Nordkoreanische IT-Arbeiter kassieren 2025 direkte Zahlungen in Höhe von 16,58 Mio. US-Dollar: ZachXBT

Der On-Chain-Ermittler ZachXBT hat Zahlungen abgefangen, die direkt an nordkoreanische IT-Arbeiter geleistet wurden. Die Gehaltsabrechnungen deuten darauf hin, dass mehr Krypto-Projekte potenziellen Hacks durch ihre eigenen Teams ausgesetzt sind oder Bugs und Hintertüren in Smart Contracts eingeführt wurden.

Eine neue Untersuchung von ZachXBT zeigte, dass weiterhin erhebliche Gehaltszahlungen an IT-Arbeiter fließen, die als DPRK-Agenten getarnt sind. Die Projektteams haben internationale IT-Arbeiter eingestellt, oft unter Deckung mit gefälschten Profilen. Derzeit werden eine Reihe von Profilen enttarnt, die in Blockchain-, Web3- und DeFi-Projekte infiltriert sind. 

ZachXBT entdeckte seit Januar 2025 Zahlungen in Höhe von 16,58 Mio. US-Dollar, was auf Hunderte von Jobs in Krypto-Projekten hinweist. 

1/ Meine jüngste Untersuchung hat mehr als 16,58 Mio. US-Dollar an Zahlungen seit dem 1. Januar 2025 aufgedeckt, oder 2,76 Mio. US-Dollar pro Monat wurden an nordkoreanische IT-Arbeiter gesendet, die als Entwickler bei verschiedenen Projekten und Unternehmen eingestellt wurden.

Um dies ins richtige Licht zu rücken: Die Zahlungen reichen von 3.000 bis 8.000 US-Dollar pro Monat, was bedeutet… pic.twitter.com/pjHZG9wJ4r

— ZachXBT (@zachxbt) Juli 2, 2025

Die abgefangenen Adressen und Gehaltsabrechnungen deuten darauf hin, dass einige der IT-Arbeiter getarnte Identitäten und falsche Standorte verwendet haben. Die jüngste Enthüllung zusätzlicher Wallets und Identitäten erfolgte nach der US-Justiz Repressalien gegen ein jüngstes IT-Schema, das US-Unternehmen ins Visier nahm.

Die Risiken beinhalten den Diebstahl von Krypto, Angriffe gegen Token, das Abfließen von Liquidität sowie das Aufdecken und Stehlen sensibler Informationen. 

ZachXBTs Entdeckungen folgen auch der jüngsten Doxxing von DPRK-IT-Arbeitern, die sich als hochaktiv Meme-Token Ersteller herausstellten oder bestehenden Meme-Token-Teams beitraten. Andere Untersuchungen betreffen Versuche, sich als Bauingenieure auszugeben oder sogar nach Rollen als Innenarchitektenzu suchen. Die gefälschten Teams nutzen KI oft als Recherche-Tool und zur Verschleierung ihrer Identität.

Nordkoreanische IT-Teams wurden in freiwilligen Untersuchungen enttarnt

Für einige sind nordkoreanische Hacker in Krypto-Teams immer noch eine Verschwörungstheorie. Die meisten der jüngsten Entdeckungen sind mit OSINT-Bemühungen und realen Verfolgungs- und Doxxing-Aktionen verbunden. 

ZachXBT überwacht zudem Wallets und verknüpft häufig bekannte IT-Mitarbeiter mit prominenten Social-Media-Profilen, basierend auf ihren Wallet-Verbindungen zu bekannten Hacker-Wallet-Clustern der DPRK. ZachXBT warnte davor, dass nordkoreanische IT-Mitarbeiter auch in traditionelle Tech-Unternehmen eindringen, aber Krypto-Projekte ermöglichen oft eine einfachere Verfolgung, insbesondere wenn ihre Gehaltsabrechnungen on-chain sind. 

Bisher hat ZachXBT keine Namen von Krypto-Projekten bekannt gegeben, die am stärksten von Hackern betroffen waren. Zuvor wurden sogar etablierte Protokolle wie Waves berichtete durch das Einstellen unüberprüfter IT-Mitarbeiter in ihren Smart Contracts kompromittiert. 

Nordkoreanische IT-Mitarbeiter geben sich auch als Krypto-Influencer aus

Anfang Juni wiesen Ermittler auch darauf hin, dass mehrere hochkarätige Krypto-Influencer, die mit älteren Meme- und NFT-Projekten verbunden waren, ebenfalls mit verdächtigen Wallet-Clusternverknüpft waren. Einige von ZachXBT beobachtete Adressen wurden auch als mit dem Favvr-NFT-Projekt verbunden markiert.

DPRK-Hacker bleiben oft nicht lange bei Projekten, aber ihre Beteiligung ist auch bei kurzer Mitwirkung riskant. DPRK-Hacker können mehrere Rollen in Projekten innehaben, einschließlich des Zugriffs auf Multi-Sig-Wallets oder anderer wichtiger Verantwortlichkeiten. Da Krypto-Projekte nur in monatelangen oder jährlichen Abständen Audits durchführen, können einige DeFi-Plattformen, Meme-Tokens und andere Apps versteckte Risiken für Exploits bergen.

ZachXBT merkt auch an, dass die Hacker hauptsächlich von MEXC angezogen werden, sowie von US-basierten Börsen wie Robinhood und Coinbase. Binance, einer der am weitesten verbreiteten Märkte, ist jetzt ungeeignet, da es eine Erfolgsbilanz beim Einfrieren von Geldern und bei der Unterstützung der Behörden bei der Abfangung verdächtiger Konten hat. Die nordkoreanischen IT-Mitarbeiter greifen oft auf USDC zurück, versuchen jedoch, die Transaktionen zu verschleiern, da der Stablecoin eingefroren werden kann.