El dinero se esfuma en meses: cómo Corea del Norte convierte miles de millones robados en efectivo

Los hackers norcoreanos transfieren cada vez con más frecuencia la criptomoneda robada a intermediarios profesionales, que la mezclan con otros ingresos delictivos y la convierten en moneda convencional. Entre enero de 2024 y septiembre de 2025 Corea del Norte robó no menos de $2,8 mil millones en activos digitales, según el nuevo informe del Instituto Real Unido de Servicios (RUSI).

Los autores estudiaron el recorrido del dinero entre la cadena de bloques y el sistema financiero tradicional. Los grupos norcoreanos usan casas de cambio, operadores extrabursátiles y vendedores directos, cuentas de testaferros y redes delictivas ya existentes. Los intermediarios pueden comprar criptomoneda robada con descuento y luego blanquearla y convertirla en moneda corriente. Como resultado, la vinculación de los fondos con Corea del Norte se vuelve cada vez más difícil de detectar.

Un caso ilustrativo fue el ataque a Bybit en febrero de 2025, cuando se sustrajo casi $1,5 mil millones. Para mover los fondos se recurrió a una red de blanqueadores y comerciantes, muchos de ellos ciudadanos chinos. Según el análisis citado en el informe, en septiembre de 2025 todos los fondos sustraídos a Bybit ya habían sido convertidos en moneda convencional o efectivo. La propia bolsa publicó anteriormente la cronología del incidente.

Otro eslabón fue el camboyano Huione Group. En 2024 uno de los monederos vinculados a Huione recibió alrededor de $35 millones en criptomoneda relacionada con el ataque a la bolsa japonesa DMM. Los clientes de Huione Pay podían ingresar criptomoneda y recibir dinero corriente. En 2025 la Red para la Lucha contra los Delitos Financieros del Departamento del Tesoro de EE. UU. (FinCEN) nombró a Huione Group como un nodo clave por el que se blanquean los ingresos de las operaciones cibernéticas norcoreanas y posteriormente la excluyó del sistema financiero de EE. UU.

Los autores del informe también describen cómo los atacantes emplean masivamente a testaferros. Para registrar cuentas compran documentos y credenciales ajenos, y con frecuencia usan residentes de Filipinas, Indonesia y China. En los esquemas más caros mantienen el vínculo con el titular de los documentos para que éste pueda superar una verificación de identidad si la plataforma sospecha algo.

Tras un gran robo, el dinero puede repartirse casi de inmediato. Los especialistas describen estructuras de monederos preparadas de antemano que envían automáticamente activos a multitud de direcciones, incluidas plataformas no reguladas. Por eso se propone que las entidades financieras compartan entre sí las direcciones sospechosas, verifiquen con mayor rigor a los intermediarios e incluyan el identificador de la plataforma de criptomonedas en las transferencias bancarias. Los autores consideran que sin la vinculación de los datos bancarios con las operaciones en la cadena de bloques es cada vez más difícil detectar estas cadenas.