Nordkorea IT-Verschleierung bei der Anstellung: Sicherheitsprüfung im Bereich Kryptowährungen

Ein Verdachtsfall eines Remote-Entwicklerinterviews, das mit Nordkorea in Verbindung gebracht wird, hat erneut die Probleme bei der Überprüfung von Einstellungen in der Kryptowährungsbranche aufgezeigt. Hacking kann nicht nur durch Codeanfälligkeiten, sondern auch durch die Verfahren zur Auswahl und Vergabe von Rechten beginnen.

TechFlow berichtete am 14. des Monats, dass ein Bewerber sich als Entwickler vorstellte, aber das Gespräch abbrach, nachdem er aufgefordert wurde, Kim Jong-un zu kritisieren. Es wird berichtet, dass dieser Bewerber angab, den Film „Die Eiskönigin“ zu mögen. Die Spitznamen, Nationalität und Wohnort der in dem Artikel genannten Person wurden nicht unabhängig verifiziert.

Der Kern dieses Falls liegt weniger in der Identität eines Bewerbers als in der Methode. Das US-Finanzministerium und das FBI haben seit 2022 gewarnt, dass nordkoreanische IT-Kräfte versuchen, sich als nicht-nordkoreanische Staatsangehörige auszugeben, um in ausländischen Unternehmen beschäftigt zu werden. Sie versuchen, den Einstellungsprozess mit gefälschten Dokumenten, Identitätsdiebstahl, falschen persönlichen Angaben, Remote-Access-Tools und lokalen Helfern zu durchlaufen.

Das FBI erklärte in einer Mitteilung im Januar 2025, dass nordkoreanische IT-Kräfte die Zugriffsrechte auf Unternehmensnetzwerke nutzen könnten, um sensible Daten und Quellcodes zu stehlen oder zu erpressen. Es wurde empfohlen, die Identitätsprüfung während des Interviews und der Einarbeitungsphase zu wiederholen und zu überprüfen, ob dieselben Lebenslaufformulierungen oder Kontaktdaten von mehreren Bewerbern wiederverwendet werden.

Das US-Finanzministerium verhängte im März 2026 Sanktionen gegen sechs Helfer und zwei Unternehmen im Zusammenhang mit nordkoreanischen IT-Betrügereien. Das Ministerium stellte fest, dass diese Methode im Jahr 2024 fast 800 Millionen USD (ca. 11,344 Billionen KRW) an Einnahmen für Nordkorea generiert hat.

Scott Bessent, der US-Finanzminister, erklärte in den damaligen Unterlagen: "Das nordkoreanische Regime zielt auf US-Unternehmen mit betrügerischen Methoden ab, die ausländische IT-Kräfte einsetzen." Die Sanktionierungsbehörden betrachten nordkoreanische Remote-Anstellungsbetrügereien nicht nur als einfache Beschäftigungsfragen, sondern als Teil der Beschaffung von Devisen und Cyberoperationen.

TRM Labs schätzte die Schäden durch Kryptowährungs-Hacking im ersten Halbjahr 2026 auf 972 Millionen USD (ca. 13,783 Billionen KRW). Davon entfielen etwa 643 Millionen USD (ca. 9,118 Billionen KRW) auf Aktivitäten, die mit Nordkorea in Verbindung stehen, was 66 % ausmachte. TRM Labs schätzte, dass die nordkoreanischen Entnahmen im Jahr 2025 1,92 Milliarden USD (ca. 27,226 Billionen KRW) betrugen.

Die Schäden konzentrierten sich auf einige wenige große Vorfälle. TRM Labs berichtete, dass bis April 2026 durch die Angriffe auf Drift und KelpDAO etwa 577 Millionen USD (ca. 8,182 Billionen KRW) entwendet wurden. Der Schaden bei Drift wurde auf 285 Millionen USD (ca. 4,041 Billionen KRW) und bei KelpDAO auf 292 Millionen USD (ca. 4,141 Billionen KRW) geschätzt.

In demselben Bericht stellte TRM Labs fest, dass die kumulierten Kryptowährungsentnahmen Nordkoreas seit 2017 6 Milliarden USD (ca. 85,080 Billionen KRW) überstiegen haben. Bis April 2026 machten nordkoreanische Hacking-Aktivitäten 76 % der bis zu diesem Zeitpunkt erfassten Kryptowährungs-Hacking-Verluste des Jahres aus. Je nach Zeitpunkt und Kriterien der Erfassung wurden die Zahlen für das erste Halbjahr und den kumulierten Jahresanteil unterschiedlich dargestellt.

Remote-Anstellungen sind ein besonders sensibles Verfahren für Unternehmen im Bereich Kryptowährungen. Entwickler können auf Code-Repositories, Wallet-Infrastrukturen, Signaturverfahren und interne Dokumente zugreifen. Wenn ein verdeckter Mitarbeiter die Anstellung besteht, kann der Angriff nicht durch technische Schwachstellen, sondern durch Arbeitsrechte beginnen.

Diese Struktur steht auch im Zusammenhang mit früheren Sicherheitsvorfällen. In der Vergangenheit wurde berichtet, dass schadhafter Software, die auf die Web3-Community abzielte, entdeckt wurde. Die Angreifer versuchten, die Installation eines gefälschten KI-Meeting-Tools zu fördern, um Wallet- und Browserinformationen zu stehlen.

Das Problem der nordkoreanischen IT-Kräfte im Ausland lässt sich ebenfalls nicht als Einzelfall betrachten. Einem Team zur Überwachung multilateraler Sanktionen zufolge werden die Einnahmen aus nordkoreanischem Kryptowährungsdiebstahl und ausländischen IT-Arbeitern für Massenvernichtungswaffen und ballistische Raketenprogramme verwendet. Dies ist der Grund, warum der Rekrutierungsprozess für ausländische IT-Kräfte im Rahmen von Geldwäsche- und Informationsdiebstahlabwehrsystemen behandelt wird.

Allerdings endet die Reaktion nicht nur mit der Frage nach der Kritik an Kim Jong-un. Mark Karpelès, der ehemalige CEO von Mt. Gox, bezeichnete diese Methode auf X als "tatsächlich einen effektiven Filter". Vor Ort könnte sie als Frage verwendet werden, um sofortige Reaktionen zu überprüfen.

Es gibt jedoch auch Gegenargumente. In Diskussionen auf Hacker News wurde darauf hingewiesen, dass solche Fragen zu Profilierungsdebatten führen könnten und langfristig durch Skripte oder Deepfakes neutralisiert werden könnten. Es besteht die Sorge, dass die Sicherheitsüberprüfung bei der Anstellung, die sich auf eine bestimmte Frage stützt, tatsächlich die Überprüfungsverfahren einschränken könnte.

Die Empfehlungen des FBI und des US-Finanzministeriums legen mehr Gewicht auf die Verfahrensüberprüfung als auf eine einzelne Frage. Es wird empfohlen, Identitätsprüfungen, Standortverifizierung, Überprüfung von Zugriffs-IP und Geräten, Erkennung von Remote-Access-Tools und Überwachung von Anomalien nach der Anstellung gemeinsam anzuwenden. Die Remote-Anstellungsverfahren von Unternehmen im Bereich Kryptowährungen müssen in die Phase eintreten, in der die internen Berechtigungsvergabekriterien zusammen mit der Bewertung der Entwicklungsfähigkeiten erneut überprüft werden.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.