Der Blockchain-Ermittler ZachXBT hat einen seiner bisher detailliertesten Berichte veröffentlicht, der aufdeckt, wie nordkoreanische IT-Mitarbeiter der Kryptoindustrie monatlich Millionen entziehen. Eine ungenannte Quelle übermittelte ZachXBT Daten, die von einem internen nordkoreanischen Zahlungsserver exfiltriert wurden. Der Datensatz enthielt 390 Konten, private Chatprotokolle und Kryptotransaktionsaufzeichnungen von Dezember 2025 bis April 2026. Nichts davon war jemals öffentlich gemacht worden. Was ZachXBT darin fand, war ein voll funktionsfähiges, organisiertes Schema, das monatlich etwa 1 Million US-Dollar generierte, durch betrügerische Identitäten, gefälschte juristische Dokumente und ein wasserdichtes Krypto-zu-Fiat-Konvertierungsnetzwerk. Im Zentrum der Operation stand eine Website namens luckyguys[.]site – eine interne Überweisungsplattform, die von IT-Mitarbeitern der DVRK genutzt wurde, um Zahlungen an ihre Auftraggeber zu melden. Man kann es sich wie einen privaten Messenger vorstellen, der speziell für die Geldumleitung entwickelt wurde. Das Standardpasswort der Plattform war 123456. Zehn Benutzer hatten es nie geändert. Die Benutzerliste enthielt echte koreanische Namen, Stadtnamen, codierte Gruppennamen und zugewiesene Rollen. Drei der in den Daten enthaltenen Unternehmen sind derzeit von OFAC sanktioniert: Sobaeksu, Saenal und Songkwang. Seit Ende November 2025 sind mehr als 3,5 Millionen US-Dollar über die mit diesem Netzwerk verbundenen Zahlungs-Wallet-Adressen geflossen. Die Methode war bei allen Benutzern konsistent. Die Mitarbeiter erhielten Krypto von einer Börse oder einem Dienstleister oder wandelten Einnahmen über chinesische Bankkonten über Plattformen wie Payoneer in Fiat um. Ein zentrales Admin-Konto, nur als PC-1234 identifiziert, bestätigte den Empfang und verteilte Zugangsdaten für die jeweilige Börse oder Fintech-Plattform, die in diesem Zyklus verwendet wurde. Eine Tron-Zahlungsadresse wurde im Dezember 2025 von Tether eingefroren – was bedeutet, dass jemand bereits wusste, was geschah. Es stoppte das Netzwerk jedoch nicht. Ein Mitarbeiter, der als „Jerry“ bezeichnet wird, wurde dabei ertappt, wie er sich unter falschen Identitäten für Remote-Jobs bewarb, während er über Astrill VPN verbunden war. Interne Nachrichten zeigten, wie Mitarbeiter einen Nachrichtenartikel über einen IT-Mitarbeiter der DVRK diskutierten, der bei einem Vorstellungsgespräch Deepfake-Technologie eingesetzt hatte, und nervös fragten, ob es sich um einen von ihnen handelte. Dreiunddreißig Mitarbeiter kommunizierten im selben Netzwerk. Dies war keine kleine isolierte Zelle. Es war eine Belegschaft mit Struktur, Disziplin und einer sehr klaren Befehlskette. Zwischen November 2025 und Februar 2026 verteilte der Administrator des Netzwerks 43 Schulungsmodule, die sich auf Hex-Rays und IDA Pro konzentrierten – professionelle Tools, die für Reverse Engineering und binäre Analyse verwendet werden. Die Materialien umfassten Disassemblierung, Dekompilierung, Debugging und das Entpacken feindlicher ausführbarer Dateien. Dies sind nicht die Werkzeuge einer einfachen Betrugsoperation. Es sind die Werkzeuge von Personen, die sich darauf vorbereiten, ernsthaften Schaden anzurichten. ZachXBT weist sorgfältig darauf hin, dass dieser Cluster unterhalb der gefährlicheren nordkoreanischen Bedrohungsgruppen wie AppleJeus und TraderTraitor angesiedelt ist, die für einige der größten Krypto-Diebstähle in der Geschichte verantwortlich sind. Diese Gruppe steht weiter unten auf der Leiter. Aber weiter unten bedeutet nicht harmlos. ZachXBT hat zuvor geschätzt, dass IT-Mitarbeiter der DVRK kollektiv monatlich mehrere siebenstellige Beträge in der Branche generieren, und diese Untersuchung untermauert diese Zahl mit Belegen. Die interne Zahlungswebsite ging kurz nach der Veröffentlichung durch ZachXBT offline. Alle Daten waren bereits archiviert worden.<h2>Die Reaktion der Branche</h2>Der Bericht von ZachXBT fiel nicht schweigend. Er erschien mitten in einer Woche, in der die Branche bereits mit dem Ausmaß der nordkoreanischen Präsenz in Krypto-Teams zu kämpfen hatte. Tage vor dem Bericht behauptete Taylor Monahan, Sicherheitsforscherin bei MetaMask, dass mehr als 40 DeFi-Plattformen unwissentlich staatlich geförderte nordkoreanische Entwickler beschäftigt hatten, einige davon bis zum DeFi-Sommer 2020 zurückreichend. „Viele IT-Mitarbeiter der DVRK haben die Protokolle entwickelt, die Sie kennen und lieben“, schrieb sie auf X und fügte hinzu, dass viele dieser Mitarbeiter über echte Blockchain-Erfahrung verfügten, was ihre Identifizierung außergewöhnlich schwierig machte. ZachXBT selbst war, als er nach der Raffinesse dieser Taktiken gefragt wurde, direkt. „Bedrohungen über Stellenanzeigen, LinkedIn, E-Mail, Zoom oder Vorstellungsgespräche sind grundlegend und keineswegs ausgeklügelt“, sagte er. „Das Einzige daran ist, dass sie unerbittlich sind.“ Die Reaktion der breiteren Gemeinschaft war gemischt. Viele verwiesen auf Fahrlässigkeit bei der Einstellung unter Teams, die bei Hinweisen auf potenzielle Sicherheitsbedrohungen defensiv reagieren. Andere verwiesen auf die Zahlen: Im Jahr 2025 stahlen DVRK-nahe Gruppen mindestens 2,02 Milliarden US-Dollar in Kryptowährung – 60 % des weltweiten Diebstahls in diesem Jahr – einschließlich eines 1,5-Milliarden-Dollar-Hacks bei Bybit. Diese jüngste Untersuchung ist kein Einzelfall. Sie ist ein sichtbarer Teil einer viel größeren Operation. Was diese Untersuchung deutlich macht, ist, dass Nordkoreas Krypto-Operation keine Sammlung von eigenständigen Freelancern ist. Es handelt sich um ein strukturiertes, hierarchisches Unternehmen mit Auftraggebern, Administratoren, geschulten Mitarbeitern und einer Zahlungsinfrastruktur, die seit Monaten ununterbrochen läuft. Für jedes Krypto-Projekt, jede Börse oder jede DAO, die Remote-Mitarbeiter einstellt, ist dies kein fernes Problem. Diese Mitarbeiter bewerben sich gerade jetzt um Jobs, mit ausgefeilten Portfolios und Gesichtern, die möglicherweise nicht ihre eigenen sind. Verifizierung war noch nie wichtiger. Die Blockchain ist transparent. Diese Netzwerke verlassen sich darauf, dass die Branche nicht aufpasst.

