Autor: Sam Kessler, Coindesk
Zusammengestellt von: Joy, PANews
Hauptpunkte des Artikels:
CoinDesk stellte fest, dass mehr als ein Dutzend Kryptowährungsunternehmen unwissentlich IT-Mitarbeiter aus Nordkorea anstellten, darunter hochkarätige Blockchain-Projekte wie Injective, ZeroLend, Fantom, Sushi, Yearn Finance und Cosmos Hub.
Diese Mitarbeiter verwendeten gefälschte Ausweise, bestanden erfolgreich Vorstellungsgespräche, bestanden Qualifikationsprüfungen und lieferten authentische Arbeitserfahrung.
Die Einstellung nordkoreanischer Arbeitskräfte ist in den Vereinigten Staaten und anderen Ländern, die Sanktionen gegen Nordkorea verhängen, illegal. Dies birgt auch Sicherheitsrisiken, denn CoinDesk stellte fest, dass mehrere Unternehmen gehackt wurden, nachdem sie nordkoreanische IT-Mitarbeiter beschäftigt hatten.
Zaki Manian, ein bekannter Blockchain-Entwickler, sagte: „Jeder versucht, diese Leute herauszufiltern.“ Er sagte, dass er 2021 versehentlich zwei nordkoreanische IT-Mitarbeiter eingestellt habe, um bei der Entwicklung der Cosmos Hub-Blockchain zu helfen.
Das Kryptowährungsunternehmen Truflation steckte im Jahr 2023 noch in den Kinderschuhen, als Gründer Stefan Rust unwissentlich seinen ersten nordkoreanischen Mitarbeiter einstellte.
„Wir sind immer auf der Suche nach guten Entwicklern“, sagte Rust aus seinem Zuhause in der Schweiz. Aus heiterem Himmel „traf uns dieser Entwickler.“
„Ryuhei“ schickte seinen Lebenslauf per Telegram und gab an, in Japan zu arbeiten. Schon bald nach seiner Einstellung traten seltsame Widersprüche an die Oberfläche.
Irgendwann „habe ich mit dem Typen am Telefon gesprochen und er sagte, er hätte ein Erdbeben gehabt“, erinnert sich Rust. In Japan gab es jedoch in letzter Zeit keine Erdbeben. Der Angestellte begann dann, Anrufe zu verpassen, und als er auftauchte, „war er es nicht“, sagte Rust. „Es ist jemand anderes.“ Wer auch immer es war, ihr japanischer Akzent war verschwunden.
Rust erfuhr bald, dass „Ryuhei“ und vier weitere Mitarbeiter, mehr als ein Drittel seines Teams, Nordkoreaner waren. Rust geriet unabsichtlich in eine organisierte Verschwörung Nordkoreas, um seinen Mitarbeitern abgelegene Arbeitsplätze im Ausland zu verschaffen und die Einnahmen nach Pjöngjang zurückzuüberweisen.
Die US-Behörden haben kürzlich ihre Warnungen verstärkt, dass nordkoreanische IT-Mitarbeiter Technologieunternehmen, darunter auch Kryptowährungs-Arbeitgeber, infiltrieren und die Erlöse zur Finanzierung des Atomwaffenprogramms des Landes verwenden. Laut einem Bericht der Vereinten Nationen aus dem Jahr 2024 verdienen diese IT-Mitarbeiter Nordkorea jährlich bis zu 600 Millionen US-Dollar.
Die Einstellung und Bezahlung von Arbeitskräften – auch unbeabsichtigt – verstößt gegen die UN-Sanktionen und ist in den Vereinigten Staaten und vielen anderen Ländern illegal. Dies stellt auch ein ernstes Sicherheitsrisiko dar, da nordkoreanische Hacker bekanntermaßen heimlich Mitarbeiter beschäftigen, um Unternehmen anzugreifen.
Eine Untersuchung von CoinDesk zeigt die Motivation und Häufigkeit, mit der nordkoreanische Arbeitssuchende Kryptowährungsunternehmen ins Visier nehmen – sie sind in Vorstellungsgesprächen erfolgreich, bestehen Hintergrundüberprüfungen und weisen sogar eine beeindruckende Geschichte von Codebeiträgen auf dem Open-Source-Software-Repository GitHub nach.
CoinDesk sprach mit mehr als einem Dutzend Kryptowährungsunternehmen, die sagten, sie hätten versehentlich IT-Mitarbeiter aus Nordkorea eingestellt.
Diese Interviews mit Gründern, Blockchain-Forschern und Branchenexperten legen nahe, dass nordkoreanische IT-Mitarbeiter in der Kryptoindustrie viel häufiger anzutreffen sind als bisher angenommen. Nahezu alle Personalmanager, die für diesen Artikel befragt wurden, gaben zu, verdächtige nordkoreanische Entwickler interviewt, sie ohne deren Wissen eingestellt zu haben oder jemanden zu kennen, der dies getan hatte.
Zaki Manian, ein bekannter Blockchain-Entwickler, sagte: „In der gesamten Kryptowährungsbranche könnte der Anteil der Lebensläufe, Bewerber oder Mitarbeiter aus Nordkorea über 50 % liegen.“ Er sagte, dass er im Jahr 2021 versehentlich zwei nordkoreanische IT-Mitarbeiter eingestellt habe Mitarbeiter helfen bei der Entwicklung der Cosmos Hub-Blockchain. „Jeder versucht, diese Leute auszusortieren.“
Zu den von CoinDesk identifizierten unwissenden nordkoreanischen Arbeitgebern gehören mehrere bekannte Blockchain-Projekte wie Cosmos Hub, Injective, ZeroLend, Fantom, Sushi und Yearn Finance. „Es passiert alles hinter den Kulissen“, sagte Manian.
Die Untersuchung ist das erste Mal, dass die Unternehmen öffentlich zugegeben haben, dass sie versehentlich nordkoreanische IT-Mitarbeiter eingestellt haben.
In vielen Fällen arbeiten nordkoreanische Arbeitnehmer genauso wie normale Arbeitnehmer; in gewisser Weise bekommen die Arbeitgeber also im Wesentlichen das, wofür sie bezahlen. Doch CoinDesk fand Beweise dafür, dass diese Mitarbeiter ihre Löhne dann an Blockchain-Adressen überwiesen, die mit der nordkoreanischen Regierung in Verbindung stehen.
Die Untersuchung von CoinDesk ergab auch mehrere Fälle, in denen Kryptoprojekte, bei denen nordkoreanisches IT-Personal beschäftigt war, später gehackt wurden. In einigen dieser Fälle konnte der Diebstahl direkt mit mutmaßlichen nordkoreanischen IT-Mitarbeitern auf der Gehaltsliste des Unternehmens in Verbindung gebracht werden. Dies war bei Sushi der Fall, einem bekannten DeFi-Protokoll, das im Jahr 2021 durch einen Hack 3 Millionen US-Dollar verlor.
Das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums und das Justizministerium begannen im Jahr 2022 damit, Nordkoreas Versuche, in die US-Kryptowährungsindustrie einzudringen, öffentlich bekannt zu machen. CoinDesk hat Beweise dafür gefunden, dass nordkoreanische IT-Mitarbeiter schon lange davor, zumindest bereits im Jahr 2018, unter falschen Identitäten für Kryptowährungsunternehmen zu arbeiten begonnen haben.
„Ich denke, viele Leute haben die falsche Vorstellung, dass dies etwas ist, was einfach aus heiterem Himmel passiert ist“, sagte Manian. „Diese Leute hatten GitHub-Konten und andere Dinge, die bis in die Jahre 2016, 2017, 2018 zurückreichen.“ (GitHub, im Besitz von Microsoft, ist eine Online-Plattform, die von vielen Software-Organisationen zum Hosten von Code und zur Zusammenarbeit von Entwicklern verwendet wird.)
CoinDesk nutzte verschiedene Methoden, um nordkoreanische IT-Mitarbeiter mit Unternehmen zu verbinden, darunter Blockchain-Zahlungsaufzeichnungen, öffentliche GitHub-Codebeiträge, E-Mails von US-Regierungsbeamten und direkte Interviews mit Zielunternehmen. Eines der größten von CoinDesk untersuchten Zahlungsnetzwerke in Nordkorea wurde vom Blockchain-Ermittler ZachXBT entdeckt, der im August eine Liste mutmaßlicher nordkoreanischer Entwickler veröffentlichte.
Bisher schwiegen Arbeitgeber aus Angst vor unerwünschter Publizität oder rechtlichen Konsequenzen. Angesichts der Fülle an Zahlungsaufzeichnungen und anderen Beweisen, die CoinDesk ausgegraben hat, haben viele von ihnen nun beschlossen, zum ersten Mal an die Öffentlichkeit zu treten und ihre Geschichten zu teilen, die den außerordentlichen Erfolg und das Ausmaß der Unterwanderung der Kryptowährungsbranche durch Nordkorea offenbaren.
gefälschte Dokumente
Nach der Einstellung von Ryuhei, der angeblich ein japanischer Angestellter war, wurde Rusts Truflation mit neuen Bewerbungen überschwemmt. Innerhalb weniger Monate stellte Rust unwissentlich vier weitere nordkoreanische Entwickler ein, die angeblich in Montreal, Vancouver, Houston und Singapur ansässig waren.
Die Kryptoindustrie ist besonders anfällig für Störungen durch nordkoreanische IT-Mitarbeiter. Die Belegschaft der Kryptoindustrie ist sehr global, und Kryptounternehmen sind tendenziell eher bereit, vollständig entfernte (oder sogar anonyme) Entwickler einzustellen als andere Unternehmen.
CoinDesk untersuchte nordkoreanische Bewerbungen, die von Kryptowährungsunternehmen aus verschiedenen Quellen eingingen, darunter Messaging-Plattformen wie Telegram und Discord, kryptowährungsspezifische Jobbörsen wie Crypto Jobs List und Jobbörsen wie Indeed.
„Die Wahrscheinlichkeit, dass sie eingestellt werden, sind wirklich frische, aufstrebende Teams, die bereit sind, bei Discord einzustellen“, sagte Taylor Monahan, Produktmanager bei der Krypto-Wallet-App MetaMask, die häufig Sicherheitsforschung im Zusammenhang mit North veröffentlicht Koreas Kryptoaktivitäten. „Sie verfügen nicht über einen Prozess, um Leute einzustellen, die Hintergrundüberprüfungen durchlaufen. Oft sind sie bereit, in Kryptowährung zu zahlen.“
Rust sagte, er führe Hintergrundüberprüfungen bei allen neuen Truflation-Mitarbeitern durch. „Sie schickten uns unsere Pässe und Ausweise, gaben uns das GitHub-Repository, testeten es und dann stellten wir sie im Grunde ein.“
Ein Antragsteller, der dem Kryptowährungsunternehmen Truflation einen texanischen Führerschein als Identitätsnachweis vorgelegt hat, steht nun im Verdacht, nordkoreanischer Staatsbürger zu sein. CoinDesk hält einige Details zurück, weil nordkoreanische IT-Mitarbeiter gestohlene Ausweise verwendet haben. (Bild mit freundlicher Genehmigung von Stefan Rust)
Für einen Laien sind die meisten gefälschten Dokumente nicht von echten Pässen und Visa zu unterscheiden, aber Experten sagten gegenüber CoinDesk, dass professionelle Hintergrundüberprüfungsdienste sie wahrscheinlich aufspüren werden.
Einer der von ZachXBT identifizierten mutmaßlichen nordkoreanischen IT-Mitarbeiter, „Naoki Murano“, stellte dem Unternehmen einen scheinbar authentischen japanischen Pass zur Verfügung. (Foto mit freundlicher Genehmigung von Taylor Monahan)
Während es unwahrscheinlich ist, dass Startups professionelle Hintergrundprüfer einsetzen, „sehen wir nordkoreanisches IT-Personal in größeren Unternehmen, entweder als tatsächliche Angestellte oder zumindest als Auftragnehmer“, sagte Monahan.
Versteckt vor aller Augen
In mehreren Fällen fand CoinDesk IT-Mitarbeiter nordkoreanischer Unternehmen, die öffentlich verfügbare Blockchain-Daten nutzten.
Im Jahr 2021 brauchte das Unternehmen Iqlusion des Blockchain-Entwicklers Manian etwas Hilfe. Er ist auf der Suche nach freiberuflichen Programmierern, die bei einem Projekt zur Aktualisierung der beliebten Cosmos Hub-Blockchain helfen könnten. Er fand zwei neue Mitarbeiter; sie leisteten gute Arbeit.
Manian hat die Freelancer „Jun Kai“ und „Sarawut Sanit“ noch nie persönlich getroffen. Sie hatten zuvor an einem Open-Source-Softwareprojekt zusammengearbeitet, das vom eng verwandten Blockchain-Netzwerk THORChain finanziert wurde, und teilten Manian mit, dass sie in Singapur seien.
„Ich habe ein Jahr lang fast jeden Tag mit ihnen gesprochen“, sagte Manian. „Sie haben die Arbeit erledigt. Ehrlich gesagt bin ich sehr zufrieden.“
Zwei Jahre nachdem die Freelancer ihre Arbeit abgeschlossen hatten, erhielt Manian eine E-Mail von einem FBI-Agenten, der Token-Transfers untersuchte, die offenbar von Iqlusion stammten und an eine mutmaßliche nordkoreanische Krypto-Wallet-Adresse gesendet wurden. Es stellte sich heraus, dass es sich bei den fraglichen Überweisungen um Zahlungen von Iqlusion an Kai und Sanit handelte.
Links: Ein FBI-Agent (Name geschwärzt) bat Zaki Manian um Informationen über zwei Blockchain-Zahlungen seiner Firma Iqlusion. Rechts: Manian informierte die Agenten darüber, dass die Transaktionen zwischen Iqlusion und mehreren Auftragnehmern stattfanden.
Das FBI hat Manian nie bestätigt, dass die von ihm beauftragten Entwickler nordkoreanische Agenten waren, aber eine Überprüfung der Blockchain-Adressen von Kai und Sanit durch CoinDesk ergab, dass sie in den Jahren 2021 und 2022 Einnahmen an zwei Personen überwiesen haben, die auf der Sanktionsliste des OFAC standen: Kim Sang Man und Sim Hyon Sop.
Laut OFAC war Sim ein Vertreter der nordkoreanischen Kwangson Bank, die Gelder von IT-Mitarbeitern wusch, um „Nordkoreas Massenvernichtungswaffen- und ballistische Raketenprogramme“ zu finanzieren. Sarawut scheint alle seine Einnahmen in Sim und andere mit Sim verknüpfte Blockchain-Wallets gesteckt zu haben.
