Thought Leadership
Ein nordkoreanisches Scheinfirmen-Netzwerk, das monatlich rund eine Million US-Dollar erwirtschaftete, ist durch einen folgenschweren Eigenfehler enttarnt worden.
Der bekannte Blockchain-Ermittler ZachXBT hat Details einer nordkoreanischen IT-Arbeiter-Operation veröffentlicht, nachdem ihm eine unbekannte Quelle Daten von einem internen Zahlungsserver zugespielt hatte. Dass die Daten überhaupt abgeflossen sind, verdankt sich einem bemerkenswerten Missgeschick: Ein Mitglied der Gruppe hatte offenbar einen Infostealer auf dem eigenen Rechner ausgeführt.
Hunderte Konten, Millionen in Krypto
Die geleakten Daten enthielten rund 390 Konten, Chatprotokolle sowie umfangreiche Kryptotransaktionsaufzeichnungen. Eine einzelne Wallet hatte seit Ende November 2025 über 3,5 Millionen US-Dollar erhalten. Zudem fanden sich gefälschte Ausweisdokumente sowie Nachweise über Krypto-zu-Fiat-Transfers, die unter anderem über chinesische Bankkonten und internationale Zahlungsplattformen wie Payoneer abgewickelt wurden.
Die interne Koordination lief über eine Plattform, die ZachXBT mit einem Discord-ähnlichen Messenger vergleicht. Das gemeinsam genutzte Passwort für zehn Nutzerkonten lautete 123456. Über diese Plattform meldeten die Scheinselbstständigen ihre Zahlungseingänge an einen zentralen Handler, der unter dem Konto PC-1234 operierte.
Bewerbungen per Fake-Identität
Aus den Daten geht außerdem hervor, dass über ein Dutzend erfundener Personas systematisch Bewerbungen über die Plattform Indeed verschickt hatten. 33 Personen kommunizierten nachweislich über das Netzwerk und nutzten dabei den VPN-Dienst Astrill zur Verschleierung. Drei an der Operation beteiligte Unternehmen stehen bereits auf der Sanktionsliste des US-Finanzministeriums.
Bekanntes Muster, neue Dimension
Das grundsätzliche Vorgehen ist den US-Behörden nicht unbekannt. Nordkoreanische IT-Kräfte arbeiten typischerweise aus zentralisierten Laptop-Farmen, übernehmen Schichten und bedienen dabei mehrere Arbeitgeber gleichzeitig. Die Einnahmen fließen letztlich an den nordkoreanischen Staat. Das FBI hatte erst im vergangenen Jahr eine solche Operation in North Carolina ausgehoben. Laut US-Justizministerium hatte das dortige Netzwerk zwischen 2018 und 2024 knapp 870.000 Dollar von zehn US-Unternehmen abgeschöpft.
Die betroffene interne Plattform ging am 9. April offline. ZachXBT hatte die Daten zu diesem Zeitpunkt bereits gesichert.