ZachXBT deckte ein Netzwerk nordkoreanischer IT-Arbeiter auf, das monatlich Kryptowährungen im Wert von 1 Mio. $ über gefälschte Identitäten und eine versteckte Zahlungsplattform abzieht.

Im Inneren der nordkoreanischen Krypto-Maschine: ZachXBTs neueste Untersuchung

/media/contribution/carf291d1f925874cf499c90ae3687ec21a/8ai_0424033348171.stxt

Warum der Handel mit Krypto über öffentliches WLAN ein risikoreiches Glücksspiel ist

/media/contribution/car567c6a9c4a7544f78618a253f3d748aa/j4k_0424032911446.stxt

Tether unterstützt 150-Millionen-Dollar-Wiederherstellungsplan nach Drift Protocol Exploit

/media/contribution/car05212d7933f74fb3b29e23e8e6af8415/zad_0424031236502.stxt

Der Quanten-Upgrade-Pfad von Bitcoin: Was BIP 360 verändert und was nicht

/media/contribution/car559f376eb08141b5ac764b8622982932/8g0_0424031523804.stxt

Australiens 24 Mrd. $ Digital-Asset-Chance hängt von regulatorischer Klarheit ab

/media/contribution/car0c667b2cb61749d8bbe060c7dd4ee431/slp_0424030319594.stxt

Südkorea baut ein Krypto-Überwachungssystem auf – Steuerhinterzieher sollten aufmerksam sein

/media/contribution/cardcd83a0d8e5f4d159a721b75dbff24d1/9zh_0424032210876.stxt