Der menschliche Multi-Sig: Nordkoreanische Krypto-Infiltration besiegen

Das Sicherheits-Playbook hat sich geändert.

Brute-Force-Angriffe gibt es immer noch, aber die schärfere Bedrohung sieht jetzt eher aus wie ein industrialisierter Schläferagenten-Ansatz:

Böse Akteure dringen in Teams, Arbeitsabläufe und Zugriffssysteme ein und warten auf den günstigsten Moment zum Zuschlagen.

Das macht die Einstellung neuer Mitarbeiter zu weit mehr als einer Talentsuche. Jede neue technische Einstellung wird zu einer Vertrauensentscheidung mit realem Risiko für die Bilanz. Ein kompromittierter Entwickler, ein schlecht überprüfter Auftragnehmer oder ein interner Angriffsvektor kann die Onboarding-Unterlagen in Millionen an abgezogener Total Value Locked (TVL) verwandeln.

Vermögen werden für Smart-Contract-Audits ausgegeben, aber der verheerendste Sicherheitsbruch heutzutage ist die menschliche Hintertür – ein direkter Weg, den keine Softwareprüfung erkennen oder blockieren kann.

 

Ausnutzung jeder Schwachstelle

Für eine Krypto-Börse oder ein Dezentralisiertes Finanzprotokoll (DeFi) ist jede neue Einstellung im Grunde ein hochhebeliger Handel. Das Sicherheitenkapital sind die Vermögenswerte und der Markenruf der Nutzer.

Nordkoreanische, staatlich unterstützte Gruppen wie die berüchtigte Lazarus-Gruppe haben die Schläferagenten-Strategie industrialisiert. Ihre Taktiken haben sich zu komplexen, gefälschten Personalvermittler-Fallen entwickelt, die das Herz der Kryptoindustrie ins Visier nehmen.

Die Remote-First-Kultur der Kryptoindustrie macht diese Strategie besonders effektiv, da die einzige Sicherheits-Firewall die Personalabteilung (HR) ist. Daher müssen HR-Abteilungen schnell lernen, wie diese Akteure technische Verteidigungen umgehen, um Teams zu infiltrieren.

Sie müssen einen Zero-Trust-Einstellungsprozess aufbauen, um nicht nur Vermögenswerte und Marke, sondern auch die Vision zu schützen.

 

Von Protokollen zu Menschen

Laut Chainalysis stahlen nordkoreanische Bedrohungsakteure im Jahr 2025 rekordverdächtige 2,02 Milliarden US-Dollar in Kryptowährungen. Das war ein gewaltiger Anstieg von 51 % gegenüber dem Vorjahr, wobei ein erheblicher Teil auf Insider-ähnlichen Zugriff zurückzuführen war.

Die neue Strategie heißt Upstream-Infiltration.

Anstatt in ein Unternehmen einzubrechen, bewerben sie sich einfach auf eine Stelle. Sobald sie drinnen sind, kann der erfahrene Agent leicht das interne Netzwerk kartieren und jede Hot Wallet identifizieren. Das Ergebnis ist nicht nur ein Verlust von Geldern, sondern auch eine vollständige Unterwanderung der Logik des Protokolls.

Dieser Wandel wird am besten durch verheerende Social-Engineering-Angriffe und Infrastrukturmanipulationen veranschaulicht, die die Sicherheitsstandards von Börsen und Protokollen neu definiert haben.

Im Februar 2025 kompromittierte die Lazarus-Gruppe die Entwicklungsumgebung der Infrastruktur, auf die Bybit angewiesen war. Sie injizierten bösartigen Code in die Wallet-Oberfläche und täuschten Betreiber dazu, blind zu signieren, was wie „Routineüberweisungen“ aussah.

Dies führte zu einem Rekordverlust von 1,5 Milliarden US-Dollar und zeigte eine kritische Schwachstelle auf. Die Sicherheit einer Börse ist nur so stark wie die Integrität der Personen, die ihre Bereitstellungspipeline verwalten.

Im April 2026 erlitt die Kelp-Dezentralisierte Autonome Organisation (DAO) einen 292-Millionen-Dollar-Exploit, der mit der TraderTraitor-Untergruppe von Lazarus in Verbindung stand. Untersuchungen ergaben, dass die Angreifer erfolgreich als Mitwirkende in das Projekt eingedrungen waren.

