Отмывание криптовалюты КНДР: как используются P2P, OTC и скам-сети

Отмывание криптовалюты КНДР все сильнее интегрируется в существующую криминальную финансовую инфраструктуру. По данным британского Королевского объединенного института оборонных исследований RUSI, северокорейские операторы используют не только собственные инструменты, но и сторонние OTC-сервисы, P2P-трейдеров, нелегальные обменники и связанные со скамами площадки.

В цепочках движения активов также фигурируют криптомиксеры, кроссчейн-мосты и многочисленные промежуточные кошельки.

По оценке авторов исследования, с января 2024 года по сентябрь 2025 года КНДР похитила не менее $2,8 млрд в виртуальных активах.

Авторы доклада связывают эти средства с финансированием северокорейской программы оружия массового поражения. При этом конечный этап — превращение криптовалюты в фиат или наличные — изучен значительно хуже, чем движение активов внутри блокчейна.

Отмывание криптовалюты КНДР через сторонних посредников

После первоначального перемещения украденных активов северокорейские операторы могут передавать криптовалюту профессиональным отмывщикам.

По данным ZeroShadow, после взлома биржи Bybit примерно на $1,5 млрд в феврале 2025 года в перемещении средств участвовала сеть OTC- и P2P-трейдеров. Многие из них, как утверждается в исследовании, были гражданами Китая.

Посредники круглосуточно перемещали активы между различными кошельками и площадками. В дальнейшем криптовалюта могла конвертироваться в фиат и наличные.

Согласно данным международной мониторинговой группы MSMT, к сентябрю 2025 года украденные у Bybit активы были обналичены.

Десятки кошельков и несколько блокчейнов

Отслеживание таких операций осложняется структурой самих транзакций.

Криптовалюта может последовательно проходить через десятки адресов и несколько блокчейнов. При этом фактический контроль над средствами может неоднократно переходить от одной группы участников к другой.

Исследователи отмечают, что иногда передачу средств от северокорейских операторов сторонним отмывщикам можно определить по изменению характера транзакций.

Однако по мере увеличения числа промежуточных операций первоначальная связь активов с конкретным взломом становится менее очевидной.

Как скам-сети связаны с украденными активами

Отдельное внимание RUSI уделяет возможным связям северокорейских средств с индустрией криптовалютного мошенничества.

Расследователи обнаруживали признаки смешивания активов КНДР с доходами от так называемых схем pig butchering, или «разделки свиней».

В подобных схемах мошенники сначала устанавливают доверительные отношения с жертвой. Затем человека убеждают переводить деньги в фиктивные инвестиционные или криптовалютные проекты.

В результате различные преступные денежные потоки могут смешиваться внутри одной инфраструктуры.

Guarantee-маркетплейсы и подпольные финансовые сервисы

Еще одним элементом системы являются так называемые guarantee-маркетплейсы.

Это подпольные площадки, многие из которых работают через Telegram и ориентированы на китайскоязычную аудиторию.

Через такие сервисы могут предоставляться услуги по отмыванию средств, техническая инфраструктура и посредничество между участниками нелегальных операций.

По данным Elliptic, криптовалюта из связанных с КНДР взломов попадала в закрытые эскроу-сделки на подобных площадках.

После атаки на WazirX часть активов, согласно приведенным данным, была переведена через сеть TRON, консолидирована, а затем направлена на адреса, связанные с Xinbi Guarantee и прекратившей работу Huione Guarantee.

Такие механизмы потенциально могут использоваться для дальнейшего обмена криптовалюты на наличные.

Дробление транзакций и P2P-обмен

Еще один способ усложнить отслеживание — разделение крупных сумм на множество небольших переводов.

Вместо попытки вывести миллионы долларов через одну площадку активы разбиваются на отдельные операции.

По данным одного из провайдеров криптовалютных услуг, северокорейские операторы могли продавать стейблкоины через P2P-площадки партиями примерно по $7 000, получая взамен наличные.

В исходном исследовании это связывается со стремлением снизить вероятность срабатывания AML-контроля.

ZeroShadow также фиксировала дробление транзакций примерно до $30 000. Такая модель позволяет снизить потери, если конкретная операция или кошелек будут заморожены.

Для ускорения процесса могут использоваться заранее подготовленные кошельки, автоматически распределяющие средства по различным адресам.

Куда могут уходить средства

Среди конечных точек движения криптовалюты исследователи называют P2P-маркетплейсы Южной Азии и нерегулируемые криптовалютные биржи в Латинской Америке.

После нескольких этапов перемещения активы КНДР могут смешиваться с другими криминальными денежными потоками.

Для бирж, аналитических компаний и AML-провайдеров это создает серьезную проблему: чем больше посредников участвует в цепочке, тем сложнее связать конкретные средства с первоначальной кражей.

Почему для КНДР важны уже существующие криминальные сети

По мнению экспертов RUSI, ключевая особенность северокорейской модели заключается не в существовании одного секретного канала вывода денег.

Наоборот, КНДР способна использовать уже работающую инфраструктуру нелегальных обменников, OTC-посредников, P2P-сетей, мошеннических площадок и других криминальных сервисов.

Фактически украденная криптовалюта постепенно растворяется в более широкой теневой финансовой системе.

Это значительно осложняет блокировку активов на последних этапах, особенно после их многократного перемещения между кошельками, сетями и посредниками.

Ранее аналитики CertiK также пришли к выводу, что связанные с КНДР хакерские группы превратили кражу криптовалют в масштабную государственную операцию с собственной инфраструктурой отмывания средств и сетью IT-агентов.

Что это значит для инвестора?

Новость важна прежде всего с точки зрения AML-рисков и происхождения криптовалюты. Влияние на BTC, ETH или общий рынок скорее нейтральное, но для бирж, OTC-сервисов, P2P-площадок и стейблкоинов риски повышаются. Чем активнее преступные средства смешиваются с обычными транзакциями, тем важнее становится проверка происхождения активов и контрагентов перед крупными переводами. Инвестору стоит следить за усилением AML-контроля, блокировками адресов и требованиями бирж к подтверждению происхождения средств. Вывод Expert Finance: в блокчейне деньги могут двигаться быстро, но их история иногда движется вместе с ними.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.