کره شمالی به طور فزاینده‌ای ارزهای دیجیتال سرقت شده را از طریق همان شبکه‌های پولشویی که توسط باندهای کلاهبرداری و جرایم سازمان‌یافته استفاده می‌شود، منتقل می‌کند و این امر ردیابی را برای بازرسان دشوار می‌سازد. این موضوع در مقاله‌ای تحقیقاتی که این ماه توسط موسسه سلطنتی خدمات متحد (RUSI)، اندیشکده دفاعی و امنیتی بریتانیا منتشر شده، مطرح شده است.
این رژیم حداقل ۲.۸ میلیارد دلار دارایی مجازی را بین ژانویه ۲۰۲۴ تا سپتامبر ۲۰۲۵ سرقت کرده است؛ وجوهی که طبق این مقاله، فرض بر این است که برای حمایت از برنامه تسلیحاتی آن استفاده می‌شود. نویسندگان، آلیسون اون و نومی تامبه، بر نقطه‌ای تمرکز دارند که این پول به وجه نقد تبدیل می‌شود، نه بر مسیر به خوبی مستند شده آن از طریق خدمات غیرمتمرکز.
مالکیت دارایی‌ها قبل از تبدیل، اغلب دست به دست می‌شود و گاهی شخص ثالثی سکه‌های سرقت شده را با تخفیف خریداری می‌کند. یکی از بازرسان به نویسندگان گفته است که چنین انتقالی را می‌توان زمانی استنباط کرد که وجوه با عواید فعالیت‌هایی مانند کلاهبرداری‌های سرمایه‌گذاری “گوشت خواری” (pig butchering) یا در آدرس‌های مرتبط با نهادهایی مانند گروه Huione در کامبوج، که زیرساخت‌های آن توسط وزارت دادگستری در ژوئن توقیف شد، مخلوط شده باشد. شرکت Elliptic، که داده‌هایی را برای این تحقیق ارائه کرده، معتقد است که این انتقال اغلب در بلاک‌چین بیت‌کوین اتفاق می‌افتد.
پس از هک صرافی Bybit در فوریه ۲۰۲۵، پاسخ‌دهندگان حادثه در ZeroShadow دریافتند که رژیم به شبکه‌ای از پولشویان، صرافی‌های خارج از بورس (OTC) و معامله‌گران همتا به همتا (P2P) متکی است که اغلب ملیت چینی دارند و به صورت شبانه‌روزی فعالیت می‌کنند. گروه TraderTraitor، که پشت این سرقت قرار دارد، از گروه‌های جنایتکار سازمان‌یافته چینی برای جابجایی پول و بازگرداندن وجه نقد استفاده کرده است.
این همپوشانی مشکلی است که مقاله به تیم‌های انطباق (compliance) ارائه می‌دهد، زیرا هنگامی که عواید رژیم وارد اکوسیستم‌های جنایی می‌شود، نشانه‌های تأمین مالی اشاعه به سختی از پولشویی عادی قابل تفکیک است.
حساب‌هایی که برای نقد کردن پول استفاده می‌شوند، معمولاً متعلق به شخص دیگری هستند و افراد واسطه (mules) عمدتاً در فیلیپین، اندونزی و چین استخدام می‌شوند، جایی که مدارک به اندازه کافی ارزان هستند تا بتوان آنها را به صورت عمده خریداری کرد و حساب‌ها را در مقیاس بزرگ باز کرد. مصاحبه‌شوندگان گفتند که این واسطه‌ها معمولاً تمایلی به درگیر شدن بیشتر در این فرآیند ندارند.
تبدیل پول به قطعات کوچک انجام می‌شود؛ بازیگران حدود ۷۰۰۰ دلار استیبل‌کوین را در هر بار در بازارهای همتا به همتا می‌فروشند، که زیر آستانه‌هایی است که بررسی بانکی را فعال می‌کند. ZeroShadow دریافت که مبالغ بزرگتر به قطعات ۳۰,۰۰۰ دلاری شکسته می‌شوند تا “تأثیر زیادی” بر روی مسدود کردن آنها نداشته باشد. رفتار در خود صرافی نیز سیگنال‌های بیشتری ارائه می‌دهد، از ورودهای VPN Astrill گرفته تا ۵۰ تا ۷۰ تیکت پشتیبانی که پولشویان اکنون برای آزادسازی یک تراکنش مسدود شده ثبت می‌کنند.
وجه نقد به ندرت از طریق انتقال بانکی ساده وارد می‌شود و عواید حاصل از کارگزاران خارج از بورس اغلب با استفاده از کارت‌های UnionPay صادر شده توسط بانک‌های چینی به حساب‌های تحت کنترل کره شمالی واریز می‌شود. این مقاله ۱۹ بانک چینی را فهرست می‌کند که تیم نظارت بر تحریم‌های چندجانبه سال گذشته آنها را به عنوان بانک‌های مورد استفاده رژیم و نمایندگان آن شناسایی کرده است.
از حدود ۱.۵ میلیارد دلاری که از Bybit برداشت شد، ۹۵ درصد از طریق خدمات غیرمتمرکز منتقل شد و تیم نظارت گزارش داد که تا سپتامبر ۲۰۲۵ همه آنها به وجه نقد یا ارز سخت تبدیل شده بودند.
نویسندگان خواستار راهنمایی‌های نظارتی در مورد روابط کارگزاری بین صرافی‌ها، پرسشنامه‌های استاندارد برای پذیرش مشتریان، کانال‌های امن اشتراک‌گذاری اطلاعات و یک شناسه VASP در پیام‌های پرداخت هستند تا بانک‌های دریافت‌کننده بتوانند آنها را شناسایی کنند.
آنچه برای قربانیان باقی می‌ماند از حساب‌های خود Bybit روشن است: این صرافی روز دوشنبه اعلام کرد که از کره شمالی شکایت کرده و حکمی برای مسدود کردن دارایی‌های شناسایی شده دریافت کرده است. این صرافی ۴۸.۴ میلیون دلار را بازیابی کرده و ۳۰.۵ میلیون دلار دیگر را مسدود کرده است که مجموعاً حدود ۵ درصد از مبلغ سرقت شده است.
