Nordkorea-Hacker in Krypto: 53 Projekte betroffen!

Das Ketman-Projekt entdeckte, was Venture Capital übersah

Im März 2024 veröffentlichte ein von der Ethereum Foundation finanziertes Forschungsprogramm Ergebnisse, die sofortige Portfolio-Überprüfungen bei institutionellen Krypto-Investoren hätten auslösen sollen. Das Ketman-Projekt – benannt nach dem Konzept der krypto-islamischen Dissimulation – identifizierte 100 nordkoreanische IT-Arbeiter, die in 53 aktiven Kryptowährungsprojekten eingebettet waren. Keine Start-ups, die scheiterten. Keine verlassenen Discord-Server. Aktive Plattformen, die Nutzergelder verwalten.

Dies ist keine Theorie. Dies ist ein Infrastrukturrisiko, das Handelssysteme und Compliance-Beauftragte nicht einkalkuliert hatten.

Wie nordkoreanische Arbeitskräfte in Web3 infiltrierten

Der Mechanismus ist einfach genug, dass er offensichtlich hätte sein sollen. Nordkorea mangelt es an Devisen und Spitzentechnologie. Westliche Krypto-Firmen benötigen Entwickler günstig und ohne Fragen. Die Übereinstimmung war vorhersehbar.

Laut der Forschung des Ketman-Projekts agieren DPRK-Operatoren typischerweise:

arbeiten remote unter falschen Identitäten,
leiten Kryptowährungserträge über Krypto-Mixer und Exchange-Konten nach Pjöngjang zurück,
operieren gleichzeitig über mehrere Projekte, um das Risiko zu verteilen,
und nutzen dezentrale Finanzplattformen gezielt, da diese keine menschzentrierte Identitätsprüfung erfordern.

Was diese Infiltration ermöglichte, war eine regulatorische Lücke, die immer noch besteht. Die meisten Krypto-Projekte führen Hintergrundüberprüfungen über Drittanbieter-Screening-Dienste durch. Diese Dienste verlassen sich auf staatliche Datenbanken, Sanktionslisten und öffentliche Aufzeichnungen. Nordkoreanische Arbeiter tauchen in diesen Systemen nicht auf. Sie erscheinen im Internet als Auftragnehmer aus Vietnam oder Freiberufler aus Osteuropa, komplett mit gefälschten Portfolios auf GitHub.

Die Größenordnung ist wichtiger, als Sie denken

Hundert Arbeiter in dreiundfünfzig Projekten sind kein Rundungsfehler. Es ist eine Infrastrukturpräsenz.

Zur Einordnung: Der Chainalysis-Bericht von 2023 über Sanktionsumgehung dokumentierte im vergangenen Jahr rund 14,5 Milliarden US-Dollar an Kryptowährungen, die an sanktionierte Einheiten geflossen sind. Die Erkenntnisse des Ketman-Projekts deuten darauf hin, dass ein erheblicher Teil der technischen Kapazität, die diesen Fluss ermöglichte, von DPRK-Staatsoperateuren aufgebaut, gewartet und überwacht wurde, die in von amerikanischen und europäischen Investoren finanzierte Projekte eingebettet waren.

Die operative Implikation ist gravierend. Wenn ein DPRK-Operator Code-Zugriff auf einen Smart Contract hat, kann dieser Operator potenziell Backdoors einfügen, Gelder umleiten oder private Schlüssel exfiltrieren. Die Wahrscheinlichkeit einer Entdeckung sinkt erheblich, wenn der Betreiber über Monate oder Jahre hinweg eine vertrauenswürdige Historie innerhalb der Organisation hat.

Was bedeutet das für institutionelle Risikomodelle?

Algorithmische Handelssysteme und quantitative Hedgefonds haben begonnen, die Bewertung geopolitischer Risiken in ihre Positionsbestimmungsmodelle zu integrieren. Systeme, die im ersten Quartal 2024 – nach der Offenlegung durch das Ketman-Projekt – Krypto-Exposures verwalteten, mussten ihre Kontrahentenrisiko-Algorithmen neu kalibrieren. Ein Protokoll mit eingebetteter DPRK-Infrastruktur birgt rechtliche und reputationsbezogene Tail-Risiken, die Modelle, die nur auf historischen Kursbewegungen basieren, nicht erfassen.

BlackRock und Fidelity, die im Januar 2024 Spot-Bitcoin-ETFs auflegten, mussten dies in ihren Compliance-Frameworks berücksichtigen. Keines der Unternehmen hat öffentlich offengelegt, wie sie die Infiltration durch staatliche Arbeitskräfte in ihre Due-Diligence-Modelle einbezogen haben. Die Tatsache jedoch, dass weder die Ethereum Foundation noch große institutionelle Investoren sofortige Rückzugsmitteilungen veröffentlichten, deutet darauf hin, dass der Markt diese Informationen ohne Preisabschlag absorbierte. Diese Asymmetrie ist für die Portfolio-Konstruktion bemerkenswert.

