SEOEL — Noord-Korea's meest ervaren hackers — de eenheid die verantwoordelijk wordt gehouden voor de diefstal van 6,3 miljard dollar vorige maand bij cryptovalutabeurs Binance — worden beloond met voordelen zoals ruime appartementen in Pyongyang en grote bonussen in harde valuta, ook al werken ze onder zware omstandigheden.

Leider Kim Jong Un heeft met zulke prikkels een leger van wereldklasse-hackers opgebouwd via een programma van ruim tien jaar oud dat jaarlijks ongeveer 200 van de slimste middelbare scholieren van het land selecteert om computerwetenschappen te studeren, zeggen overlopers en analisten.

Slechts een fractie van die rekruten wordt uiteindelijk hacker, maar de investering heeft zich enorm terugbetaald: de groep evolueerde van het exploiteren van illegale gokwebsites in de begintijd tot het uitvoeren van de grootste cyberroof ter wereld, vorige maand.

"Ze zijn eigenlijk een van Kim Jong Un's geheime wapens", zei Kim Heung-kwang, een Noord-Koreaanse overloper die namens de staat hackers opleidde voordat hij in 2004 naar Zuid-Korea vluchtte. "Er is geen ander land dat hackers zo africht, systematisch op zoek naar de slimste kinderen, uitsluitend om er operatoren van te maken. Of ze nu hacker willen worden of niet, dat maakt niet uit."

De FBI en Binance hebben gezegd dat Noord-Korea verantwoordelijk was voor de Binance-hack, wat Pyongyang ontkent. Blockchainonderzoeksbureaus schrijven de aanval toe aan een Noord-Koreaanse groep die bekendstaat als "TraderTraitor". De ontkenning past in een langstaand patroon waarin het Noorden dergelijke beschuldigingen door de jaren heen afdoet als verzonnen politieke provocaties.

Systematische selectie

Noord-Korea richtte in 1998 een cyber-eenheid op, maar verhief de status ervan nadat Kim aan de macht was gekomen en in 2013 verklaarde dat cyberoorlogvoering, naast kernwapens en raketten, een "allesdoend zwaard" was dat cruciaal was voor het aanvalsvermogen van het land.

De selectie begint op de middelbare school, met kinderen van soms pas 11 of 12 jaar; jaarlijks worden ongeveer 150 tot 200 kinderen gekozen om computerwetenschappen te studeren, zeiden Kim Heung-kwang en twee overlopers die in de IT werkten.

Op 17-jarige leeftijd gaan de beste presteerders naar de beste universiteiten van Noord-Korea en ondergaan verdere screening voordat een handvol uiteindelijk als hacker toetreedt tot de cyber-eenheid van het leger, zeiden de overlopers. Cursisten krijgen onder meer les in cryptocurrency-protocollen en het reverse-engineeren van buitenlandse hardwareapparaten, naast meer conventionele vakken als wiskunde en vreemde talen, aldus een van hen.

Wie geen hacker wordt, wordt opgeleid om via remote banen software of apps te maken voor westerse bedrijven. Die tweedeling creëert een verdienmodel met twee sporen — buitgemaakte gelden uit berovingen enerzijds, lonen uit geheime remote werkzaamheden binnen westerse bedrijven anderzijds.

"Terwijl de beste studenten in Zuid-Korea vaak geneeskunde of andere prestigieuze carrières nastreven, leidt Noord-Korea toptalent naar kern- en cyberprogramma's en garandeert het in feite hun toekomst", zei Lim Jongin, emeritus hoogleraar aan de opleiding cybersecurity van Korea University.

Voordelen van het vak

De privileges die hackers worden geboden omvatten reizen naar bevriende landen zoals China, waar ze vrijer toegang tot het internet hebben. Geslaagde aanvallen kunnen voor de militaire eenheid van de hackers tot 30% van de buit in Amerikaanse dollars opleveren, en operatoren krijgen zelfs een appartement in de hoofdstad waar ook hun ouders kunnen verblijven, zei Kim Heung-kwang.

"Er zijn verhalen dat succesvolle cybermedewerkers appartementen in Pyongyang krijgen", aldus Lim, die eraan toevoegde dat de woningen tot wel 132 m² (1.420 sq ft) kunnen meten.

Toppresteerders komen ook in aanmerking voor lidmaatschap van de regerende partij en huwelijken in elitaire families, zei een van de overlopers.

Het blijft een kleine groep: de cyberoorlogsoperaties van het Noorden geven werk aan ongeveer 8.400 mensen, aldus een schatting van de Zuid-Koreaanse nationale inlichtingendienst in 2024.

