40 DeFi-Plattformen von Nordkoreanern infiltriert

Sicherheitsforscherin Taylor Monahan hat mindestens 40 DeFi-Plattformen identifiziert, die von nordkoreanischen IT-Arbeitern infiltriert wurden. Die Operation läuft seit rund sieben Jahren und nutzt gefälschte Identitäten aus Malaysia, Vietnam und Japan als Tarnung. Die Entdeckung offenbart eine systemische Schwachstelle in der Open-Source-Entwicklungskultur des Ethereum (ETH)-Ökosystems.

Die systematische Infiltration nordkoreanischer IT-Agenten

Die Liste umfasst mindestens 40 Protokolle, die zu unterschiedlichen Zeitpunkten ihrer Entwicklung von nordkoreanischen IT-Arbeitern infiltriert wurden.

Monahan, als erfahrene Entwicklerin im Ethereum (ETH)-Ökosystem bekannt, hat ein strukturelles Muster aufgedeckt, das weit über einzelne Sicherheitsvorfälle hinausgeht. Nordkoreanische Agenten arbeiten seit etwa 2017 – dem Beginn der breiten Krypto-Wissen Übersicht-Ära – als Remote-Entwickler in DeFi-Projekten. Diese Langfriststrategie zielt nicht auf kurzfristige Diebstähle ab, sondern auf die subtile Kompromittierung von Infrastruktur.

Die IT-Arbeiter nutzen dabei gefälschte Identitäten aus Südostasien. Sie posieren als Softwareentwickler aus Malaysia, Vietnam oder Japan. Diese geografische Tarnung ermöglicht es ihnen, in global verteilten Teams zu arbeiten, ohne direkte physische Überprüfung zu riskieren. Die Wahl dieser Länder ist strategisch: Sie gelten als technisch versiert, besitzen aber oft weniger stringente digitale Identitätsüberprüfungssysteme als westliche Staaten.

Methodik der Unterwanderung

Die Infiltration folgt einem standardisierten Prozedere. Die Agenten durchlaufen etablierte Einstellungsprozesse mit gefälschten Lebensläufen und manipulierten Referenzen. Ihre technischen Fähigkeiten sind oft hochklassig, was die Entdeckung erschwert und die Integration in Entwicklerteams beschleunigt. Besonders brisant: Viele dieser Entwickler arbeiten nicht als externe Berater, sondern als Core-Contributors mit direktem Commit-Zugriff auf Code-Repositories.

Die Bezahlung für ihre Arbeit fließt indirekt in das nordkoreanische Regime. Über komplexe Zahlungsrouten über mehrere Jurisdiktionen gelangen die Gelder schließlich in staatliche Kassen. Diese Strategie dient primär der Umgehung internationaler Sanktionen, die den direkten Zahlungsverkehr mit Nordkorea unterbinden. Das US-Finanzministerium hatte bereits 2023 vor diesem Modus operandi gewarnt und Unternehmen zur verstärkten Sorgfaltspflicht aufgerufen.

Historischer Kontext: Nordkoreas Cyberkriegsführung

Die aktuelle Entdeckung reiht sich ein in die lange Geschichte nordkoreanischer Cyberaktivitäten. Die mit dem Regime verbundene Lazarus Group gilt als eine der professionellsten staatlichen Hackergruppen weltweit. Ihre bisherigen Operationen umfassten den Raub von über einer Milliarde Dollar an Krypto-Assets, darunter der berüchtigte Angriff auf die Ronin-Bridge von Axie Infinity.

Der strategische Einsatz von IT-Arbeitern unterscheidet sich jedoch qualitativ von bisherigen Angriffen. Statt externer Hacks handelt es sich um interne Infiltration. Diese Methode ist ressourceneffizienter und schwerer nachzuweisen. Während ein Hack öffentlich sichtbar ist, bleibt ein kompromittierter Entwickler potenziell unentdeckt, bis er aktiv wird. Die siebenjährige Operationsdauer deutet auf eine patiencebasierte Strategie hin, die langfristige geopolitische und finanzielle Ziele verfolgt.

Das Ökosystem der Tarnung

Die nordkoreanischen Agenten agieren nicht isoliert. Es existiert ein Unterstützungsnetzwerk aus Identitätsfälschern, VPN-Infrastrukturen und Zwischenzahlern. Diese Strukturen ermöglichen es den Entwicklern, über Jahre hinweg glaubwürdige Online-Identitäten aufzubauen. GitHub-Profile werden mit legitimen Commits aus anderen Projekten angereichert, teilweise durch Übernahme bestehender Accounts oder durch jahrelanges "Farming" von Reputation in Open-Source-Projekten.

Die geografische Tarnung in Südostasien ist dabei besonders effektiv. Die Zeitzone ermöglicht synchrone Zusammenarbeit mit europäischen und amerikanischen Teams, während die kulturelle Distanz zu Westen und Norden gleichermaßen plausible Abgrenzung schafft. Die Behauptung, aus einem Land mit wachsender Tech-Industrie zu stammen, wirft weniger Fragen auf als Bewerbungen aus isolierten Regionen.