Blockchain-Aufzeichnungen von April bis Dezember 2022 zeigen, dass „Sarawut Sanit“ seinen gesamten Lohn an eine Wallet überwiesen hat, die mit dem von der OFAC zugelassenen nordkoreanischen Agenten Sim Hyon Sop in Verbindung steht. (Auswahl der von CoinDesk verfolgten Ethereum-Wallets. Von Arkham geschätzter Vermögenspreis.)
Gleichzeitig schickte Kai fast 8 Millionen Dollar direkt an Kim. Laut dem OFAC-Beratungsbericht von 2023 war Kim ein Vertreter der von Nordkorea betriebenen Chinyong Information Technology Cooperation Company, die „eine Delegation nordkoreanischer IT-Mitarbeiter beschäftigte, die über von ihr kontrollierte Unternehmen und ihre Vertreter in Russland und Laos arbeiteten“.
Im Laufe des Jahres 2021 schickte „Jun Kai“ Kryptowährungen im Wert von 7,7 Millionen US-Dollar direkt an Blockchain-Adressen, die auf der OFAC-Sanktionsliste im Zusammenhang mit Kim Sang Man stehen. (Auswahl der von CoinDesk verfolgten Ethereum-Wallets. Von Arkham geschätzter Vermögenspreis.)
Iqlusions Gehalt an Kai machte weniger als 50.000 US-Dollar der fast 8 Millionen US-Dollar aus, die er Kim gab, der Rest kam teilweise von anderen Kryptowährungsunternehmen.
CoinDesk stellte beispielsweise fest, dass die Fantom Foundation, die die weit verbreitete Fantom-Blockchain entwickelt, „Jun Kai“ und einen anderen Entwickler mit Verbindungen zu Nordkorea bezahlte.
Ein Sprecher der Fantom Foundation sagte gegenüber CoinDesk: „Fantom hat bestätigt, dass zwei externe Personen im Jahr 2021 an Nordkorea beteiligt waren. Die beteiligten Entwickler waren jedoch an einem externen Projekt beteiligt, das nie abgeschlossen und nie umgesetzt wurde.“
Nach Angaben der Fantom Foundation „wurden die beiden beteiligten Mitarbeiter entlassen. Sie haben nie bösartigen Code beigesteuert oder auf die Codebasis von Fantom zugegriffen, und ein Sprecher sagte, dass ein nordkoreanischer Mitarbeiter versucht habe, die Server von Fantom anzugreifen.“ scheiterte jedoch an fehlenden notwendigen Zugriffsrechten.
Laut der OpenSanctions-Datenbank wurde Kims Nordkorea-bezogene Blockchain-Adresse von der Regierung erst im Mai 2023 veröffentlicht, mehr als zwei Jahre nach den Zahlungen von Iqlusion und Fantom.
Spielraum geben
Die Vereinigten Staaten und die Vereinten Nationen verhängten 2016 bzw. 2017 Sanktionen gegen die Beschäftigung nordkoreanischer IT-Arbeiter.
Ob Sie es wissen oder nicht, es ist illegal, nordkoreanische Arbeiter in den Vereinigten Staaten zu bezahlen – ein Rechtsbegriff, der als „verschuldensunabhängige Haftung“ bekannt ist.
Es spielt auch keine Rolle, wo sich ein Unternehmen befindet: Die Einstellung nordkoreanischer Arbeitskräfte birgt rechtliche Risiken für jedes Unternehmen, das in einem Land Geschäfte macht, das Sanktionen gegen Nordkorea verhängt.
Allerdings müssen die Vereinigten Staaten und andere UN-Mitgliedstaaten Kryptounternehmen, die nordkoreanische IT-Mitarbeiter beschäftigen, noch strafrechtlich verfolgen.
Das US-Finanzministerium leitete eine Untersuchung gegen das in den USA ansässige Unternehmen Iqlusion ein, aber Manian sagte, die Untersuchung sei ohne Strafen abgeschlossen worden.
Die US-Behörden waren bei der Erhebung von Anklagen gegen diese Unternehmen nachsichtig – eine Art Eingeständnis dafür, dass sie im besten Fall einer ungewöhnlich raffinierten und raffinierten Form des Identitätsbetrugs oder im schlimmsten Fall einem äußerst demütigenden Langzeitbetrug ausgesetzt waren.
Zusätzlich zu den rechtlichen Risiken erklärte Monahan von MetaMask, dass die Bezahlung nordkoreanischer IT-Mitarbeiter auch „schlecht sei, weil die Leute, die man bezahlt, im Grunde diejenigen sind, die vom Regime ausgebeutet werden“.
Einem 615-seitigen Bericht des UN-Sicherheitsrates zufolge können nordkoreanische IT-Mitarbeiter nur einen Bruchteil ihres Gehalts behalten. „Geringverdiener erhalten einen Vorbehalt von 10 Prozent, während Besserverdiener 30 Prozent behalten dürfen“, heißt es in dem Bericht.
