Nordkorea hat zwischen Januar 2024 und September 2025 mindestens 2,8 Milliarden US-Dollar in Kryptowährung gestohlen, wobei davon ausgegangen wird, dass die Mittel zur Finanzierung des Rüstungsprogramms des Regimes beitragen. Allerdings arbeitet Pjöngjang nicht mehr allein, da seine Beute nun durch die gleichen Netzwerke fließt wie Investitionsbetrügereien und organisierte Kriminalität in Asien.
Die gestohlene Kryptowährung wechselt oft den Besitzer, bevor sie in Bargeld umgewandelt wird, wobei Vermittler die Beute zu einem reduzierten Preis kaufen und dann die Geldwäsche übernehmen. Die Mittel tauchen dann wieder auf, vermischt mit den Produkten anderer Betrügereien oder auf Adressen, die mit kriminellen Netzwerken in Verbindung stehen.
Kryptowährungswäsche-Mechanismus
Laut Elliptic erfolgen diese Eigentumsübertragungen häufig auf Bitcoin, was es Plattformen und Ermittlern schwer macht, nordkoreanisches Geld von den Produkten anderer krimineller Aktivitäten zu unterscheiden.
Der Hack von Bybit im Februar 2025 veranschaulicht diesen Mechanismus, wobei die nordkoreanische Gruppe TraderTraitor auf Geldwäscher, Over-the-Counter-Broker und Peer-to-Peer-Händler angewiesen ist, um die gestohlenen Vermögenswerte zu bewegen.
Geldwäsche-Prozess
Die letzte Stufe des Geldwäsche-Prozesses umfasst die Eröffnung von Konten im Namen von Dritten, wobei "Maultiere" hauptsächlich auf den Philippinen, in Indonesien und China rekrutiert werden. Die Betreiber teilen dann die Verkäufe auf, wobei etwa 7.000 Stablecoins in jeder Transaktion auf Peer-to-Peer-Plattformen verkauft werden, um unter den Schwellenwerten der Bankenkontrolle zu bleiben.
Bestimmte Verhaltensweisen liefern Hinweise, wie die Verwendung von Astrill VPN oder die Eröffnung von 50 bis 70 Tickets mit dem Kundenservice, um eine einzelne Transaktion zu entsperren. Die Quittungen der Broker werden dann auf Konten übertragen, die von Pjöngjang kontrolliert werden, einschließlich durch UnionPay-Karten, die von chinesischen Banken ausgestellt werden.