Sie vergifteten den Verifizierungsprozess des Protokolls und zwangen ein Failover zu bösartiger Infrastruktur.

Das ist eine deutliche Erinnerung daran, dass „dezentralisiert“ nicht „unhackbar“ bedeutet, wenn die Kernmitwirkenden kompromittiert sind. Es ist eine ernüchternde Lektion, dass ein Protokoll nur so unveränderlich ist wie die Integrität seiner Entwickler.

 

Anatomie der Falle

Die Infiltration beginnt lange vor dem ersten Zoom-Call.

• Angreifer erstellen ganze digitale Lebensläufe, um Arbeitsnachweise zu liefern, die selbst die skeptischsten Personalvermittler überzeugen.

• Operative nutzen oft gefälschte Risikokapital- (VC) oder Personalvermittlungsfirmen, um eine einjährige Spur aufzubauen. Dazu gehören technische Blogs, LinkedIn-Empfehlungen und GitHub-Commits.

Sie hören nicht auf bei der Zusendung eines Lebenslaufs. Stattdessen präsentieren sie ein kuratierte, KI-gestützte digitale Existenz, die wie ein hochrangiger Krypto-Native aussieht.

In anderen Fällen gibt sich der Agent als Personalvermittler einer renommierten Börse oder VC-Firma aus. Er kontaktiert aktuelle Entwickler eines Projekts mit Jobangeboten, die eine technische Testaufgabe erfordern. In Wirklichkeit ist es eine Täuschung, die als Übertragungsmechanismus für Malware dient.

Genau das geschah im Fall von Veltrix Capital, das keine echte Personalvermittlungsfirma war. Es wurde entwickelt, um Krypto-Entwickler in einen gefälschten Bewerbungsprozess zu locken und sein Social-Engineering-Projekt zu starten.

 

Coding-Tests als trojanische Pferde

Die technische Bewertungsphase ist der ultimative Einstiegspunkt in die Wallet-Sicherheit eines Krypto-Projekts. In einem Standard-Einstellungsprozess ist es üblich, dass ein Kandidat ein Repository zur Überprüfung an einen leitenden Entwickler sendet.

• Abhängigkeitsvergiftung: Forscher von ReversingLabs haben bösartige Pakete identifiziert wie graphalgo (auf PyPI) und bigmathutils (auf npm), die speziell in diesen Heimtests verwendet werden.

• Die Nutzlast: Sobald ein Einstellungsleiter oder leitender Entwickler npm install ausführt, um die Arbeit des Kandidaten zu überprüfen, wird ein Post-Installationsskript ausgeführt.

• Das Ergebnis: Ein Remote-Access-Trojaner (RAT), oft eine Variante des BeaverTail-Infostealers, wird installiert. Er überprüft sofort die MetaMask-Browsererweiterung und exfiltriert Sitzungs-Cookies.

Die Malware-Übertragung ist abgeschlossen. Dies verschafft dem Angreifer Zugriff auf interne Slack-, GitHub- und Produktionsumgebungen.

Erkennen von Warnsignalen während Gesprächen

Das Erkennen nordkoreanischer Agenten erfordert, über technische Fähigkeiten hinauszuschauen und sich auf Inkonsistenzen während Zoom-Gesprächen zu konzentrieren.

1. Achten Sie auf anhaltende technische Probleme oder Bandbreiten-Ausreden, die Videoauftritte verhindern während detaillierter technischer Diskussionen.

2. Seien Sie aufmerksam gegenüber Echtzeit-KI-Stimmenklonen oder seltsamen Antwortverzögerungen. Diese Identitäts-Stimmen-Unstimmigkeit tritt auf, wenn eine Person spricht, während eine andere im Hintergrund technische Antworten liefert.

3. Es gibt eine offensichtliche Fähigkeits-Reife-Unstimmigkeit, wenn ein Senior-Rust-Kandidat bei spontanen Whiteboard-Aufgaben zu DeFi-Primitiven scheitert. Wenn er nur arbeiten kann, wenn er sein Team konsultiert, ist er wahrscheinlich nicht der, der er vorgibt zu sein.

4. Schließlich achten Sie auf statische oder verschwommene Homeoffice-Filter, die nicht mit der Beleuchtung oder Bewegung des Kandidaten übereinstimmen. Diese visuellen Inkonsistenzen sind oft das Ergebnis von Echtzeit-Deepfake-Software, die die Persona des Agenten aufrechterhält.