Auch wenn diese Löhne im Vergleich zum nordkoreanischen Durchschnitt immer noch hoch sind, „ist es mir egal, wo sie leben“, sagte Monahan. „Wenn ich jemanden bezahlen würde und er gezwungen wäre, seinen gesamten Gehaltsscheck an seinen Chef zu schicken, würde mir das sehr unangenehm sein. Wenn sein Chef das nordkoreanische Regime wäre, würde ich mich noch unwohler fühlen.“
CoinDesk hat während des Meldevorgangs mehrere mutmaßliche nordkoreanische IT-Mitarbeiter kontaktiert, aber noch keine Antwort erhalten.
Zukunft
CoinDesk identifizierte mehr als 20 Unternehmen, die möglicherweise nordkoreanische IT-Mitarbeiter beschäftigen, indem es Blockchain-Zahlungsaufzeichnungen von OFAC-sanktionierten Unternehmen analysierte. Zwölf Unternehmen, die entsprechende Unterlagen eingereicht hatten, bestätigten gegenüber CoinDesk, dass sie zuvor auf ihren Gehaltsabrechnungen mutmaßliche nordkoreanische IT-Mitarbeiter gefunden hatten.
Einige lehnten einen weiteren Kommentar aus Angst vor rechtlichen Konsequenzen ab, andere stimmten jedoch zu, ihre Geschichten zu teilen, in der Hoffnung, dass andere aus ihren Erfahrungen lernen könnten.
In vielen Fällen sind nordkoreanische Mitarbeiter nach ihrer Einstellung leichter zu identifizieren.
Eric Chen, CEO von Injective, einem Projekt mit Schwerpunkt auf dezentraler Finanzierung, sagte, er habe im Jahr 2020 einen freiberuflichen Entwickler unter Vertrag genommen, ihn aber wegen schlechter Leistung schnell entlassen.
„Er hat nicht lange durchgehalten“, sagte Chen. „Der Code, den er geschrieben hat, war schlecht und die Ergebnisse waren nicht gut.“ Chen wusste erst letztes Jahr, dass der Mitarbeiter Verbindungen zu Nordkorea hatte, als eine US-amerikanische „Regierungsbehörde“ Injective kontaktierte.
Mehrere Unternehmen teilten CoinDesk mit, dass sie einen Mitarbeiter entlassen hätten, bevor sie von irgendwelchen Verbindungen zu Nordkorea erfahren hätten – mit der Begründung, dass die Arbeitsqualität mangelhaft sei.
„Gehaltsabrechnungen im Wert von ein paar Monaten“
Nordkoreanische IT-Mitarbeiter ähneln jedoch typischen Entwicklern und verfügen über unterschiedliche Fähigkeiten.
Auf der einen Seite gibt es Mitarbeiter, die „in das Unternehmen kommen, den Bewerbungsprozess durchlaufen und ein paar Monatsgehälter verdienen“, sagte Manian. „Und auf der anderen Seite findet man heraus, was.“ Das sind sie tatsächlich. Die technischen Fähigkeiten sind wirklich stark.“
Rust erinnert sich, bei Truflation „einen sehr guten Entwickler“ getroffen zu haben, der behauptete, aus Vancouver zu kommen, aber später herausfand, dass er aus Nordkorea stammte. „Er ist wirklich ein junger Mann“, sagte Rust. „Es fühlte sich an, als wäre er frisch von der Uni. Ein bisschen grün, sehr enthusiastisch, sehr aufgeregt über die Gelegenheit zu arbeiten.“
In einem anderen Beispiel entließ das DeFi-Startup Cluster im August zwei Entwickler, nachdem ZachXBT Beweise dafür vorgelegt hatte, dass sie Verbindungen zu Nordkorea hatten.
„Es ist verblüffend, wie viel diese Leute wussten“, sagte z3n, der anonyme Gründer von Cluster, gegenüber CoinDesk. Im Nachhinein gab es einige „offensichtliche Warnsignale“. Zum Beispiel: „Sie ändern ihre Zahlungsadresse alle zwei Wochen und ihren Discord-Namen oder Telegram-Namen etwa jeden Monat.“
Webcam aus
In Gesprächen mit CoinDesk sagten viele Arbeitgeber, sie hätten etwas Ungewöhnliches bemerkt, das mehr Sinn ergab, als sie erfuhren, dass ihre Mitarbeiter möglicherweise Nordkoreaner seien.
Manchmal sind diese Hinweise subtil, beispielsweise wenn die Arbeitszeiten eines Mitarbeiters nicht mit dem Ort übereinstimmen, an dem er arbeiten soll.
Andere Arbeitgeber wie Truflation haben festgestellt, dass mehrere Personen möglicherweise vorgeben, eine Person zu sein, was die Mitarbeiter verbergen, indem sie ihre Webcams ausschalten. (Es sind fast alle Männer).
Ein Unternehmen stellte eine Mitarbeiterin ein, die morgens an Besprechungen teilnahm, aber später am Tag alles zu vergessen schien, was besprochen wurde – eine Eigenart, die mehr Sinn machte, wenn sie zuvor eindeutig mit vielen Menschen gesprochen hatte.
