Un representante del Banco de Comercio Exterior de Corea del Norte acusado de participar en dos conspiraciones de blanqueo de criptomonedas

El 24 de abril, el Department of Justice EE.UU.hizo públicas dos acusaciones federales en el Distrito de Columbia contra un representante norcoreano del Foreign Trade Bank ("FTB") por su papel en conspiraciones de blanqueo de capitales diseñadas para generar ingresos para Corea del Norte mediante el uso de criptomoneda.

En el primer auto de procesamiento se acusa a Sim Hyon Sop ("Sim"), ciudadano norcoreano, de conspirar con tres operadores extrabursátiles ("OTC"), Wu HuiHui ("Wu"), ciudadano chino, Cheng Hung Man ("Cheng"), ciudadano británico residente en Hong Kong, y un usuario desconocido con el apodo en línea "live:jammychen0150" ("Chen"), para blanquear criptomoneda robada y utilizar los fondos para adquirir bienes a través de empresas pantalla con sede en Hong Kong en beneficio de Corea del Norte. La Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de EE.UU. adoptó una medida sancionadora concurrente contra Sim, Wu y Cheng.

Con estas acciones, la OFAC y DOJ están descorriendo la cortina sobre cómo Corea del Norte limpia el dinero que roba. También es la primera vez que se hace pública información que muestra cómo se utilizan los cripto-robos de Corea del Norte para comprar bienes que sostienen al régimen.

Uno de los retos permanentes para los actores que roban criptomonedas es la conversión exitosa de las ganancias de criptomonedas a monedas fiduciarias. Este proceso se ha vuelto cada vez más difícil a medida que prolifera el uso de herramientas avanzadas de Inteligencia en Blockchain y mientras crece a nivel mundial la adopción de controles contra el blanqueo de capitales por parte de las empresas de criptomonedas, lo que dificulta la ocultación de fondos ilícitos. Como hemos observado en casos anteriores, aunque los actores norcoreanos tienden a estar menos preocupados por la seguridad y el anonimato que los ciberdelincuentes no estatales, siguen tratando de convertir sus ganancias ilícitas en dólares, euros y yuanes, ya que los vendedores de petróleo, componentes de misiles y tabaco no suelen aceptar criptomonedas como forma de pago.

Los intermediarios OTC, como Wu y Cheng, son eslabones clave que facilitan la conversión de fondos de criptomonedas en divisas tradicionales. Pueden abrir cuentas en grandes bolsas de criptomonedas y canalizar esos fondos intercambiados hacia bancos tradicionales al amparo de operaciones OTC de gran volumen u otras actividades comerciales.

Una vez en el sistema financiero tradicional, estos fondos inician un enrevesado viaje a través de cuentas a nombre de empresas comerciales extraterritoriales en jurisdicciones oscuras, a menudo aquellas con fuertes protecciones de secreto y procesos de supervisión laxos. 

China, el mayor socio comercial de Corea del Norte, Rusia y un puñado de otras jurisdicciones más pequeñas forman parte de un pequeño grupo de jurisdicciones en las que los norcoreanos pueden operar, a pesar de las promesas de aplicar las sanciones de la ONU a Corea del Norte. En este caso, los dos corredores citados en las demandas tienen su sede en territorio chino. 

Como se detalla en el comunicado de prensa DOJ:‍

"[Las partes acusadas] conspiraron para blanquear criptomoneda robada y luego utilizaron esos fondos para comprar bienes a través de empresas fachada con sede en Hong Kong en nombre de Corea del Norte. Sim dirigió estos pagos, que se realizaron en dólares estadounidenses, a través de "Jammy Chen". "Jammy Chen" reclutó entonces a Wu y Cheng, ambos operadores OTC, para encontrar empresas pantalla ficticias y facilitar los pagos para evitar las sanciones estadounidenses contra Corea del Norte."‍

Las continuas inversiones de las bolsas en sus equipos de cumplimiento e investigación están dificultando el blanqueo de fondos robados por intermediarios OTC. El equipo de investigación de Binance restringió las cuentas de Wu Huihui, uno de los objetivos de estas acciones, en 2022. Wu documentó sus frustraciones en Twitter. En ese momento, Wu afirmó desconocer por qué Binance podría haber decidido que su cuenta era de alto riesgo.