 

Der menschliche Bug

Organisationen müssen ein Zero-Trust-Recruitment-Framework implementieren, um ihre Schatzkammer vor dem menschlichen Bug zu schützen. Ein solches Framework muss eine strenge, mehrschichtige Verifizierung enthalten, bevor interne Berechtigungen erteilt werden.

Ein Zero-Trust-Einstellungsrahmen ersetzt glaubensbasierte Rekrutierung durch einen sicherheitsgehärteten Validierungszyklus, bei dem keine Referenz gültig ist, bis sie bewiesen wurde. Projekte neutralisieren die Bedrohung durch fortgeschrittene synthetische Bewerber, indem sie Identitäten verankern und Fähigkeiten in Echtzeit überprüfen.

Im Web3 ist jede Einstellung eine Investition in die Protokollverwahrung und fügt somit einen neuen Unterzeichner zur Multi-Sig einer Organisation hinzu. Mit zunehmender Komplexität der Hackerstrategien müssen Remote-HR-Abteilungen weiterhin über Sicherheitsverletzungen geschult werden und strenge Überprüfungen durchführen, bevor sie Verträge an potenzielle Mitarbeiter freigeben.

Wie man Zero-Trust-Recruitment implementiert

Social Operational Security (Social OpSec) ist ein defensives Framework, das darauf ausgelegt ist, den digitalen Fußabdruck eines Teams zu bereinigen. Es stellt sicher, dass fragmentierte öffentliche Daten nicht von staatlich unterstützten Akteuren gesammelt werden können, um einen komplexen organisatorischen Angriff zu konstruieren.

Die Einstellungs-Pipeline eines Protokolls muss so sicher sein wie seine Smart Contracts, um die Vermögenswerte der Stakeholder zu schützen. Dazu wird die sofortige Umsetzung folgender Schritte empfohlen:

• Identitätsbasierte Verifizierung: Verwenden Sie einen Echtzeit-ID-Verifizierungsdienst (wie Jumio oder Clear), um die Identität des Kandidaten anhand seines amtlichen Ausweises zu bestätigen. Dies muss während des ersten Videoanrufs erfolgen.

• Sandboxed technische Bewertungen: Führen Sie niemals den Code eines Kandidaten auf einem lokalen Rechner aus. Verwenden Sie isolierte, temporäre Cloud-Umgebungen wie Gitpod oder Replit, um Code zu überprüfen und auszuführen. Dies ist das Einstellungsäquivalent zur Verwendung einer „Burn Wallet“ für riskante Mints.

• Live-Coding mit Kamera: Ersetzen Sie Heimtests durch Live-, interaktive Whiteboard- oder Coding-Sitzungen. Dies verhindert, dass Kandidaten die Arbeit an ein Hintergrundteam auslagern.

• Überprüfen Sie Ihre Abhängigkeiten: Bevor Sie ein externes Repository prüfen, scannen Sie die Konfigurationsdateien (wie package.json) nach unbekannten oder wenig heruntergeladenen Paketen. Diese könnten typosquattierte Versionen legitimer Tools sein.

 

Jenseits der Firewall

Sicherheit ist im Jahr 2026 nicht mehr nur die Verantwortung des Chief Technical Officer (CTO); sie beginnt mit der Personalabteilung.

Die Fälle von Kelp DAO und Bybit zeigen, dass selbst die robustesten technischen Setups durch einen einzigen kompromittierten, vertrauenswürdigen Menschen zunichte gemacht werden können. Ein Zero-Trust-Einstellungsmodell hilft sicherzustellen, dass neue Mitarbeiter da sind, um die Vision aufzubauen, nicht sie zu zerstören.

Jede Einstellung mit der gleichen Sorgfalt zu behandeln wie Multi-Millionen-Dollar-Trades ist der einzige Weg, um die langfristige Überlebensfähigkeit eines Protokolls zu sichern.

 

Wie man Krypto auf Toobit kauft

Um Krypto auf Toobit zu kaufen, erstellen Sie ein Konto, schließen Sie die Verifizierung ab und gehen Sie zu „Krypto kaufen“. Wählen Sie einen Token, eine Zahlungsmethode und bestätigen Sie den Kauf. Ihre Vermögenswerte erscheinen im Spot-Konto, sobald die Transaktion abgeschlossen ist.

Herzlichen Glückwunsch, Sie wissen jetzt, wie man Krypto auf Toobit kauft!