Als Rust einem Investor mit Erfahrung in der Verfolgung krimineller Zahlungsnetzwerke seine Besorgnis über den „japanischen“ Mitarbeiter Ryuhei zum Ausdruck brachte, identifizierte der Investor schnell vier weitere mutmaßliche nordkoreanische IT-Mitarbeiter auf der Gehaltsliste von Truflation.
„Wir haben den Kontakt sofort abgebrochen“, sagte Rust und fügte hinzu, dass sein Team eine Sicherheitsüberprüfung seines Codes durchgeführt, den Hintergrundüberprüfungsprozess verbessert und einige Richtlinien geändert habe. Eine der neuen Richtlinien sieht vor, dass Remote-Mitarbeiter ihre Kameras einschalten müssen.
3-Millionen-Dollar-Hack
Viele von CoinDesk befragte Arbeitgeber glauben fälschlicherweise, dass nordkoreanische IT-Mitarbeiter unabhängig vom nordkoreanischen Hacking-Sektor agieren. Blockchain-Daten und Gespräche mit Experten deuten jedoch darauf hin, dass nordkoreanische Hacking-Aktivitäten und IT-Mitarbeiter häufig miteinander verbunden sind.
Im September 2021 verlor MISO, eine von Sushi entwickelte Plattform zur Ausgabe von Krypto-Tokens, durch einen Diebstahl 3 Millionen US-Dollar. CoinDesk fand Beweise dafür, dass der Angriff mit der Einstellung von zwei Entwicklern durch Sushi zusammenhing, deren Blockchain-Zahlungsaufzeichnungen mit Nordkorea in Verbindung standen.
Zum Zeitpunkt des Hacks war Sushi eine der am meisten diskutierten Plattformen im aufstrebenden DeFi-Bereich. Über 5 Milliarden US-Dollar wurden auf SushiSwap eingezahlt, einer Plattform, die in erster Linie als „dezentrale Börse“ für den Handel mit Kryptowährungen ohne Zwischenhändler fungiert.
Joseph Delong, der damalige Chief Technology Officer von Sushi, führte den MISO-Diebstahl auf zwei freiberufliche Entwickler zurück, die an der Plattform arbeiteten: Sie verwendeten die Namen Anthony Keller und Sava Grujic. Delong sagte, dass diese Entwickler, von denen er nun vermutet, dass sie dieselbe Person oder Organisation sind, bösartigen Code in die MISO-Plattform eingeschleust haben, um Gelder an die von ihnen kontrollierten Wallets zu überweisen.
Als Keller und Grujic von der Sushi DAO, der dezentralen autonomen Organisation, die das Sushi-Protokoll verwaltet, eingestellt wurden, legten sie Referenzen vor, die typisch und sogar beeindruckend für Einsteigerentwickler waren.
Keller benutzte in der Öffentlichkeit das Pseudonym „eratos1122“, aber als er sich für eine Stelle bei MISO bewarb, benutzte er scheinbar seinen richtigen Namen: „Anthony Keller“. In dem Lebenslauf, den Delong CoinDesk mitteilte, gab Keller an, in Gainesville, Georgia, zu leben und einen Bachelor-Abschluss in Computertechnik an der University of Phoenix zu erwerben. (Die Universität antwortete nicht auf eine Anfrage, ob es einen Absolventen mit demselben Namen gibt.)
„Anthony Keller“ behauptet, in Gainesville, Georgia, zu leben, und sein Lebenslauf listet seine Erfahrungen bei der Arbeit bei der beliebten dezentralen Finanzanwendung Yearn auf.
Kellers Lebenslauf erwähnt tatsächlich eine frühere Beschäftigung. Eines der beeindruckendsten ist Yearn Finance, ein äußerst beliebtes Krypto-Investitionsprotokoll, das Benutzern die Möglichkeit bietet, durch eine Reihe von Anlagestrategien Zinsen zu verdienen. Banteg, ein Hauptentwickler bei Yearn, bestätigte, dass Keller an Coordinape gearbeitet hat, einer von Yearn entwickelten App, die Teams bei der Zusammenarbeit unterstützen und Zahlungen erleichtern soll. (Banteg sagte, Kellers Arbeit sei auf Coordinape beschränkt und er habe keinen Zugriff auf Yearns Kerncodebasis.)
Laut Delong stellte Keller Grujic MISO vor und die beiden bezeichneten sich selbst als „Freunde“. Wie Keller legte Grujic einen Lebenslauf vor, in dem sein richtiger Name und nicht sein Online-Pseudonym „AristoK3“ aufgeführt war. Er behauptete, aus Serbien zu stammen und schloss sein Studium der Informatik an der Universität Belgrad mit einem Bachelor ab. Sein GitHub-Konto ist aktiv und in seinem Lebenslauf sind seine Arbeitserfahrungen bei mehreren kleineren Kryptoprojekten und Gaming-Startups aufgeführt.
In seinem Lebenslauf listet „Sava Grujic“ fünf Jahre Programmiererfahrung auf und gibt an, dass er in Belgrad, Serbien, ansässig sei.
