Bedrohungsintelligenzforscher haben ein gefälschtes Dezentralisiertes Finanz- (DeFi) Startup gegründet, verdächtige nordkoreanische IT-Arbeiter als Entwickler eingestellt und sie von innen beobachtet.
Die Operation kehrte das übliche Infiltrationsspielbuch um. Anstatt Operative zu fangen, die versuchen einzudringen, beobachteten die Forscher sie bei der Arbeit, nachdem sie die Interviews bestanden hatten.
Wie das gefälschte Startup nordkoreanische IT-Arbeiter entlarvte
Die Untersuchung war eine gemeinsame Anstrengung von Mauro Eldritch von BCA LTD, Heiner García von NorthScan und ANY.RUN. Die Forscher registrierten Ballena Azul LTD als ein Protokoll, das Kryptowährungs-Wale bedient.
Sie gaben ihm eine Website, ein Unternehmensbranding und eine passende britische Unternehmensregistrierung, um legitim zu wirken. Dann gaben sie sich als Gründer und Teamleiter aus.
Die Forscher nutzten die ANY.RUN-Sandbox-Plattform als Arbeitsumgebung. Sie zeichnete jede Bewegung der Operativen auf. Angelo Cruz, ein Recruiter, den das Team auf GitHub traf, stellte den ersten Entwickler zur Verfügung.
Dieser Neue stellte einen zweiten vor, der einen dritten mitbrachte. Alle drei bestanden die Interviews und erhielten Zugang zu virtuellen Desktops, die tatsächlich kontrollierte Aufnahmeumgebungen waren.
Die Operativen werden im gesamten Bericht als verdächtige Mitglieder von Famous Chollima beschrieben, einer Einheit, die mit der Lazarus-Gruppe Nordkoreas verbunden ist und sich darauf spezialisiert hat, gefälschte IT-Arbeiter in westlichen Firmen zu platzieren.
Folge uns auf X, um die neuesten Nachrichten in Echtzeit zu erhalten
Was die Forscher fanden
Die Entwickler reichten gefälschte US-Identifikationen während des Onboardings ein. Dazu gehören Führerscheine, gestohlene Sozialversicherungsnummern und Konten bei Lead Bank, Citibank und Wise.
Metadaten zu einem Führerschein zeigten, dass er mit Google Gemini verarbeitet wurde und ein eingebettetes SynthID-Wasserzeichen trug. Dies machte die Fälschung fast sofort sichtbar.
„Bis jetzt hatten wir gefälschte Identitäten, gestohlene SSNs, Maultier-Bankkonten, mögliche sichere Häuser für Vermittler und Kryptowährungs-Wallets mit Transaktionshistorie“, schrieben die Forscher.
Die Arbeiter stützten sich stark auf künstliche Intelligenz. Sie verwendeten ChatGPT, um Code zu schreiben, den sie anscheinend nicht verstanden, und um Aufgaben zu erledigen. Auch während Interviews und täglicher Stand-ups liefen Live-Übersetzungstools.
Die Operation offenbarte auch unterstützende Infrastruktur. Die Forscher protokollierten AstrillVPN-Ausgangsknoten, Server, die auf Vultr und Gorilla Servers gehostet wurden, und Kryptowährungs-Wallets mit Transaktionshistorie. Ein operativer Server war bereits in Bedrohungsintelligenz-Feeds markiert, ein Zeichen dafür, dass er aus früheren Kampagnen recycelt wurde.
„Die Ergebnisse zeigen, dass DPRK-IT-Arbeiter-Schemata nicht nur ein Einstellungsrisiko darstellen. Einmal drinnen, können Operative legitimen Zugang zu Code, Systemen, geistigem Eigentum und vertrauenswürdigen Geschäftsprozessen erhalten“, heißt es in dem Bericht.
Nordkoreanische Hacker stellen eine anhaltende Bedrohung für die Krypto-Industrie dar. TRM Labs schrieb 76 % der Krypto-Hack-Verluste bis April 2026 DPRK-Teams zu. Der Diebstahl erreichte 2025 2 Milliarden Dollar.
Die Infiltrationstaktik funktioniert anders. Nordkoreanische Arbeiter geben sich als Ingenieure aus, um Remote-Jobs zu gewinnen, und stehlen dann Geheimnisse oder pflanzen einen Weg zurück hinein. Ein zuvor mit Ethereum (ETH) finanziertes Projekt identifizierte 100 verdächtige nordkoreanische IT-Arbeiter in 53 Krypto-Projekten.
Abonnieren Sie unseren YouTube-Kanal, um zu sehen, wie Führungskräfte und Journalisten Experteneinblicke geben.
Quelle: BeInCrypto
