Dieser Artikel wurde zuerst auf The Bit Journal veröffentlicht.
Ein von der Ethereum Foundation unterstütztes Sicherheitsprojekt hat 100 Krypto-Operative aus der Demokratischen Volksrepublik Korea (DPRK) ausfindig gemacht, die sich als verdeckte Mitarbeiter bei Web3-Firmen ausgegeben haben.
Die Entdeckung wurde durch das Programm ETH Rangers bekannt gegeben, eine Initiative zur Finanzierung unabhängiger Sicherheitsforscher, die Ende 2024 ins Leben gerufen wurde.
Durch eine dieser Förderinitiativen verfolgte und identifizierte das Ketman-Projekt diese Akteure und benachrichtigte 53 Krypto-Projekte darüber, dass sie diese Personen möglicherweise unwissentlich beschäftigt haben.
Die Foundation erläuterte in ihrem offiziellen Rückblick, dass dies eines der akutesten betrieblichen Sicherheitsrisiken für Ethereum darstellt. Infolgedessen verschiebt sich die Erzählung von einem beobachtbaren externen Hack hin zu etwas viel schwieriger zu Erkennendem: dem Zugriff von innen.
Wie das Ketman-Projekt die nordkoreanischen Krypto-Agenten entdeckte
Das Ketman-Projekt verließ sich nicht auf ein einzelnes Signal. Stattdessen verfolgte es Verhaltensweisen und Unstimmigkeiten, die mit der Verwendung gefälschter Identitäten über verschiedene Systeme hinweg verbunden sind.
Gemäß den zusammen mit der Untersuchung veröffentlichten Ergebnissen wurden die Agenten durch verschiedene Muster entdeckt, darunter wiederverwendete Avatare, sich überschneidende Konto-Metadaten und das versehentliche Preisgeben nicht zusammenhängender E-Mail-Adressen während Screen-Sharing-Sitzungen.
Ein weiteres wiederkehrendes Warnsignal waren nicht übereinstimmende Systemeinstellungen, wie etwa Standardsprachoptionen, die nicht zur angegebenen Nationalität eines Entwicklers passten.
Was dies so eklatant machte, waren nicht die Taktiken selbst, sondern wie routinemäßig sie erscheinen. Sie bildeten ein konsistentes Muster in verschiedenen Organisationen.
Das Projekt erstellte zudem ein öffentlich zugängliches Tool, das darauf ausgelegt ist, verdächtiges Verhalten auf GitHub zu melden, und arbeitete mit der Security Alliance zusammen, um einen Rahmen für die Erkennung ähnlicher Gefahren zu schaffen.
Warum nordkoreanische Krypto-Agenten in Web3-Unternehmen eindringen
Nordkoreanische Krypto-Operative in Web3-Firmen stellen eine neue Front in der Entwicklung der nordkoreanischen Strategie dar. Anstatt nur mit hochwertigen Exploits anzugreifen, verdienen sich die Agenten nun legitime Positionen innerhalb einzelner Krypto-Unternehmen, um sich über längere Zeit Zugriff zu verschaffen.
Dies ermöglicht ihnen einen ersten Zugang zu internen Systemen, Codebasen und der Finanzinfrastruktur, ohne die Behörden sofort zu alarmieren.
Diese Methode deckt sich mit weiteren Geheimdienstanalysen. Berichten zufolge konnten sich nordkoreanische IT-Mitarbeiter jahrelang in Krypto- und DeFi-Projekte einschleusen, wobei sie oft auf mehreren Plattformen gleichzeitig arbeiteten und vorgaben, unterschiedliche Personen zu sein.
Allein im Jahr 2025 wurden Akteure mit Verbindungen zu Nordkorea laut Branchenschätzungen, die in aktuellen Berichten zitiert werden, mit gestohlenen Kryptowerten im Wert von rund 2 Milliarden Dollar in Verbindung gebracht. Indem sie Mitarbeiter in Firmen einschleusen, verringern sie die Abhängigkeit von direkten Angriffen zugunsten langfristiger Zugangspunkte, die später ausgenutzt werden können.
