Es kommt nicht jeden Tag vor, dass ein Journalist gebeten wird, einen Venture Capitalist zu imitieren, um mutmaßliche nordkoreanische IT-Arbeiter zu täuschen. Doch im Juni fand sich dieser Reporter in einem Zoom-Call unter dem Alias "Aelin Ashriver" wieder, einem Investor der fiktiven Firma Definitive Communications, um das Entwicklungsteam eines Krypto-Startups namens Ballena Azul zu treffen.

Die Arbeiter in dem Call glaubten, sie würden ihr Startup für Venture-Capital-Finanzierung pitchen. In Wirklichkeit hatten sie wochenlang in einem Schein-Krypto-Unternehmen gearbeitet, das absichtlich aufgebaut worden war, um ihre Methoden, Werkzeuge und Infrastruktur zu untersuchen. Die Operation wurde von Mauro Eldritch, Gründer der Cybersecurity-Firma BCA LTD, und Heiner García, Cyber-Threat-Intelligence-Analyst bei Telefónica Tech und Gründer von NorthScan, koordiniert. Cointelegraph war an einem Teil der Untersuchung beteiligt.

Während des Calls verstärkte dieser Reporter den Schwindel, indem er andeutete, Ballena Azul könne vielleicht sogar Berichterstattung in Cointelegraph bekommen — womit zumindest eine Person in dem Call tatsächlich die Wahrheit sagte.

Mutmaßliche DPRK-IT-Arbeiter pitchen um Venture-Capital-Unterstützung von der fiktiven Definitive Communications, gespielt von Cointelegraph. Quelle: ANY.RUN

Aufbau eines Unternehmens für mutmaßliche nordkoreanische IT-Arbeiter

Eldritch und García errichteten das fiktive Ballena Azul mithilfe von Infrastruktur der Cybersecurity-Plattform ANY.RUN. Um die vermeintliche Glaubwürdigkeit des Unternehmens zu stärken, nutzten sie eine bestehende UK-Registrierung für ein anderes Unternehmen mit demselben Namen, das 2022 aufgelöst wurde.

Eldritch übernahm die Rolle des Mitgründers "Leonardo Nelson", während García unter dem Alias "Andy Jones" auftrat und sich als Teamleiter des Unternehmens ausgab.

Related: Nordkoreanische Cyber-Spione sind nicht mehr nur entfernte Bedrohungen

Zu den wertvollsten Erkenntnissen der fünf Wochen langen Operation gehörten die externen Server, die die Arbeiter als Zwischenstationen nutzten, bevor sie auf die kontrollierten virtuellen Desktops von Ballena Azul zugriffen. Solche Infrastruktur ist für Forscher besonders wertvoll, weil sie häufig kampagnenübergreifend wiederverwendet wird und über lange Zeit aktiv bleiben kann. Die Entdeckung unterstreicht eine breitere Herausforderung für Verteidiger: Gemeinsame Server-Infrastruktur kann mehrere Arbeitgeber und Angriffskampagnen umfassen, sodass die Identifizierung und Blockierung eines einzelnen Knotens Operationen weit über das Unternehmen hinaus stören kann, bei dem er erstmals entdeckt wurde.

García sagte gegenüber Cointelegraph Magazine, dass die identifizierten Server mit Malware-Familien in Verbindung standen, die mit nordkoreanischen Operationen verbunden sind und darauf ausgelegt sind, Zugangsdaten, Daten von Krypto-Wallets und andere sensible Informationen zu stehlen.

"Einige der Server, die wir fanden, waren in früheren Jahren mit der Verteilung von InvisibleFerret und BeaverTail/OtterCookie verbunden und sind bis heute aktiv gewesen", sagte er. "Andere waren jedoch völlig neu und hatten keinerlei Intelligence dazu, sahen sauber aus und lagen außerhalb gängiger Blocklisten oder Threat-Feeds."

Er fügte hinzu, dass die Infrastruktur mehrere Funktionen erfüllen könne: Server, die zuvor für Malware-Verbreitung genutzt wurden, könnten auch als Command-and-Control-Knoten und als Proxys für Arbeiter dienen, die ihre täglichen Aufgaben erledigen.

Nach Angaben der Forscher müssen die mutmaßlichen Arbeiter keine Malware einsetzen, um eine Bedrohung darzustellen. Sobald sie eingestellt sind, können sie legitimen Zugriff auf die internen Systeme eines Unternehmens, den Quellcode und andere sensible Daten erhalten. Je länger sie unentdeckt bleiben, desto länger können sie Gehälter beziehen, die laut den Forschern letztlich das nordkoreanische Regime finanzieren helfen. Dieses Risiko des Insider-Zugriffs ist besonders im Kryptosektor ausgeprägt, wo Remote-First-Einstellung, schnelles Teamwachstum und direkter Zugang zur Infrastruktur digitaler Vermögenswerte die Folgen einer einzigen kompromittierten Einstellung verstärken können.

