Es kommt nicht oft vor, dass eine Reporterin gebeten wird, sich als Venture Capitalist auszugeben, um vermeintliche IT-Mitarbeiter aus Nordkorea hinters Licht zu führen.
Aber im Juni fand ich mich dabei, dass ich an einem Zoom-Call als „Aelin Ashriver“ teilnahm – als Investor aus der fiktiven Definitive Communications –, um das Entwicklungsteam des Krypto-Startups Ballena Azul zu treffen.
Die IT-Mitarbeiter am Call glaubten, sie würden ihre Startup-Ideen potenziellen VCs präsentieren, um VC-Unterstützung zu erhalten. In Wirklichkeit hatten sie seit Wochen in einer erfundenen Krypto-Firma gearbeitet, die ausschließlich gegründet worden war, um ihre Methoden und ihre Infrastruktur zu untersuchen – von Mauro Eldritch, Gründer der Cybersicherheitsfirma BCA LTD, und Heiner García, einem Analysten für Cyber-Threat-Intelligence bei Telefónica Tech und Gründer von NorthScane.
Cointelegraph begleitete die Untersuchung in einer Phase.
Während des Calls spielte ich den Schwindel aus, indem ich vorschlug, ich könnte vielleicht sogar Ballena Azul dazu verhelfen, Berichterstattung bei Cointelegraph zu bekommen.
Also hat zumindest jemand die Wahrheit gesagt.
Vermutete DPRK-IT-Fachkräfte warben für Venture-Capital-Unterstützung von der fiktiven Definitive Communications – gespielt von Cointelegraph. Quelle: ANY.RUN
Aufbau eines Unternehmens für mutmaßliche nordkoreanische IT-Fachkräfte
Eldritch und García bauten das fiktive Ballena Azul mit Infrastruktur, die von der Cybersecurity-Plattform ANY.RUN bereitgestellt wurde. Eine bestehende britische Registrierung für ein anderes, nicht zusammenhängendes Unternehmen mit demselben Namen, das 2022 aufgelöst wurde, verlieh dem Projekt zusätzliche Legitimität.
Eldritch übernahm die Identität des Co-Founders „Leonardo Nelson“, während García die Alias-Rolle „Andy Jones“ annahm und sich als Teamleiter des Unternehmens ausgab.
Eines der wertvollsten Stücke Erkenntnisse, die der fünfwöchige Schwindel zutage förderte, waren die externen Server, die die Mitarbeitenden als Zwischenstation nutzten, bevor sie mit den von Ballena Azul kontrollierten virtuellen Desktops verbunden wurden.
Offengelegte Server waren besonders wertvoll, weil solche Infrastruktur oft über verschiedene Einsätze hinweg wiederverwendet wird und lange aktiv bleiben kann.
García sagt dem Magazin, die Server seien mit Malware-Familien verbunden gewesen, die mit nordkoreanischen Kampagnen zusammenhängen und Zugangsdaten, Daten von Krypto-Wallets und andere sensible Informationen stehlen.
„Einige der Server, die wir gefunden haben, waren mit der Verbreitung von InvisibleFerret und BeaverTail/OtterCookie in den Vorjahren verbunden und waren bis heute aktiv“, sagt er.
Aber einige andere waren völlig neu und hatten keinerlei Erkenntnisse über sie – sie wirkten sauber und hielten sich außerhalb gängiger Sperrlisten oder Threat-Feeds.
Er ergänzt, dass die Infrastruktur mehrere Zwecke erfüllen könne: Server, die zuvor für die Malware-Verteilung genutzt wurden, könnten auch als Command-and-Control-Infrastruktur dienen – sowie als Proxies für Betreiber, die ihre tägliche Arbeit durchführten.
Die mutmaßlichen Mitarbeitenden müssen den Forschern zufolge keine Malware einsetzen, um eine Bedrohung darzustellen. Sobald sie eingestellt sind, können sie legitimen Zugang zu internen Systemen eines Unternehmens, zum Quellcode und zu anderen sensiblen Informationen erlangen. Je länger sie unentdeckt bleiben, desto länger können sie Gehälter beziehen, von denen die Forschenden sagen, dass sie letztlich dabei helfen, das nordkoreanische Regime zu finanzieren.
Die Operation zeigte auch, dass die Gruppe auf Tools der Künstlichen Intelligenz zurückgriff, um Lücken in ihrem technischen Wissen auszugleichen. Sie nutzten ChatGPT zum Schreiben und Programmieren, unter anderem, um grundlegende Fragen zu beantworten und Aufgaben zu erledigen, die sie selbst nur schwer bewältigten. Für Bildbearbeitung und Dokumentenfälschung bevorzugten sie Google Gemini.