Rachel Chu, eine ehemalige Kernentwicklerin bei Sushi, die vor dem Diebstahl eng mit Keller und Grujic zusammengearbeitet hatte, sagte, sie sei vor dem Hack „misstrauisch“ gegenüber dem Paar geworden.
Trotz der Distanz zwischen den beiden hätten Grujic und Keller „den gleichen Akzent“ und „die gleiche Art, SMS zu schreiben“, sagte Chu. „Jedes Mal, wenn wir uns unterhielten, gab es Hintergrundgeräusche, genau wie in einer Fabrik“, fügte sie hinzu. Chu erinnerte sich, dass sie Kellers Gesicht gesehen hatte, aber nie das von Grujic. Laut Chu „zoomte“ Kellers Kamera, sodass sie nicht sehen konnte, was sich hinter ihm befand.
Grujic und Keller hörten schließlich gleichzeitig auf, Beiträge für MISO zu leisten. „Wir dachten, es handele sich um dieselbe Person“, sagte Delong, „also haben wir aufgehört, sie zu bezahlen.“ Auf dem Höhepunkt der COVID-19-Pandemie gaben Remote-Kryptowährungsentwickler vor, mehrere Personen zu sein, um mit ihrer Gehaltsabrechnung zusätzliches Geld zu verdienen ungewöhnlich.
Nachdem Grujic und Keller im Sommer 2021 entlassen wurden, versäumte das Sushi-Team, ihnen den Zugriff auf die MISO-Codebasis zu entziehen.
Laut einem von CoinDesk erhaltenen Screenshot übermittelte Grujic, der unter seinem Pseudonym „Aristok3“ bekannt ist, am 2. September Schadcode an die MISO-Plattform, um 3 Millionen US-Dollar an eine neue Kryptowährungs-Wallet zu überweisen.
„Sava Grujic“ hat unter dem Pseudonym AristoK3 fehlerhaften Code an Sushis MISO übermittelt. (Screenshot bereitgestellt von Joseph Delong)
Die Analyse von Blockchain-Zahlungsaufzeichnungen durch CoinDesk deutet auf mögliche Verbindungen zwischen Grujic, Keller und Nordkorea hin. Im März 2021 veröffentlichte Keller in einem inzwischen gelöschten Tweet eine Blockchain-Adresse. CoinDesk hat mehrere Zahlungen zwischen dieser Adresse, Grujics Hacker-Adresse und der bei Sushi hinterlegten Keller-Adresse gefunden. Laut Delong kam die interne Untersuchung von Sushi letztendlich zu dem Schluss, dass die Adresse Keller gehörte.
Zwischen 2021 und 2022 schickten die mit Keller und Grujic verbundenen Blockchain-Adressen den Großteil der Gelder an mit Nordkorea verbundene Wallets. (Auswahl der von CoinDesk verfolgten Ethereum-Wallets. Von Arkham geschätzter Vermögenspreis.)
CoinDesk entdeckte, dass diese Adresse die meisten Gelder an „Jun Kai“ (den Iqlusion-Entwickler, der Geld an die von der OFAC sanktionierte Kim Sang Man schickte) und eine andere Wallet schickte, die offenbar als Stellvertreter für Nordkorea fungierte (da sie auch Kim bezahlte). ).
Sushis interne Untersuchung ergab, dass Keller und Grujic häufig von russischen IP-Adressen aus operierten, was die Annahme, dass es sich bei ihnen um Nordkoreaner handelte, weiter stützte. Laut OFAC sind nordkoreanische IT-Mitarbeiter manchmal in Russland stationiert. (Die US-Telefonnummer in Kellers Lebenslauf wurde deaktiviert und seine Github- und Twitter-Konten „eratos1122“ wurden gelöscht.)
Darüber hinaus fand CoinDesk Beweise dafür, dass Sushi Keller und Grujic gleichzeitig mit einem anderen mutmaßlichen nordkoreanischen IT-Auftragnehmer eingestellt hat. Der Entwickler, den ZachXBT „Gary Lee“ nennt, codierte unter dem Pseudonym LightFury und schickte Einnahmen an „Jun Kai“ und eine andere mit Kim verbundene Proxy-Adresse.
Von 2021 bis 2022 beschäftigte Sushi auch einen weiteren scheinbaren nordkoreanischen Auftragnehmer namens „Gary Lee“. Der Arbeiter überwies seine Einnahmen aus den Jahren 2021–2022 an Blockchain-Adressen, die mit Nordkorea in Verbindung stehen, darunter eine Wallet, die von „Jun Kai“ von Iqlusion verwendet wird. (Auswahl der von CoinDesk verfolgten Ethereum-Wallets. Von Arkham geschätzter Vermögenspreis.)
Grujic gab die gestohlenen Gelder zurück, nachdem Sushi öffentlich Kellers Pseudonym „eratos1122“ für den Angriff verantwortlich gemacht und gedroht hatte, das FBI einzubeziehen. Während es kontraintuitiv erscheinen mag, dass nordkoreanische IT-Mitarbeiter sich Sorgen um den Schutz gefälschter Identitäten machen, scheinen nordkoreanische IT-Mitarbeiter bestimmte Namen wiederzuverwenden und ihren Ruf durch Beiträge zu vielen Projekten aufzubauen, vielleicht um das Vertrauen zukünftiger Arbeitgeber zu gewinnen.