Die Operation zeigte auch, dass die Gruppe stark auf Tools für künstliche Intelligenz setzte, um Lücken in ihrem technischen Wissen auszugleichen. Sie nutzten ChatGPT für Schreiben und Programmieren, unter anderem um grundlegende Fragen zu beantworten und Aufgaben zu erledigen, mit denen sie selbst Schwierigkeiten hatten. Für Bildbearbeitung und Dokumentenfälschung bevorzugten sie Google Gemini.

Ein mutmaßlicher DPRK-IT-Arbeiter und ChatGPT arbeiten während der Ballena-Azul-Operation zusammen, um Testnet-Krypto zu erhalten. Quelle: ANY.RUN

Zu den weiteren eingesetzten Werkzeugen gehörten Remote-Desktop-Software, Kryptowährungs-Wallets und ein Dienst zum Teilen von Zwei-Faktor-Authentifizierungscodes. Die Nutzung gemeinsam genutzter 2FA-Dienste ist ein bekanntes Merkmal von DPRK-IT-Arbeiter-Schemata und ermöglicht es mehreren Personen, Authentifizierungskontrollen zu umgehen, die für einen einzigen legitimen Mitarbeiter vorgesehen sind.

Nordkoreanische IT-Arbeiter sind zu einer zunehmenden Cybersecurity-Bedrohung für den Kryptosektor geworden. Consensys teilte im Juli mit, dass es über einen Drittanbieter versehentlich einen mit Nordkorea in Verbindung stehenden Entwickler engagiert hatte, bevor die Bedrohung erkannt und der Zugriff beendet wurde.

In einem anderen Fall erhoben US-Ankläger 2025 gegen vier nordkoreanische Staatsangehörige Vorwürfe, sie hätten mit falschen Identitäten Remote-IT-Jobs erlangt und angeblich mehr als $900,000 in Kryptowährungen von zwei Unternehmen gestohlen, darunter ein US-Unternehmen für Blockchain-Forschung und -Entwicklung.

Das US-Finanzministerium erklärte im März, dass nordkoreanische IT-Arbeiter-Schemata im Jahr 2024 fast $800 million einbrachten, um die Waffen- und Massenvernichtungsprogramme des Regimes in Pyongyang zu finanzieren.

Im Inneren der falschen Krypto-Firma Ballena Azul

Der Schwindel begann, als García über GitHub mit einem Recruiter in Kontakt kam, der mit Famous Chollima in Verbindung gebracht worden war, einer Threat-Gruppe, die mit nordkoreanischen IT-Arbeiter-Operationen assoziiert wird. Famous Chollima wird von mehreren Cybersecurity-Firmen als Aktivitätscluster verfolgt, der darauf ausgerichtet ist, DPRK-Operative in Remote-Entwicklerrollen bei westlichen Technologie- und Krypto-Unternehmen zu platzieren. García gab an, dass Ballena Azul Softwareentwickler einstellen müsse, und der Recruiter stellte drei Kandidaten vor: "Jack Anderson", "Angelo Espree" und "Lucas Theo". Mindestens zwei von ihnen legten US-Ausweise vor.

Das Trio erhielt verschiedene Programmieraufgaben in kontrollierten virtuellen Desktop-Umgebungen, wodurch García und Eldritch ihre Arbeitsabläufe in Echtzeit beobachten konnten.

Angelo Espree war einer der Entwickler, die über einen mit DPRK-Operationen verbundenen Recruiter aufgenommen wurden. Quelle: ANY.RUN

Die Forscher führten absichtlich technische Störungen ein — darunter selektive Netzwerkausfälle und verschwindende Mauszeiger — um zu beobachten, wie die mutmaßlichen Arbeiter reagierten und auf welche Tools sie in stressigen Situationen zurückgriffen.

"Ehrlich gesagt war die größte Überraschung, wie viel davon auf Improvisation beruhte", sagte García. "Es gab kein starres Playbook, keinen ausgefeilten Unternehmensprozess dahinter."

Während ihrer vielen Wochen in den kontrollierten Umgebungen hinterließen die mutmaßlichen Nordkoreaner einen umfangreichen Fundus an Informationen für die Forscher: Chat-Logs, AI-Unterhaltungen, Informationen zu Kryptowährungs-Wallets, VPN-Exit-Nodes und stundenlanges Live-Video-Material. Ihre Netzwerkverbindungen legten zudem die Zwischenserver offen, die zu einem der wichtigsten Ergebnisse der Untersuchung wurden.