Die Compliance-Systeme versagten, bevor Ketman das Problem fand

Das ist der unangenehme Teil: Niemand in der bestehenden Compliance-Infrastruktur der Kryptoindustrie hat dies bemerkt. Nicht die Börsen, die Transaktionen abwickeln. Nicht die Venture-Capital-Firmen, die diese Projekte finanzierten. Nicht die Wallet-Sicherheitsfirmen. Die Ethereum Foundation musste eine separate Untersuchung bezahlen, um aufzudecken, was für KYC-Anbieter offensichtlich hätte sein sollen.

Chainalysis, das Unternehmen, auf das sich Krypto-Börsen für Sanktionsprüfungen verlassen, veröffentlichte erst nach den Erkenntnissen des Ketman-Projekts einen speziellen Bericht über die Infiltration durch DPRK-Arbeitskräfte. Elliptic, ein weiterer großer Blockchain-Intelligence-Anbieter, folgte Wochen später mit ähnlichen Warnungen. Die Tatsache, dass beide Unternehmen reaktiv statt proaktiv waren, ist ein Signal dafür, wie die Krypto-Compliance strukturiert ist: Sie ist darauf ausgelegt, offensichtliche Finanzströme zu erkennen, nicht Beschäftigungsnetzwerke.

Laut Reuters-Berichten über die Ketman-Enthüllung entfernten mehrere identifizierte Projekte DPRK-gebundene Entwickler innerhalb von 48 Stunden nach Veröffentlichung des Berichts aus ihren Teams. Diese Geschwindigkeit deutet darauf hin, dass die Entwickler nicht tief versteckt waren. Sie waren da. Die Branche hat einfach nicht hingesehen.

Warum algorithmische Handelssysteme überstürzt handeln

Systematische Händler nutzen Risikosignale Schicht für Schicht. Die traditionellen Schichten sind: Preisdynamik, Volatilitätsregime, Orderbuchstruktur, Korrelation mit Makroereignissen und Gegenparteinsolvenz. Geopolitische Risiken waren für Krypto-Handelssysteme historisch gesehen eine sekundäre Überlegung, da die regulatorische Durchsetzung als unvorhersehbar und langsam galt.

Die Enthüllung des Ketman-Projekts änderte diese Kalkulation. Wenn ein Protokoll eingebettete staatliche Arbeitskräfte hat, verschiebt sich das Risiko einer regulatorischen Durchsetzung von geringer Wahrscheinlichkeit zu hoher Wahrscheinlichkeit und von langsam zu unmittelbar. Protokolle, die im Bericht genannt wurden, verzeichneten Abflüsse. Einige verzeichneten in den Wochen nach der Offenlegung Preisdruck.

Systematische Fonds, die Krypto-Allokationen verwalteten, mussten ihre Risikomodelle um eine neue Variable ergänzen: eingebettetes geopolitisches Risiko. Das ist nicht trivial. Es bedeutet eine Neukalibrierung von Korrelationsmatrizen und Positionsbestimmungslogik für etwas, das keine lange historische Datenbasis hat.

Das Gegenargument: Dies könnte die Bedrohung überbewerten

Fairerweise muss man sagen, dass die Forscher des Ketman-Projekts nicht nachgewiesen haben, dass alle hundert Arbeiter aktiv Spionage betrieben oder bei der Umgehung von Sanktionen geholfen haben. Einige mögen legitime Entwickler gewesen sein, die zufällig Nordkoreaner waren und remote für Kryptowährungen arbeiteten – was für jemanden in einem sanktionierten Land mit Zugang zu Internetinfrastruktur wirtschaftlich rationales Verhalten ist.

Die Unterscheidung ist rechtlich wichtig. Nordkoreaner zu sein und in der Krypto-Branche zu arbeiten, ist nicht automatisch dasselbe wie ein Agent des DPRK-Staates zu sein. Einige der identifizierten Arbeiter könnten Überläufer, Dissidenten oder einfach Menschen gewesen sein, die unter den Einschränkungen des Regimes wirtschaftlich überleben wollten. Die Bezeichnung aller hundert als staatliche Operatoren durch das Ketman-Projekt vermischt Präsenz mit Absicht.

Allerdings – und das ist ein bedeutendes Aber – hat sich die Wahrscheinlichkeitsverteilung dennoch verschoben. Selbst wenn nur 20 Prozent dieser Arbeiter aktiv mit staatlichen Geheimdiensten koordiniert haben, sind das immer noch zwei Dutzend staatliche Agenten, die in die Krypto-Infrastruktur eingebettet sind. Das reicht aus, um erheblichen operativen Schaden anzurichten.

Was passiert als Nächstes

Die unmittelbare Folge war bürokratisch. Die Ethereum Foundation veröffentlichte Empfehlungen für die Projektprüfung. Coinbase und andere große Börsen verschärften ihre Prozesse zur Einstellung von Entwicklern. Einige Projekte veröffentlichten proaktiv Erklärungen zu ihrer technischen Teamzusammensetzung.

Die längerfristigen Auswirkungen hängen von der Durchsetzung ab. Wenn das US-Finanzministerium oder europäische Regulierungsbehörden Sanktionen gegen die im Ketman-Bericht identifizierten Projekte verhängen, steigen die Kosten für die Beschäftigung von DPRK-Arbeitern sprunghaft an. Wenn nichts geschieht – wenn die Protokolle keine rechtlichen Konsequenzen erfahren –, dann steigt der Anreiz für zukünftige Infiltrationen tatsächlich.