Estas acciones también han puesto de manifiesto la intersección de las redes de blanqueo de dinero tradicionales de Corea del Norte basadas en el comercio, especialmente sus bancos, a la hora de limpiar y gastar los fondos que los hackers norcoreanos han robado. Sim Hyon-sop es representante de KKBC, un banco norcoreano clave y filial de su Banco de Comercio Exterior (FTB), que ha supervisado elementos esenciales de las redes de blanqueo de capitales de Corea del Norte. En su comunicado de prensa, la OFAC reveló que Sim tiene ahora su sede en Dandong (China), ciudad que ha desempeñado un papel esencial para las redes comerciales y financieras de Corea del Norte durante décadas.

Las anteriores acciones DOJFBI dirigidas contra el FTB y el KKBC, los bancos comerciales de Corea del Norte, exploraron en gran profundidad el funcionamiento de las redes financieras ilícitas de Corea del Norte, revelando que estas redes dependen de ciudadanos no norcoreanos que establecen empresas y cuentas financieras. Históricamente, estos facilitadores solían ser empresas con relaciones comerciales directas y tradicionales con socios norcoreanos. Ahora, con el auge de las criptomonedas y los robos que acaparan titulares perpetrados por los piratas informáticos norcoreanos, deben transitar a través de facilitadores como Wu y Cheng.

Según la información publicada por DOJ, Sim también ha ayudado a gestionar el flujo de fondos de vuelta a Corea del Norte procedentes de desarrolladores de software norcoreanos que trabajaban subrepticiamente con clientes extranjeros:‍

"Sim también conspiró presuntamente para blanquear fondos generados por trabajadores informáticos norcoreanos que obtuvieron empleos ilegales en la industria de la tecnología y las criptomonedas. Estos trabajadores de TI utilizaron personas falsas para obtener puestos de trabajo, incluidos puestos de trabajo en empresas con sede en Estados Unidos, y luego pidieron que se les pagara en criptomonedas, como stablecoins como USD Tether (USDT) y USD Coin (USDC), que están vinculadas al dólar estadounidense. Tras recibir el pago, canalizaban sus ganancias de vuelta a Corea del Norte a través de Sim".

Esta evolución en el trabajo de software remoto y semilícito surgió tras la expulsión de muchos equipos de software norcoreanos después de que las resoluciones de la ONU impusieran limitaciones a los trabajadores norcoreanos en el extranjero. 

Las propias investigaciones de TRM sugieren que este tipo de proyectos de desarrollo de software son muy lucrativos para el régimen norcoreano y plantean peligros únicos, ya que a menudo permiten a los programadores norcoreanos acceder a información sensible que puede utilizarse para piratear los proyectos para los que trabajan.

El siguiente gráfico muestra el flujo del salario quincenal de un trabajador informático y hacker norcoreano que TRM Labs ha estado rastreando hasta la dirección que ayer se reveló públicamente que controla Sim Hyon-sop en nombre de FTB/KKBC.  

En el transcurso del último año hemos visto cómo los ciberdelincuentes norcoreanos atacaban negocios de criptodivisas a una velocidad y escala sin precedentes. Según el análisis de TRM, 2022 fue un año récord para los hackeos de criptomonedas, con cerca de 3.700 millones de dólares en fondos robados. Los ataques contra proyectos DeFi fueron particularmente comunes, con aproximadamente el 80 por ciento de todos los fondos robados, o $ 3 mil millones, involucrando a víctimas DeFi . Aproximadamente la mitad de ese total es atribuible únicamente a Corea del Norte. Con las medidas adoptadas esta semana DOJ y el Tesoro estamos empezando a ver cómo las autoridades levantan el velo sobre la forma en que estos fondos robados se blanquean dentro y fuera de la cadena. En particular, estamos viendo cómo las autoridades se centran en las rampas de salida para garantizar que los ciberdelincuentes de la RPDC no puedan convertir los fondos en monedas fiduciarias más utilizables. Es probable que veamos un esfuerzo continuado por parte de las autoridades contra los corredores OTC con sede en Asia y otros puntos de salida para los fondos pirateados y robados.

Para más información sobre la actividad cibernética de la RPDC, consulte TRM Talks y la biblioteca de TRM sobre Corea del Norte.