Die starke Abhängigkeit von KI war nicht einzigartig für die Arbeiter, die in der Ballena-Azul-Operation hereingelegt wurden. Reuters berichtete am Montag, dass eine andere nordkoreanische Hackergruppe, Kimsuky, KI für einen offensiveren Zweck nutze. Die Gruppe soll KI-Tools lokal betrieben haben, um Cyberangriffe zu automatisieren, gestohlene Daten zu analysieren und überzeugendere Phishing-Kampagnen zu erstellen.

Das sich wandelnde Playbook entfernter DPRK-IT-Arbeiter

Dies war nicht das erste Mal, dass Cointelegraph eine Nebenrolle bei der Entlarvung mutmaßlicher nordkoreanischer Arbeiter spielte. Im Februar 2025 führten García und Cointelegraph ein Vorstellungsgespräch mit einem mutmaßlichen Akteur, der sich "Motoki" nannte. Der Entwickler behauptete, Japaner zu sein, beendete das Interview jedoch abrupt, nachdem er aufgefordert worden war, sich in seiner Muttersprache vorzustellen.

García blieb dennoch mit ihm in Kontakt. Motoki bot schließlich an, García Geld zu schicken, damit er einen Computer kaufen könne, auf den er remote zugreifen könne. So könnte er über eine lokale Maschine arbeiten, statt sich per VPN zu verbinden und damit die von Arbeitgebern und Freelance-Plattformen auferlegten Beschränkungen zu umgehen.

Related: Von Sony bis Bybit: Wie die Lazarus Group zum Superschurken der Krypto-Welt wurde

García dokumentierte später, wie mutmaßliche nordkoreanische Operative Freelancer anwarben, um verifizierte Konten, Identitäten und Remote-Zugriff auf ihre Computer bereitzustellen. In einer Variante des Schemas arbeiteten die Operative über Maschinen, die physisch in den Vereinigten Staaten standen, wodurch sie gegenüber Arbeitgebern und Freelance-Plattformen als US-basierte Auftragnehmer erschienen.

Im Mai wurden zwei US-"Laptop-Farmer" — Personen, die einen Cluster von Computern betrieben, auf den Nordkoreaner remote zugreifen konnten — zu 18 Monaten Haft verurteilt, weil sie DPRK-IT-Arbeitern halfen, sich als US-basierte Mitarbeiter auszugeben. Die Schemata brachten mehr als $1.2 million ein und betrafen fast 70 Unternehmen.

Ballena Azul zu Fall bringen

Alle Täuschungen müssen irgendwann enden. Die Forscher führten "Benito Camella" ein, den Mitgründer von Ballena Azul, der angeblich während des Wachstums des Unternehmens anderen Geschäften in Mailand nachgegangen war.

Bei seiner Rückkehr konfrontierte Camella die Arbeiter mit Unstimmigkeiten in ihren Identitäten und Dokumenten. Die Konfrontation leerte den Chatroom rasch. Espree verließ den Videoanruf zuerst; Anderson blieb länger, bevor er erkannte, dass der Schwindel auseinanderfiel.

"Are you living two lives, Mr. Anderson?" fragt Camella Jack Anderson während der Konfrontation. Quelle: ANY.RUN

Die Forscher hielten die Täuschung auch nach dem Ende des Treffens aufrecht. Im Telegram-Kanal des Unternehmens warf der "CEO" "Andy Jones" vor, "illegale Arbeiter" hereingeholt und das Unternehmen gefährdet zu haben. "Jones" antwortete, er sei unter Druck gestanden, schnell ein Team aufzubauen, und werde dafür nicht ausreichend bezahlt. Er beharrte darauf, mit den verfügbaren Mitteln sein Bestes getan zu haben.

Der inszenierte Streit endete damit, dass der falsche CEO sowohl die Arbeitsbeziehung als auch die Freundschaft beendete und damit den Eindruck aufrechterhielt, Ballena Azul sei aufgrund einer katastrophalen Einstellungsentscheidung zusammengebrochen.

Einer der mutmaßlichen Nordkoreaner kontaktierte García später privat, um sich für das Geschehene zu entschuldigen und zu fragen, ob es ihm gut gehe.

Den Forschern zufolge hörten sie nie wieder von dem Rest der Gruppe.

Bis heute, so sagen sie, wissen die mutmaßlichen Arbeiter nicht, dass sie wochenlang in einer Umgebung gearbeitet haben, die speziell dafür gebaut wurde, ihnen Informationen zu entziehen.

Magazine: Bedeuten die Coldcard-Angriffe, dass alle Hardware-Wallets jetzt unsicher sind?

Anmerkung der Redaktion: Cointelegraph konnte die Nationalität oder Zugehörigkeit der mutmaßlichen DPRK-IT-Arbeiter nicht unabhängig bestätigen, und keine Regierungsbehörde hat sie öffentlich identifiziert.