Eine gemeinsame Untersuchung von IBM X-Force und Flare Research hat eine hoch entwickelte nordkoreanische Operation aufgedeckt, die falsche Unternehmen, gefälschte Identitäten und Remote-Einstellungsprozesse nutzt, um IT-Arbeitskräfte in westliche Unternehmen einzuschleusen. Die Ergebnisse reihen sich ein in jahrelange Warnungen US-amerikanischer Behörden — darunter das FBI, das Außenministerium und das Finanzministerium, die seit 2022 mehrere gemeinsame Warnungen herausgegeben haben, in denen sie Unternehmen darauf hinweisen, dass nordkoreanische IT-Arbeitskräfte als freiberufliche Entwickler auftreten, um Einnahmen für das sanktionierte Regime zu erzielen.

Laut Forschern könnte das weiter gefasste Netzwerk bis zu 100.000 nordkoreanische IT-Arbeitskräfte umfassen, die in etwa 40 Ländern eingesetzt werden und jährlich schätzungsweise 500 Millionen US-Dollar für das nordkoreanische Regime erwirtschaften. Die strukturierte Operation stützt sich auf Recruiter, Vermittler und westliche Mittäter, die koordiniert zusammenarbeiten, um Arbeitskräfte in legitimen Unternehmen unterzubringen.

Wie das falsche Startup funktionierte

Im Zentrum der Rekrutierungspipeline stand ein angebliches Unternehmen im Stealth-Modus namens C Digital LLC. Recruiter teilten Bewerbern mit, dass sich das Startup noch in einer frühen Phase befinde und über nur minimale öffentliche Präsenz verfüge. Die Bewerber wurden jedoch nicht eingestellt, um ein echtes Technologieprodukt zu entwickeln. Stattdessen wiesen die Recruiter sie an, sich bei etablierten westlichen Firmen zu bewerben, häufig unter Verwendung von Identitäten mit Sitz in den USA.

Von Forschern geprüfte Interviewaufzeichnungen zeigten Berichten zufolge Momente der Verwirrung unter den Bewerbern, als die Recruiter sie anwiesen, amerikanischer klingende Namen anzunehmen. Einige Bewerber schienen sich keinerlei Verbindung zu Nordkorea bewusst zu sein, was darauf hindeutet, dass bestimmte Arbeitskräfte geglaubt haben könnten, an einer unkonventionellen Rekrutierungsvereinbarung teilzunehmen, anstatt an einem staatlich gelenkten Betrugsnetzwerk.

Auswirkungen auf den Kryptowährungssektor

Das Schema hat besonderes Gewicht für Kryptowährungs- und Blockchain-Unternehmen, die routinemäßig auf Remote-Entwickler, unabhängige Auftragnehmer und globale Freelance-Plattformen angewiesen sind. Nordkoreanische Akteure haben in der Vergangenheit Blockchain- und Krypto-Projekte mit gestohlenen oder gefälschten Identitäten infiltriert. Das Motiv der Umsatzgenerierung ist für Pjöngjang besonders ausgeprägt, da das Land strengen internationalen Sanktionen unterliegt, die seinen Zugang zum globalen Finanzsystem einschränken — was Kryptowährungen und illegal erwirtschaftete Gehälter zu besonders wertvollen Kanälen für das Regime macht.

Eingeschleuste Arbeitskräfte können legitime Gehälter verdienen und gleichzeitig Zugang zu proprietärem Quellcode, internen Systemen und sensiblen Unternehmensdaten erlangen. US-Behörden haben zudem Kryptowährungsadressen mit Personen in Verbindung gebracht, die nordkoreanischen IT-Arbeitskräfte-Betrug facilitating, und Bundesstaatsanwälte haben Strafverfahren gegen Vermittler eingeleitet, denen vorgeworfen wird, DVRK-Arbeitskräften bei der Beschaffung von Remote-Stellen bei amerikanischen Firmen geholfen zu haben.

Für Krypto-Startups hebt die Untersuchung eine sich wandelnde Bedrohungslandschaft hervor. Ein hoch entwickelter Angriff muss nicht mehr mit Malware oder einer kompromittierten Wallet beginnen — er kann mit einer gewöhnlichen Stellenbewerbung starten. Warnungen der US-Regierung empfehlen eine verstärkte Sorgfaltspflicht bei der Remote-Einstellung, einschließlich Live-Video-Verifizierung, Überprüfung von Beschäftigungsverläufen und Wachsamkeit für Warnsignale wie Arbeitskräfte, die anfragen, Aktivitäten über Drittanbieter-Geräte oder Proxy-Dienste abzuwickeln.