Warum traditionelle Sicherheitsarchitekturen versagen

Der DeFi-Sektor basiert auf der Philosophie der Dezentralisierung und pseudonymer Teilhabe. Diese Grundsätze schließen traditionelle Identitätsprüfungen weitgehend aus. Während Krypto-Börsen im Vergleich strikte KYC-Verfahren implementieren müssen, agieren Open-Source-Entwickler oft unter Nicknames. Diese Diskrepanz zwischen zentralisierten Börsen und dezentralisierten Protokollen schafft eine gefährliche Sicherheitslücke.

Smart Contract-Audits durch renommierte Sicherheitsfirmen konzentrieren sich auf Code-Qualität und technische Sicherheit, nicht auf die Herkunft oder Identität der Entwickler. Ein Audit prüft nicht, ob der Commit von einem nordkoreanischen Agenten stammt. Die technische Korrektheit des Codes sagt nichts über die Absichten des Autors aus. Diese Trennung zwischen Code und Entwickleridentität ist ein systemisches Risiko, das bisher unterschätzt wurde.

Das Strukturproblem dezentraler Entwicklung

GitHub-Accounts und ähnliche Plattformen lassen sich mit minimalem Aufwand erstellen. Referenzen können gefälscht oder gekauft werden. Video-Interviews lassen sich durch KI-Deepfakes oder bezahlte Mittelsmänner manipulieren. Die globale Natur der Blockchain-Entwicklung macht physische Überprüfungen unmöglich. Ein Projekt, das Ethereum kaufen und entwickeln möchte, agiert notwendigerweise global. Dies schließt legitime Entwickler aus Krisengebieten oder Entwicklungsländern nicht aus, öffnet aber Türen für staatliche Akteure, die systematisch diese Lücken ausnutzen.

Besonders problematisch ist die Governance-Struktur vieler DAOs. Dezentrale autonome Organisationen treffen Entscheidungen über Code-Updates oft durch Abstimmungen von Token-Holdern. Wenn jedoch die Entwickler selbst kompromittiert sind, können sie technische Vorschläge einbringen, die im besten Fall subtile Schwachstellen enthalten. Die demokratische Legitimation durch Token-Voting schützt nicht vor manipulierten Informationen, die den Wählern präsentiert werden.

Regulatorischer Rahmen und Sanktionsrisiken

Das US-Office of Foreign Assets Control (OFAC) sanktioniert nordkoreanische IT-Arbeiter seit 2022 explizit. Protokolle, die diese Entwickler beschäftigen – auch unwissentlich – riskieren sekundäre Sanktionen. Dies betrifft insbesondere US-basierte Teams, Investoren oder jegliche Entitäten mit amerikanischen Geschäftsbeziehungen. Die strikte Haftung (strict liability) im Sanktionsrecht bedeutet, dass Unkenntnis keine Entschuldigung darstellt.

Für das DEX-Ökosystem und DeFi-Protokolle entsteht hier ein Compliance-Dilemma. Die Dezentralisierung verhindert effektive Kontrollmechanismen, während die regulatorische Verantwortung dennoch bei den verbleibenden zentralen Akteuren liegt. Projekte müssen nun zwischen der Open-Source-Ideologie und regulatorischen Anforderungen wählen. Die Implementierung von Identitätsprüfungen für Entwickler widerspricht ursprünglichen DeFi-Prinzipien, ist aber zunehmend unvermeidlich.

Rechtliche Konsequenzen für Nutzer

Nutzer, die mit kompromittierten Protokollen interagieren, können indirekt rechtliche Risiken eingehen. Die Interaktion mit sanktionierten Entitäten, selbst unwissentlich, kann in bestimmten Jurisdiktionen zu Untersuchungen führen. Darüber hinaus besteht das unmittelbare finanzielle Risiko des Totalverlusts durch gezielte Exploits oder Ausplünderung von Treasury-Reserven. Die Trennung von Custody – das Halten von Assets in Non-Custodial Wallets – gewinnt an Bedeutung, kann aber nicht vor fehlerhaftem Protokoll-Code schützen.

Sicherheitsmaßnahmen für DeFi-Projekte

Die Enthüllung zwingt DeFi-Projekte zu einem Paradigmenwechsel. Reine Code-Audits reichen nicht mehr aus. Projekte müssen Supply-Chain-Sicherheit für menschliche Ressourcen etablieren, vergleichbar mit traditioneller Industriespionage-Abwehr. Einige Protokolle setzen bereits auf Multi-Sig-Strukturen für Deployments. Dies verhindert, dass einzelne kompromittierte Entwickler Schadcode allein einschleusen können. Andere verlangen verifizierte Identitäten für Zugang zu sensiblen Repositories oder implementieren Time-Delays bei Upgrades.

Diese Maßnahmen verändern jedoch das Wesen von DeFi. Pseudonymität war ein Kernversprechen des Sektors. Ihr Verlust könnte talentierte Entwickler abschrecken, die aus legitimen Gründen anonym bleiben möchten – sei es aus politischer Verfolgung, Datenschutzbedenken oder persönlicher Sicherheit. Die Branche steht vor dem Dilemma, Sicherheit und Dezentralisierung in Einklang zu bringen.