić kolejne 30,5 mln dolarów.

To łącznie około 5% całego łupu.

Blockchain pomaga, ale tylko do pewnego momentu

Raport RUSI pokazuje, że blockchain nadal daje możliwość obserwowania przepływu środków. Problem zaczyna się wtedy, gdy skradzione aktywa opuszczają łańcuch i trafiają do pośredników, mules oraz banków. Właśnie tam ślad staje się najtrudniejszy do odtworzenia.

W efekcie Korea Północna zbudowała dziś wielowarstwowy system prania pieniędzy, w którym najtrudniejszy do prześledzenia fragment znajduje się już poza samą blockchain.