De staatsmedia in Noord-Korea vieren de prestaties van hackers niet publiekelijk, maar besteden regelmatig aandacht aan studenten met talent voor programmeren. In 2015 opende het land de Mirae Scientists Street in de hoofdstad, een bouwproject waarbij Kim Jong Un nauw betrokken was, aldus de staatsmedia. De officiële functiebenaming van hackers in het Noorden is "wetenschapper" of "onderzoeker", zei een overloper.

Het staatsvoordeel

Andere hackergroepen die met Noord-Korea worden geassocieerd zijn onder meer de Lazarus Group, ook bekend als APT38, waarvan de VS in 2022 beweerden dat de groep voor honderden miljoenen dollars aan cryptovaluta had gestolen van het Ronin-blockchainnetwerk. De FBI heeft gezegd dat TraderTraitor gelieerd is aan Lazarus.

Analisten zeiden dat de staatssteun de hackers van het Noorden gevaarlijker en moeilijker af te weren maakt, omdat ze geen gevolgen ondervinden van hack na hack, waardoor ze hun strategieën kunnen perfectioneren. Voor cryptovalutaplatforms is dat doorzettingsvermogen de kern van de dreiging: in tegenstelling tot gewone criminele groepen kan het programma mislukkingen opvangen, zijn vakschap aanscherpen en steeds opnieuw naar dezelfde categorie doelen terugkeren.

"In de wereld van cybercriminaliteit heb je, als je een fout maakt …, vaak niets meer nodig voor de politie om je te pakken", zei Alec Zebrick, senior manager Asia-Pacific global services bij Chainalysis. Maar de hackers van Noord-Korea "doen dit voor het regime, dus ze gaan door, zelfs na successen", voegde hij toe. "Zelfs na mislukkingen gaan ze door, omdat het heel moeilijk is voor de internationale gemeenschap om tegen hen op te treden."

Groepen die hebben samengewerkt met Noord-Koreaanse IT-medewerkers — die geld verdienen voor het regime van Kim via remote technische banen bij westerse bedrijven — omschrijven hen als hoogst georganiseerd, beleefd in hun omgang en fervente gebruikers van AI.

"Er was duidelijk een structuur zoals je die in het leger ziet. Strikte tijden, laarzen poetsen, heel ordelijk", zei YouTuber Deeveeaar, die beweert camera's te hebben gehackt die Noord-Koreaanse IT-medewerkers op hun werk in de gaten hielden. "Om te zeggen dat ze 'veel AI gebruiken' is nog een eufemisme. AI is de absolute ruggengraat van hun operatie", zei hij, met een verwijzing naar betaalde ChatGPT-accounts, Claude Code en Cursor, naast vele andere AI-tools. "Ze schrijven er code mee, passen hun cv's aan en helpen nieuwe te maken. En zelfs documenten en identiteiten vervalsen."

Binance zei dat de hackers een nep-sollicitatiegesprek en software die verborgen zat in een advertentie gebruikten om de computers van medewerkers te compromitteren, voordat ze met een intern AI-tool de controle over systemen overnamen. In 2025 meldde een sanctiemonitoringsteam van 11 VN-leden dat TraderTraitor zowel ChatGPT- als DeepSeek-accounts had verkregen.

Zware werkomstandigheden

Toch is het leven van een hacker of toptechnologiewerker voor Noord-Korea zwaar, vooral wanneer ze een missie krijgen of naar het buitenland worden gestuurd, zeggen voormalige IT-medewerkers en mensenrechtenorganisaties.

In krappe ruimten wonen, vaak werkdagen van langer dan 10 uur, voortdurende surveillance en strenge doelen behoren tot de nadelen, aldus voormalige IT-medewerkers die werden geïnterviewd voor een rapport van vorig jaar van de belangenorganisatie PSCORE.

"Er is altijd druk om geld te blijven verdienen", zei de uitvoerend directeur van de organisatie, Nam Bada. "De stress is extreem, en door de psychische belasting krijgen mensen gezondheidsproblemen die ze eerder niet hadden."

IT-medewerkers moeten een maandelijks doel in dollars halen, of ze worden vernederd en krijgen andere straffen, zei hij.

Toch zal het succes van de hackers de Noord-Koreaanse leider waarschijnlijk vervlagen naarmate ze beter worden en ambitieuzer worden, zeggen analisten.

"We zien hen steeds meer neigen naar wat wij 'big game hunting' noemen", zei Zebrick. "Ze richten zich dus op enkele van deze grotere organisaties, met mogelijk grotere hoeveelheden geld die ze mogelijk kunnen bemachtigen. Dat zijn moeilijkere doelen. Maar zoals we zien in het geval van Binance, kan de uitbetaling het zeker de moeite waard maken."

— Reuters