Das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums hat 10 Personen und ein Unternehmen auf eine Schwarze Liste gesetzt, die mit einem Schema in Verbindung stehen, mit dem gefälschte nordkoreanische IT-Arbeiter in amerikanische Firmen eingeschleust werden sollten. Für US-Arbeitgeber zeigt der Fall, wie eine unauffällig wirkende Remote-Einstellung Sanktionsrisiken bergen kann, wenn die Identität des Bewerbers gefälscht ist.

Die Maßnahme vom 28. Oktober richtete sich gegen in Russland ansässige Vermittler, die dafür verantwortlich waren, die Krypto-Löhne der nordkoreanischen IT-Arbeiter für Pjöngjang in Bargeld umzuwandeln. Die Sanktionierungen frieren alle Vermögenswerte der genannten Personen und des Unternehmens in den Vereinigten Staaten ein und machen Geschäfte mit ihnen für Amerikaner illegal – ein Verbot, das für US-Personen bei Verstößen zivil- oder strafrechtliche Konsequenzen haben kann.

Russische Mittelsmänner im Zentrum der Operation

Zwei russische Staatsbürger, Ilya Aleksandrovich Boykov und Vitold Viktorovich Obertas, standen im Nervenzentrum der Operation, die das OFAC ins Visier nahm, weil sie Kryptowährungen in verfügbare Gelder für nordkoreanische Tarnfirmen umwandelten. Berichten zufolge gehen allein Obertas fast 2 Millionen US-Dollar an Krypto-Konvertierungen zur Last, dazu weitere 1,25 Millionen US-Dollar an Transaktionen in anderen Währungen, die er seit Januar 2025 für nordkoreanische Funktionäre abwickelte.

Boykov wiederum wurde mit der Geldwäsche von rund 3,5 Millionen US-Dollar seit 2024 in Verbindung gebracht und stand zudem in Verbindung zu Alis und Amnokgang, beide sanktionierte nordkoreanische Firmen.

Die OFAC-Maßnahme benannte außerdem zwei nordkoreanische Manager, Kim Ki Hyok und Kim Hyo Dong, die beide dem Chinyong Information Technology Cooperation Company unterstehen, ein Unternehmen, das bereits 2023 eine eigene Sanktionslistung des Finanzministeriums erhielt. Die wiederholten Listungen zeigen, dass das Finanzministerium im Laufe der Jahre Druck auf dasselbe Netzwerk ausübt, statt es als einmalige Aktion zu betrachten. Ki Hyok leitet eine Delegation von IT-Arbeitern in Russland und hat seit 2024 mindestens 500.000 US-Dollar nach Nordkorea zurücktransferiert, während Hyo Dong, der eine weitere Gruppe anführt, bei Transaktionen im Wert von mehr als 100.000 US-Dollar geholfen hat, Sanktionen zu umgehen.

Wie das Krypto bewegt wurde

Der Blockchain-Analysefirma Chainalysis zufolge betraf ein von ihr on-chain nachverfolgter Fall einen nordkoreanischen Entwickler, der Code für Blockchain- und DeFi-Protokolle erstellte und alle zwei Wochen Stablecoin-Gehälter erhielt. Die Stablecoins in den Wallets wurden anschließend in Ether (ETH) umgewandelt und über Konsolidierungsadressen geleitet, bevor sie schließlich bei Boykov landeten. Der russische Handler transferierte die Gelder dann zu Garantex, einer von den USA sanktionierten russischen Börse, in der letzten Phase vor der Auszahlung. Diese Spur – Gehalts-Stablecoins, getauscht in ETH, gebündelt in Handler-Wallets und über eine sanktionierte Börse ausgeleitet – ist die Art von On-Chain-Muster, mit dem Analysten einzelne Arbeiter mit einer einzigen Wäschestruktur verknüpfen.

Während der OFAC-Bericht angibt, dass Obertas 2025 begann, Krypto für nordkoreanische Funktionäre abzuwickeln, geht Chainalysis' Blog davon aus, dass der Handler mindestens seit 2023 aktiv ist.

Das OFAC verhängte zudem Sanktionen gegen das First Financial and Technical Development Center, eine in Russland ansässige, von Nordkorea kontrollierte Organisation. Das Unternehmen machte Millionen, indem es mithilfe von KI ausgebildeten IT-Arbeitern half, Jobs in den USA und anderswo zu erhalten, und betrieb im Hintergrund zugleich Krypto-Transfers. Sechs seiner Agenten wurden gemeinsam mit ihm benannt: Kim Kyong Ju, Ri Thae Chol, So Hyon Jin, Han Yu Song, Kim Sung Gwan und Hyon Se Il. Das Finanzministerium erklärte, sie haben seit 2025 mindestens 750.000 US-Dollar für das Unternehmen erwirtschaftet.

Finanzminister Scott Bessent erklärte, Nordkoreas Regierung „zielt weiterhin auf amerikanische Unternehmen ab und nutzt sie durch betrügerische Aktivitäten seiner im Ausland tätigen IT-Agenten aus, die sensible Daten missbrauchen und Unternehmen zu erheblichen Zahlungen erpressen."

Eine sich ausweitende Kampagne

Die Sanktionen folgen einer Operation des Justizministeriums früher in diesem Monat, die Dutzende Laptop-Farmen in Texas stilllegte und zu zwei Verhaftungen führte. Laptop-Farmen beherbergen firmeneigene Computer, damit Arbeiter im Ausland so erscheinen, als würden sie sich aus den USA einwählen.

Laut Chainalysis schätzt das UN-Expertengremium, dass das IT-Arbeiter-Programm Nordkorea 250 bis 600 Millionen US-Dollar pro Jahr einbringt, wobei das Geld in seine Waffen- und Raketenprogramme fließt. Einnahmen in dieser Größenordnung sind ein Grund, warum die Reaktion zu einem mehrstaatlichen Einsatz herangewachsen ist statt einer Aktion einzelner Länder.

Die nordkoreanische Operation gerät zudem unter Druck durch Australien und die Europäische Union, die sich beide in diesem Monat gegen das Netzwerk wandten.

In der Zwischenzeit drängt Präsident Donald Trump darauf, die Atomgespräche mit Pjöngjang wieder aufzunehmen, das wenig Interesse daran gezeigt hat – sodass Sanktionsdurchsetzung und diplomatische Annäherung auf parallelen Gleisen laufen.

Quelle: Cryptopolitan