Ein mutmaßlicher DPRK-IT-Mitarbeiter und ChatGPT arbeiten im Ballena-Azul-Einsatz zusammen, um zu versuchen, Testnet-Krypto zu beschaffen. Quelle: ANY.RUN
Zu den eingesetzten weiteren Tools gehörten Remote-Desktop-Software, Krypto-Wallets und ein Dienst zum Teilen von Codes für die Zwei-Faktor-Authentifizierung.
Nordkoreanische IT-Fachkräfte sind zu einer wachsenden Sicherheitsbedrohung für die Kryptowährungsbranche geworden. Consensys erklärte im Juli, man habe einen mit Nordkorea verknüpften Entwickler über einen Drittanbieter engagiert, bevor man die Bedrohung erkannte und den Zugang kappte.
In einem anderen Fall warfen US-Staatsanwälte vier nordkoreanische Staatsangehörige im Jahr 2025 vor, mit falschen Identitäten zu versuchen, Remote-IT-Jobs zu bekommen, und angeblich mehr als 900.000 US-Dollar an Kryptowährung aus zwei Unternehmen gestohlen zu haben – darunter ein US-Unternehmen für Blockchain-Forschung und -Entwicklung.
Das US-Finanzministerium sagte im März, dass nordkoreanische IT-Arbeitskräftegruppen im Jahr 2024 fast 800 Millionen US-Dollar einbrachten, um die Programme für Massenvernichtungswaffen des Regimes in Pjöngjang zu finanzieren.
Inside fake crypto company Ballena Azul
Der Schwindel begann, als García über GitHub mit einem Recruiter in Kontakt kam, der mit Famous Chollima verknüpft war – einer Bedrohungsgruppe, die mit den Einsätzen nordkoreanischer IT-Arbeiter in Verbindung gebracht wird.
García sagte, Ballena Azul habe Softwareentwickler einstellen müssen, und der Recruiter schlug „Jack Anderson“, „Angelo Espree“ und „Lucas Theo“ vor. Mindestens zwei von ihnen legten einen US-Ausweis vor.
Dem Trio wurden verschiedene Programmieraufgaben in kontrollierten virtuellen Desktop-Umgebungen zugewiesen, wodurch García und Eldritch beobachten konnten, wie sie arbeiteten.
Angelo Espree war einer der Entwickler, die über einen Recruiter eingestellt wurden, der mit DPRK-Einsätzen in Verbindung stand. Quelle: ANY.RUN
Die Forschenden führten auch gezielt technische Probleme ein – darunter selektive Netzwerkunterbrechungen und verschwindende Mauszeiger –, um zu sehen, wie die mutmaßlichen Mitarbeitenden reagierten und welche Tools sie nutzten, wenn etwas schiefging.
„Ganz ehrlich, die größte Überraschung war, wie viel davon auf Improvisation beruhte“, sagt García. „Es gab kein starres Playbook, keinen ausgefeilten Unternehmensprozess dahinter.“
Während ihrer vielen Wochen innerhalb der kontrollierten Umgebungen hinterließen die mutmaßlichen Nordkoreaner den Forschenden einen wahren Schatz, darunter Chat-Protokolle, KI-Unterhaltungen, Informationen zu Krypto-Wallets, VPN-Exit-Nodes sowie Stunden an Live-Videoaufnahmen. Ihre Verbindungen deckten außerdem die Server auf, die zu einer der wertvollsten Erkenntnisse der Untersuchung wurden.
Um sicherzugehen: Die starke Abhängigkeit von KI ist nicht einzigartig für die Mitarbeitenden, die in der Operation von Ballena Azul ausgetrickst wurden.
Ballena Azul-Mitarbeiter nutzten generell KI als Krücke für das Programmieren und für technische Aufgaben, die sie nur schwer bewältigen konnten. Reuters berichtete am Montag, dass eine andere nordkoreanische Hackergruppe, Kimsuky, KI für einen deutlich offensiveren Zweck einsetzt. Berichten zufolge liefen bei der Gruppe KI-Tools lokal, um Cyberangriffe zu automatisieren, gestohlene Daten auszuwerten und überzeugendere Phishing-Kampagnen zu produzieren.