Vom Smart-Contract-Risiko zur menschlichen Schwachstelle
Lange Zeit konzentrierte sich die Krypto-Sicherheit auf den Code, wie etwa Fehler in Smart Contracts, Brücken-Exploits und Kompromittierungen privater Schlüssel.
Doch diese Untersuchung hat eine andere Realität offenbart. Das Risiko ist heute weitaus stärker auf Menschen als auf Protokolle basierend.
Die Infiltration erfolgt nun über Einstellungsverfahren, bei denen sich Personen einfach in Teams integrieren und Vertrauen gewinnen, bevor sie sich privilegierten Zugriffsrechten nähern.
Dies ändert die Art und Weise, wie man Risiken verwalten muss. Jemand, der legitimen Zugang hat, kann sehr häufig nicht durch Verteidigungsmaßnahmen wie Audits und Bug-Bounties gestoppt werden.
Dies offenbart auch ein Problem im Web3: die Abhängigkeit von remote arbeitender, pseudonymer Zusammenarbeit. Obwohl diese Offenheit großartige Innovationen ermöglicht, schränkt sie auch die Identitätsprüfung und Nachverfolgung ein.
Branchenreaktion beginnt, aber Lücken bleiben
Dass die Ethereum Foundation diese Untersuchung unterstützt, bedeutet, dass das Problem ernst genommen wird. Das Programm ETH Rangers selbst berichtete von weiteren Erfolgen über die nordkoreanischen Erkenntnisse hinaus, darunter:
Mehr als 5,8 Millionen Dollar an Geldern, die zurückgewonnen oder eingefroren wurden
Mehr als 785 identifizierte Schwachstellen
Dutzende bearbeitete Vorfallreaktionen
Diese Zahlen zeigen, dass die Bemühungen nicht nur das Aufspüren und Identifizieren von Agenten umfassten, sondern auch die Stärkung der Verteidigung im gesamten Netzwerk.
Dennoch bleiben Herausforderungen bestehen. Erkennungstechniken werden nicht vollständig offengelegt, wahrscheinlich um zu verhindern, dass sich Angreifer anpassen. Unterdessen sind viele Projekte immer noch anfällig für dieselben Schwachstellen, da es keine einheitlichen Verifizierungsprozesse bei Einstellungen gibt.
Fazit
Die Entlarvung nordkoreanischer Krypto-Agenten, die innerhalb von Web3-Unternehmen und Netzwerken arbeiten, hat die Wahrnehmung von Sicherheitsrisiken in der Branche verändert. Es geht nicht mehr nur um den Schutz vor Angriffen von außen; das Problem ist die fehlende Validierung derer, die das System überhaupt erst betreten haben.
Die von der Ethereum Foundation unterstützte Untersuchung hat gezeigt, dass die Infiltration bereits im großen Stil stattfindet und in vielen Fällen unbemerkt bleibt, bis der Zugriff erfolgt ist.
Die unbequeme Realität ist, dass die größte Schwachstelle möglicherweise nicht mehr im Protokoll selbst liegt; sie könnte sich direkt unter dem Dach des eigenen Teams befinden.
Glossar
Web3: Auf Blockchain basierende dezentrale Internetinfrastruktur
GitHub: Plattform zum Hosten und zur gemeinsamen Arbeit an Programmcode
Smart Contract: Selbstausführender Blockchain-Code
Insider-Bedrohung: Die Gefahr, die von einer Person innerhalb einer Organisation ausgeht
DeFi: Dezentrale Finanzanwendungen auf der Blockchain
Häufig gestellte Fragen zu nordkoreanischen Krypto-Agenten
Was sind nordkoreanische Krypto-Agenten?
Es handelt sich um Personen mit Verbindungen zu Nordkorea, die unter falschen Identitäten bei Krypto-Unternehmen angestellt sind.
Wie viele wurden identifiziert?
Etwa 100 Agenten in 53 Web3-Projekten.
Wer hat sie enttarnt?
Das von der Ethereum Foundation unterstützte Ketman-Projekt.
Warum ist das gefährlich?
Insider haben Zugriff auf Systeme, in die externe Hacker nicht eindringen können.
Ist das ein neues Problem?
Nein, Berichten zufolge wird diese Infiltrationsstrategie bereits seit Jahren praktiziert.
Referenzen
