La Corée du Nord a utilisé des réseaux frauduleux pour blanchir des actifs cryptographiques volés

Des experts du British Royal United Services Institute (RUSI) ont découvert que la Corée du Nord utilise de plus en plus des réseaux financiers criminels préexistants plutôt que des infrastructures isolées pour blanchir les cryptomonnaies volées.

Les chemins de flux de fonds comprennent De gré à gré-services, commerçants P2P, échangeurs illégaux, mélangeurs, ponts inter-chaînes et sites liés aux escroqueries.

Selon les auteurs, de janvier 2024 à septembre 2025, la Corée du Nord a volé au moins 2,8 milliards de dollars d’actifs virtuels. Le rapport indique que ces fonds soutiennent directement le programme d’armes de destruction massive. Les chercheurs soulignent que l’étape de conversion en fiat est moins étudiée que le blanchiment en chaîne.

Des hackers aux intermédiaires criminels

Après le mouvement initial des fonds, la RPDC peut transférer des cryptomonnaies à des blanchisseurs tiers. Selon ZeroShadow, un réseau de traders OTC et P2P, dont beaucoup étaient des citoyens chinois, ont été impliqués dans le blanchiment des fonds de Bybit à la suite du piratage de la bourse de 1,5 milliard de dollars en février 2025. Ces intermédiaires ont déplacé des actifs 24 heures sur 24 et ont finalement contribué à convertir la crypto-monnaie volée en fiat et en espèces. En septembre 2025, selon le groupe de surveillance international MSMT, tous les fonds volés à Bybit avaient été encaissés.

Dans le même temps, la cryptomonnaie peut transiter par des dizaines d’adresses et plusieurs blockchains, et la propriété des actifs change à plusieurs reprises. Les chercheurs notent que dans certains cas, le transfert de fonds d’opérateurs nord-coréens vers des blanchisseurs tiers peut être identifié par des changements caractéristiques dans le comportement transactionnel.

Où est l'arnaque ?

Les experts ont attiré l’attention sur le lien entre l’argent nord-coréen et l’industrie de l’escroquerie cryptographique. Selon le RUSI, les enquêteurs ont trouvé des preuves selon lesquelles des fonds nord-coréens étaient mélangés aux produits d'escroqueries de « boucherie de porcs », des programmes d'investissement dans lesquels les criminels établissent d'abord la confiance des victimes, puis les convainquent d'investir de l'argent dans des projets fictifs.

Un rôle important est joué par ce que l'on appelle les marchés de garantie – des plates-formes souterraines, opérant principalement via Telegram en chinois. Ils proposent des services de blanchiment d'argent, des outils techniques et une médiation entre les participants à des transactions illégales.

Elliptic a découvert des cas où des cryptomonnaies provenant de piratages associés à la RPDC se sont retrouvées dans des transactions séquestres fermées sur ces sites. Par exemple, une partie des fonds suite à l'attaque WazirX ont été transférés via TRON, consolidés puis envoyés à des adresses associées à la garantie Xinbi et à la garantie Huione, aujourd'hui disparue. De telles transactions permettent potentiellement d’échanger des cryptomonnaies contre de l’argent liquide.

Fractionnement et P2P

Un autre élément du système est le partage de sommes importantes. Au lieu de retirer directement des millions de dollars via une seule plateforme, les fonds sont répartis en plusieurs petites transactions. Selon un fournisseur de services de cryptographie, les opérateurs nord-coréens peuvent vendre des pièces stables sur les marchés P2P par lots d'environ 7 000 dollars, recevant de l'argent en retour. Ce montant vous permet d'éviter LBC-surveillance. ZeroShadow a également vu les transactions être divisées jusqu'à environ 30 000 $, de sorte qu'un éventuel gel n'affecterait qu'une petite partie des fonds.

Pour accélérer ce processus, des portefeuilles pré-préparés sont utilisés, capables de distribuer automatiquement les actifs aux adresses spécifiées. Parmi les points finaux, les chercheurs citent les marchés P2P en Asie du Sud et les échanges cryptographiques non réglementés en Amérique latine.

En conséquence, après plusieurs étapes, les fonds nord-coréens deviennent pratiquement impossibles à distinguer des autres cryptomonnaies criminelles. Selon les auteurs de l'étude, cela crée un problème supplémentaire pour les bourses et autres sociétés de cryptographie : une fois que les fonds tombent dans un vaste réseau d'intermédiaires criminels, le lien avec l'attaque initiale devient beaucoup plus difficile à établir.

Selon les experts de RUSI, la principale caractéristique du modèle nord-coréen n’est pas l’existence d’un canal de blanchiment « secret », mais la capacité d’intégrer la cryptomonnaie volée dans un écosystème déjà existant d’échangeurs illégaux, de réseaux P2P et d’escroqueries cryptographiques. Cela permet à la Corée du Nord d'utiliser l'infrastructure de quelqu'un d'autre et rend beaucoup plus difficile le blocage des fonds lors des dernières étapes de leur transformation en espèces.

Rappelons qu'en mai, les analystes de CertiK sont arrivés à la conclusion que des groupes de hackers associés à la RPDC avaient transformé le vol de crypto-monnaies en une opération gouvernementale à grande échelle dotée de sa propre infrastructure de blanchiment d'argent et d'un réseau d'agents informatiques.