Sich wandelndes Playbook entfernter DPRK-IT-Fachkräfte
Das war nicht das erste Mal, dass Cointelegraph eine eher kleinere Rolle dabei gespielt hat, mutmaßliche nordkoreanische Mitarbeitende aufzudecken.
Im Februar 2025 führten García und Cointelegraph ein Vorstellungsgespräch für einen mutmaßlichen Einsatzmitarbeiter, der sich „Motoki“ nannte. Der Entwickler behauptete, japanisch zu sein, und brach das Interview wutentbrannt ab, nachdem er gebeten worden war, sich in seiner Muttersprache vorzustellen.
Dennoch blieb García in Kontakt mit ihm. Motoki bot schließlich an, García Geld zu schicken, damit er einen Computer kaufen konnte, auf den er remote zugreifen konnte – so konnte er an einer lokalen Maschine arbeiten, statt über ein VPN zu verbinden, um Beschränkungen zu umgehen, die von Arbeitgebern und Freelance-Plattformen genutzt werden.
García dokumentierte später mutmaßliche nordkoreanische Einsatzkräfte, die Freelancer anwarben, um verifizierte Konten, Identitäten und Remote-Zugriff auf ihre Computer bereitzustellen. In einer Variante des Plans konnten Einsatzkräfte über Maschinen arbeiten, die sich physisch in den USA befanden, wodurch sie Arbeitgebern und Freelance-Plattformen als in den USA ansässige Auftragnehmer erscheinen ließen.
Im Mai wurden zwei US-„Laptop-Farmer“ – also Personen, die einen Verbund von Computern betrieben, auf den Nordkoreaner remote zugreifen konnten – zu 18 Monaten Haft verurteilt, weil sie DPRK-IT-Fachkräfte dabei unterstützt hatten, sich als in den USA ansässige Beschäftigte auszugeben. Die dabei entstandenen Pläne sollen mehr als 1,2 Millionen US-Dollar eingebracht und nahezu 70 Unternehmen betroffen haben.
Ballena Azul aus dem Verkehr ziehen
Alle Fakes müssen irgendwann enden, also führten die Forschenden „Benito Camella“ ein – den Mitgründer von Ballena Azul –, der angeblich in anderen Geschäften in Mailand beschäftigt gewesen war, während sich das Unternehmen ausbreitete.
Als er zurückkam, stellte Camella den Mitarbeitenden die Unstimmigkeiten in Bezug auf ihre Identitäten und Dokumente zur Rede. Die Konfrontation begann rasch, das Chatzimmer zu leeren. Espree verließ den Videocall zuerst, während Anderson länger blieb, bevor ihm klar wurde, dass der Plan aufging.
„Lebst du zwei Leben, Mr. Anderson?“, fragt Camella Jack Anderson während der Konfrontation. Quelle: ANY.RUN
Doch die Forschenden hielten die Täuschung aufrecht, selbst nachdem das Treffen beendet war. Im Telegram-Kanal des Unternehmens beschuldigte der „CEO“ „Andy Jones“, „illegale Arbeitskräfte“ hereinzubringen und das Unternehmen in Gefahr zu bringen. „Jones“ antwortete, er sei unter Druck gestanden, schnell ein Team aufzubauen, und werde nicht genug bezahlt, um das zu tun. Er hielt daran fest, er habe mit dem, was er habe, das Beste getan.
Mit der inszenierten Argumentation endete das Ganze damit, dass der gefälschte CEO sowohl die berufliche Zusammenarbeit als auch die Freundschaft beendete und den Eindruck aufrechterhielt, Ballena Azul sei wegen einer verhängnisvollen Einstellungsentscheidung zusammengebrochen.
Einer der mutmaßlichen Nordkoreaner kontaktierte García später privat, um sich für das Geschehene zu entschuldigen und zu fragen, ob es ihm gutgehe.
Laut den Forschern meldete sich der Rest der Gruppe nie wieder bei ihnen.
Bis heute sagen sie, die mutmaßlichen Mitarbeitenden wüssten nicht, dass sie Wochen damit verbracht hätten, in einer Umgebung zu arbeiten, die darauf ausgelegt war, Informationen aus ihnen herauszuziehen.
Magazin: Bedeutet die Coldcard-Angriffswelle, dass alle Hardware-Wallets jetzt unsicher sind?
Anmerkung der Redaktion: Cointelegraph konnte die Staatsangehörigkeit oder Zugehörigkeit der mutmaßlichen DPRK-IT-Fachkräfte nicht unabhängig bestätigen, und keine Regierungsbehörde hat sie öffentlich identifiziert.