Man könnte meinen, dass der Schutz des Pseudonyms Anthony Keller auf lange Sicht profitabler wäre: Im Jahr 2023, zwei Jahre nach dem Sushi-Vorfall, reichte ein Mann namens „Anthony Keller“ einen Antrag bei Stefan Rusts Firma Truflation ein.
Coindesk versuchte, „Anthony Keller“ und „Sava Grujic“ um einen Kommentar zu bitten, war jedoch erfolglos.
Raubüberfall im nordkoreanischen Stil
Nach Angaben der Vereinten Nationen hat Nordkorea in den letzten sieben Jahren durch Hackerangriffe mehr als drei Milliarden US-Dollar an Kryptowährungen gestohlen. Von den Hacks, die das Blockchain-Analyseunternehmen Chainalysis im ersten Halbjahr 2023 verfolgte, standen 15 im Zusammenhang mit Nordkorea, „von denen etwa die Hälfte Diebstähle im Zusammenhang mit IT-Mitarbeitern betrafen“, sagte Unternehmenssprecherin Madeleine Kennedy.
Nordkoreas Cyberangriffe ähneln nicht der Hollywood-Version des Hackings, bei der vermummte Programmierer komplexen Computercode und schwarz-grüne Computerterminals verwenden, um in Großrechner einzudringen.
Angriffe im nordkoreanischen Stil sind offensichtlich Low-Tech. Dabei handelt es sich in der Regel um eine Form von Social Engineering, bei der der Angreifer das Vertrauen eines Opfers gewinnt, das über Systemschlüssel verfügt, und diese Schlüssel dann direkt über etwas so Einfaches wie einen schädlichen E-Mail-Link entnimmt.
„Bisher haben wir noch nie erlebt, dass Nordkorea einen echten Angriff durchgeführt hat“, sagte Monahan. „Sie beginnen immer mit einem Social-Engineering-Angriff, kompromittieren dann das Gerät und stehlen dann die privaten Schlüssel.“
IT-Mitarbeiter sind gut geeignet, an Nordkoreas Raubüberfällen mitzuwirken, indem sie entweder persönliche Informationen beschaffen, die zur Sabotage potenzieller Ziele verwendet werden können, oder indem sie direkt auf Softwaresysteme zugreifen, die mit digitalem Geld gefüllt sind.
Reihe von Zufällen
Am 25. September, als dieser Artikel veröffentlicht werden sollte, vereinbarte CoinDesk einen Videoanruf mit Rust von Truflation. Der Plan besteht darin, einige der zuvor von ihm mitgeteilten Details zu überprüfen.
Ein nervöser Rust schaltete sich 15 Minuten zu spät in den Anruf ein. Er wurde gerade gehackt.
CoinDesk kontaktierte mehr als 20 Projekte, die offenbar dazu verleitet wurden, nordkoreanische IT-Mitarbeiter einzustellen. Allein in den letzten zwei Interviewwochen wurden zwei der Projekte gehackt: Truflation und eine Kryptowährungs-Kredit-App namens Delta Prime.
Es ist noch zu früh, um zu sagen, ob die beiden Hacking-Vorfälle in direktem Zusammenhang mit der versehentlichen Einstellung nordkoreanischer IT-Mitarbeiter stehen.
Am 16. September wurde Delta Prime erstmals kompromittiert. CoinDesk hat zuvor Zahlungen und Codebeiträge zwischen Delta Prime und Naoki Murano aufgedeckt, einem der mit Nordkorea verbundenen Entwickler, der vom anonymen Blockchain-Spürhund ZachXBT gefördert wird.
Das Projekt verlor mehr als 7 Millionen US-Dollar, wobei die offizielle Erklärung lautete, dass „private Schlüssel kompromittiert wurden“. Delta Prime antwortete nicht auf mehrere Anfragen nach Kommentaren.
Der Truflation-Hack folgte weniger als zwei Wochen später. Ungefähr zwei Stunden vor dem Gespräch mit CoinDesk bemerkte Rust einen Geldabfluss aus seiner Krypto-Wallet. Er war gerade von einer Geschäftsreise aus Singapur zurückgekehrt und versuchte herauszufinden, was er falsch gemacht hatte. „Ich weiß einfach nicht, wie es passiert ist“, sagte er. „Ich bewahre meine Laptops verschlossen im Hotelwandsafe auf. Mein Telefon habe ich immer dabei.“
Während Rust sprach, flossen Millionen von Dollar aus seiner persönlichen Blockchain-Wallet. „Ich meine, es ist wirklich schlimm. Dieses Geld sind die Studiengebühren und die Rente meiner Kinder.“
Truflation und Rust verloren am Ende etwa 5 Millionen Dollar. Die Beamten stellten fest, dass die Ursache des Verlusts der Diebstahl des privaten Schlüssels war.