Ein spezifischer Datenpunkt, der beobachtet werden sollte: Die Sanktionsliste des Office of Foreign Assets Control (OFAC) ist öffentlich und wird regelmäßig aktualisiert. Wenn eines der dreiundfünfzig im Ketman-Bericht identifizierten Projekte sechs Monate nach dieser Veröffentlichung auf der SDN-Liste (Specially Designated Nationals) des OFAC erscheint, signalisiert dies, dass die regulatorische Durchsetzung voranschreitet. Ende Q1 2024 waren noch keine größeren Protokolle aus der Ketman-Offenlegung formell sanktioniert worden, was entweder auf eine langsame Durchsetzung oder eine bewusste Zurückhaltung hindeutet.

Häufig gestellte Fragen

Was ist das Ketman-Projekt?

Das Ketman-Projekt ist eine von der Ethereum Foundation finanzierte Forschungsinitiative, die die Infiltration von staatlichen Arbeitskräften in Kryptowährungsprojekten untersucht. Das Projekt veröffentlichte im März 2024 Ergebnisse, die 100 nordkoreanische IT-Arbeiter auf 53 aktiven Krypto-Plattformen identifizierten, unter Einsatz von fortschrittlicher Threat Intelligence und forensischer Analyse von Beschäftigungsnetzwerken und digitalen Signaturen.

Wie wurden nordkoreanische Arbeiter von Krypto-Projekten eingestellt?

DPRK-Operatoren bewarben sich typischerweise als Remote-Auftragnehmer von falschen Standorten (Vietnam, Osteuropa) und stellten gefälschte Portfolios auf Plattformen wie GitHub zur Verfügung. Krypto-Projekte stellen oft remote ohne strenge Hintergrundüberprüfung ein, was es Bewerbern leicht macht, ihre Nationalität und ihre Verbindung zu staatlichen Geheimdiensten falsch darzustellen.

Könnte sich das auf meine Bitcoin- oder Ethereum-Bestände auswirken?

Nicht direkt. Bitcoin und Ethereum selbst sind dezentrale Protokolle, die nicht in den Ketman-Erkenntnissen genannt wurden. Das Risiko betrifft spezifische Altcoins und DeFi-Projekte, die im Bericht genannt werden. Wenn Sie Altcoins von diesen dreiundfünfzig Projekten halten und diese regulatorischen Sanktionen ausgesetzt sind, könnten die Auswirkungen auf Liquidität und Preis gravierend sein.

Warum haben Krypto-Börsen das nicht früher bemerkt?

Bestehende Compliance-Systeme wie die von Chainalysis konzentrieren sich auf die Erkennung von Finanzströmen und sanktionierten Entitäten, nicht auf Beschäftigungsnetzwerke. Nordkoreanische Arbeiter, die unter falschen Identitäten arbeiten, tauchen nicht in öffentlichen Datenbanken oder staatlichen Sanktionslisten auf, sodass traditionelles KYC-Screening sie komplett übersehen hat.

Untersucht die US-Regierung die im Bericht genannten Projekte?

Das Ketman-Projekt hat seine Erkenntnisse an die zuständigen Behörden weitergeleitet, aber Mitte 2024 wurden noch keine formellen OFAC-Sanktionen gegen die dreiundfünfzig identifizierten Projekte verhängt. Ob es zu Durchsetzungsmaßnahmen kommt, hängt davon ab, ob das Finanzministerium feststellt, dass die Projekte wissentlich DPRK-Operatoren beschäftigt haben, im Gegensatz zur Unkenntnis über falsch dargestellte Bewerberidentitäten.

Das Fazit

Die Enthüllung des Ketman-Projekts, dass dreiundfünfzig aktive Kryptowährungsprojekte nordkoreanische Agenten beschäftigen, ist kein preisbewegendes Ereignis. Es ist ein Ereignis für die Risikoinfrastruktur. Es beweist, dass das Compliance-Ökosystem der Kryptoindustrie reaktiv und nicht proaktiv ist und dass Staaten erfolgreich in dezentrale Finanzen auf der Ebene der Entwickler eingedrungen sind.

Für Portfoliomanager: Dies ist ein Tail-Risiko, das in Ihrer Szenariomodellierung erscheinen sollte. Für Händler: Betrachten Sie jedes im Ketman-Bericht identifizierte Protokoll als mit erhöhtem regulatorischem Risiko und Wahrscheinlichkeit für Preisschocks behaftet. Für die Branche selbst: Die Abwesenheit sofortiger Durchsetzungsmaßnahmen ist kein Beweis für Sicherheit. Es ist ein Beweis dafür, dass die regulatorische Kapazität immer noch dabei ist, mit der Bedrohung Schritt zu halten.

Die spezifische Erkenntnis lautet: Hundert Arbeiter, dreiundfünfzig Projekte, null bestätigte Sanktionen. Diese Lücke ist die eigentliche Geschichte.