„Wow, passt alles – tolle Stelle, gutes Gehalt!“ So reagieren viele auf scheinbar perfekte Stellenanzeigen in der Kryptowährungsbranche. Doch hinter diesem verlockenden Angebot steckt eine betrügerische Masche: Nordkoreanische Hacker nutzen glaubwürdig klingende Jobangebote, um an digitale Vermögenswerte zu gelangen.
Wie Reuters berichtet, zeigen neue Recherchen, Rohdaten und Interviews, dass diese Methode weit verbreitet ist, sodass Bewerber inzwischen genau prüfen, ob die Recruiter möglicherweise im Auftrag von Pjöngjang handeln. Experten, Opfer und Unternehmensvertreter beschreiben das Problem als allgegenwärtig.
Krypto-Diebstähle im Milliardenbereich
Nordkoreanische Hacker sollen allein im vergangenen Jahr Kryptowährungen im Wert von mindestens 1,34 Milliarden US-Dollar gestohlen haben, wie die Blockchain-Analysefirma Chainalysis schätzt. Beobachter der USA und der Vereinten Nationen hätten zudem erklärt, dass Pjöngjang diese Diebstähle nutze, um sein unter Sanktionen stehendes Waffenprogramm zu finanzieren.
Die Vorwürfe, dass Pjöngjang die Blockchain-Branche mit ausgeklügelten Betrugsmaschen ins Visier nimmt, sind nicht neu. Bereits Ende letzten Jahres hatte das FBI öffentlich gewarnt, dass Nordkorea die Kryptowährungsindustrie „aggressiv“ mit „komplexen und ausgefeilten“ Social-Engineering-Methoden angreife.
Reuters konnte nun neue Details liefern: Sieben Betroffene bestätigten Screenshots ihrer Unterhaltungen mit den Hackern, die bisher nicht veröffentlicht waren. Daraus wird deutlich, wie die Täter ihre Opfer gezielt täuschen.
So läuft die Hackerfalle bei Krypto-Jobangeboten ab
Üblicherweise beginnt es damit, dass ein Recruiter über LinkedIn oder Telegram ein Angebot für eine blockchain-bezogene Stelle unterbreitet. So schrieb etwa ein angeblicher Mitarbeiter von Bitwise Asset Management am 20. Januar an eine Krypto-Expertin: „Wir bauen derzeit unser Team aus. Wir suchen insbesondere Personen, die sich für Kryptowährungsmärkte begeistern.“
Weiter geht es so: Nach einem kurzen Austausch über die Stelle und das Gehalt wurden Bewerber von den Recruitern aufgefordert, eine unbekannte Website zu besuchen, um einen Fähigkeitstest zu absolvieren und ein Video aufzunehmen. An diesem Punkt wurden einige Zielpersonen misstrauisch.
So berichtete etwa der Machine-Learning-Unternehmer Olof Haglund, dass ein angeblicher Recruiter von Robinhood auf die Videoaufnahme bestand, obwohl er gefragt hatte, warum das Interview nicht über eine bekannte Plattform wie Google Meet oder Zoom stattfinden könne. Der Recruiter erklärte, die Video-Bewertung sei Teil des standardisierten Einstellungsprozesses, um Konsistenz und Fairness für alle Kandidaten zu gewährleisten.
Einige potenzielle Bewerbende erkannten die Masche rechtzeitig und beendeten die Interviews, andere fielen darauf herein und übermittelten persönliche Daten oder Videos an angebliche Recruiter. In einigen Fällen verschwanden später Kryptowährungen aus den digitalen Wallets der Opfer, und die gefälschten Profile auf Plattformen wie LinkedIn wurden gelöscht. Unternehmen reagierten unterschiedlich: Einige bestätigten, dass sie über solche Betrugsversuche informiert waren und Maßnahmen ergriffen hatten, um die entsprechenden Webdomains und Accounts zu sperren.
Gefälschte Recruiter, echte Diebstähle
Sicherheitsfirmen führen die Angriffe auf eine koordinierte nordkoreanische Operation zurück, die als „Contagious Interview“ bekannt ist. Die Ermittler stützten diese Einschätzung auf IP-Adressen, E-Mail-Adressen und andere technische Hinweise, die bereits in früheren nordkoreanischen Hackerangriffen verwendet wurden. Bei der Untersuchung wurden versehentlich offengelegte Logdateien entdeckt, die die Kontaktdaten von über 230 Zielpersonen, darunter Fachleute aus Programmierung, Management, Marketing und Beratung.
Experten erklären, dass dies nur ein kleiner Ausschnitt aus den potenziellen Opfern dieser Betrugsaktion sei, die Teil von Nordkoreas umfassenderen Aktivitäten im Bereich Kryptowährungsdiebstahl ist. Die Unternehmen berichten, dass es schwierig ist, gefälschte Recruiter-Accounts vollständig zu kontrollieren, da praktisch jeder sich als Recruiter ausgeben könne. Betrugsversuche in der Branche seien daher alltäglich und weit verbreitet.
Ein Beitrag von:
