ZachXBT hat heute interne Daten von nordkoreanischen IT-Arbeitern offengelegt, die einen Krypto-Fluss von 3,5 Millionen Dollar seit Ende 2025 detailliert darstellen. Laut ZachXBT stammt der Datensatz von einem kompromittierten Gerät und umfasst 390 Konten, Chatprotokolle und Transaktionsaufzeichnungen. Die Ergebnisse zeigen, wie Arbeiter gefälschte Identitäten, schwache Sicherheit und koordinierte Systeme verwendeten, um monatlich etwa 1 Million Dollar zu verarbeiten.
Laut ZachXBT in einem detaillierten X-Thread hat eine unbekannte Quelle Daten bereitgestellt, die von einem internen Zahlungsserver stammen, der von nordkoreanischen IT-Arbeitern der DPRK verwendet wird. Der Datensatz umfasst Chatprotokolle von IPMsg, Kontenlisten und Browserhistorien, die mit betrügerischen Operationen verbunden sind. Die Benutzer diskutierten über eine Plattform namens luckyguys[.]site, die als Remittance-Hub beschrieben wird.
Das System fungierte sowohl als Messaging-Tool als auch als Reporting-Kanal. Beschäftigte reichten ihre Einnahmen ein und erhielten Anweisungen über diese Plattform. Allerdings machte eine schwache Sicherheit das System verwundbar, da mehrere Konten das Standardpasswort „123456“ ohne Änderungen verwendeten.
In den Nutzeraufzeichnungen wurden koreanische Namen, Städte und codierte Gruppenkennungen aufgeführt. Außerdem tauchten in den Daten drei Entitäten auf: Sobaeksu, Saenal und Songkwang. Diese Unternehmen stehen derzeit unter OFAC-Sanktionen, was das Netzwerk mit zuvor identifizierten Operationen verknüpft.
Transaktionsmuster decken einen Zahlungsfluss von 3,5 Mio. $ auf.
Transaktionsprotokolle zeigen eine konsistente Bewegung von Geldern im gesamten Netzwerk. Laut ZachXBT übertrugen Nutzer Krypto von Börsen oder Diensten, bevor sie es in Fiat umwandelten. In vielen Fällen nutzten Beschäftigte chinesische Bankkonten und Plattformen wie Payoneer für das Auscashen.
Ein administratives Konto, das als PC-1234 identifiziert wurde, bestätigte Zahlungen und verteilte Kontozugangsdaten. Diese Zugangsdaten variierten zwischen Krypto-Börsen und Fintech-Plattformen, je nach den Bedürfnissen der Nutzer. Seit November 2025 haben nachverfolgte Wallet-Adressen über 3,5 Mio. $ verarbeitet.
Blockchain-Tracking verknüpfte mehrere Zahlungsadressen mit bekannten DPRK-Zielen. Eine Tron-Wallet wurde im Dezember 2025 von Tether eingefroren. Diese Maßnahme deutet auf einen begrenzten Eingriff durch Akteure der Branche hin, wie ZachXBT feststellte.
Falsche Identitäten, Schulung und Koordination
Der Datensatz zeigt außerdem, wie Beschäftigte Remote-Jobs mithilfe vorgetäuschter Identitäten absicherten. Laut ZachXBT deckten kompromittierte Gerätedaten erfundene Personen, Bewerbungen und Browseraktivitäten auf.
Beschäftigte setzten Tools wie Astrill VPN ein, um während dieser Vorgänge ihren Standort zu verschleiern. Diese neue Untersuchung erfolgt, nachdem ZachXBT Circle wegen einer Verzögerung beim Exploit des Drift Protocol in Höhe von über 285 Mio. $ kritisierte. In dem neuen Bericht zeigten interne Chats eine Koordination über mehrere Plattformen hinweg.
Der Admin teilte 43 Module zu Reverse-Engineering-Themen, darunter Hex-Rays und IDA Pro. Diese Sitzungen konzentrierten sich auf Disassemblierung, Debugging und Malware-Analyse und deuten auf eine fortlaufende technische Weiterentwicklung im Netzwerk hin.