Builderen der ikke fandtes: Nordkorea, AI-personaer og falsk kode

I august 2026, på hackerkonferencen DEF CON 34 i Las Vegas, fremlagde tre sikkerhedsforskere en virksomhed, der aldrig havde til hensigt at sælge noget som helst. Den hed Ballena Azul, udgav sig for at være en decentraliseret finans-protokol under opbygning, og dens eneste egentlige produkt var et spørgsmål: hvis man slår en udviklerstilling op i krypto, hvem søger så i virkeligheden? Mauro Eldritch fra BCA LTD, Heiner García fra NorthScan og analysefirmaet ANY.RUN lagde jobannoncer på GitHub, kørte helt almindelige ansættelsessamtaler og hyrede tre ingeniører ind på overvågede virtuelle maskiner. Alle tre bar tydelige kendetegn på at være nordkoreanske operatører, der arbejdede under stjålne og AI-genererede identiteter, fremgik det af forskernes gennemgang.

Pointen var ikke kun spionage. Pointen var, at builderen, den mest dyrkede identitet i hele kryptokulturen, kan forfalskes fra ende til anden. Et GitHub-navn, en grøn commit-graf, en poleret portefølje, en veltalende jobsamtale: hvert enkelt af de signaler, branchen bruger til at afgøre, om nogen er en rigtig builder, kan i 2026 fremstilles på bestilling. Og når signalet kan købes, siger det ikke længere noget om mennesket bag.

HOGE Wire har gennem hele 2026 fulgt builderen som statusklasse: kulten om dem der bygger, økonomien der betaler dem, det anonyme håndværk, og hvad kunstig intelligens gør ved koden. Denne historie handler om spejlbilledet. Når man ærer en profil i stedet for et menneske, bygger man samtidig en angrebsflade. I år begyndte den angrebsflade at koste milliarder.

Da builderen blev et statussymbol, og statussymboler kan forfalskes

Krypto opfandt et ord for sin egen adel. Builderen er ikke bare en programmør; det er en moralsk position, et bevis på at man skaber værdi frem for blot at spekulere. Statussen aflæses af nogle få bærbare signaler: at man »shipper« (leverer kode), at ens GitHub-profil er tæt og aktiv, at man har et spor af projekter bag sig, og at et håndtag på nettet er blevet et navn, folk kender. Det smukke ved de signaler er, at de rejser på tværs af grænser og ikke kræver et ansigt. Det farlige er nøjagtig det samme.

For alt, hvad der kan aflæses uden et menneske til stede, kan også fremstilles uden et menneske til stede. En track record er data. Et ry er et tal. Og da stifterinterviewet blev et medieformat, der sælger en fortælling, blev fortællingen løsrevet fra den, der fortalte den. Den forfalskede builder er ikke en fejl i kulturen. Den er kulturens logiske slutpunkt: hvis identitet er en samling signaler, kan identitet fabrikeres signal for signal.

Ballena Azul: da forskerne byggede en falsk startup for at fange falske buildere

Eksperimentet var elegant i sin enkelhed. I stedet for at teoretisere om, hvor let det er at snyde en ansættelsesproces i krypto, gennemførte forskerne processen for øjnene af sig selv. De tre kandidater, de endte med at hyre, afslørede tilsammen hele værktøjskassen bag den syntetiske udvikler.

Den første opgav bopæl i Texas, fremviste et kørekort fra Californien og brugte en bankkonto i New York. Da forskerne kiggede på metadataene i ansøgerens billede, var det behandlet i Google Gemini og bar SynthID, Googles usynlige vandmærke for AI-genereret indhold. Den anden leverede et Texas-kørekort, et gyldigt personnummer og en bankkonto i Kansas City. Den tredje sendte et New York-kørekort, der tilhørte en helt anden person, sammen med et ægte iPhone 15-foto, hvor GPS-dataene var pillet ud, ifølge gennemgangen fra DEF CON 34.

Under overfladen kørte en industriel infrastruktur. Operatørerne brugte relæ-tjenesten 2fa.cn til at få tofaktor-koder videre, AstrillVPN som exit-noder, og en stribe browserudvidelser til at automatisere ansøgninger og samtaler: AIApply, Final Round AI og Simplify Copilot. Forskerne knyttede holdet til Famous Chollima, det navn CrowdStrike bruger om Nordkoreas IT-arbejder-operation under den bredere Lazarus-paraply, men understregede, at ingen myndighed havde bekræftet tilskrivningen. Sikkerhedsforskerne Mauro Eldritch og Heiner García drog en ubehagelig konklusion: ansættelsesprocessen selv var blevet angrebsvektoren, og de tre kandidater kom ikke igennem på trods af screeningen, men fordi screeningen aldrig var bygget til at opdage en identitet, syet sammen af stjålne stumper.

Det ubehagelige ved eksperimentet var ikke, at det lykkedes, men hvor let det var. Forskerne behøvede hverken en avanceret trussel eller en insider; de skrev bare et jobopslag og lod ansøgerne komme til dem. Hvis tre operatører kan glide igennem hos et hold, der ledte efter dem, er spørgsmålet ikke, om andre virksomheder er blevet ramt, men hvor mange der stadig ikke ved det.

Anatomien i en syntetisk udvikler

Den syntetiske udvikler er ikke ét trick, men en samlebåndsproces, hvor hvert led i en normal ansættelse har fået sin forfalskning. Tabellen nedenfor viser de komponenter, som gik igen i Ballena Azul-sagen og i de netværk, on-chain-efterforskeren ZachXBT har kortlagt.

Det afgørende er, at ingen af delene kræver et rigtigt liv bag sig. En operatør kan sidde i én tidszone, låne et ansigt fra en anden og en bankkonto fra en tredje og alligevel fremstå som en samlet, troværdig person på et videokald. Forfalskningen er ikke én stor løgn, men hundrede små, sande detaljer, der tilhører hundrede forskellige mennesker.

GitHub-profilen som Potemkin-facade

Hvis builderens vigtigste legitimation er GitHub-profilen, er det værd at vide, at GitHub-profilen har sit eget sorte marked. Forskere fra Carnegie Mellon, sikkerhedsfirmaet Socket og North Carolina State University byggede et værktøj ved navn StarScout og fandt omkring seks millioner formodede falske stjerner fordelt på 15.835 repositories; i en enkelt måned i 2024 var 16 pct. af alle repos med stjerneaktivitet knyttet til falske stjerne-kampagner, ifølge deres opgørelse.

En profil kan gøres til at ligne en produktiv open source-bidragyder for nogle få hundrede dollar, og aldrede konti med måneders fabrikeret commit-historik og AI-genererede profilbilleder sælges for op til 5.000 dollar (ca. 32.000 kroner) stykket. Den grønne commit-graf, selve det visuelle bevis på flid, laves med scripts, der pusher meningsløse ændringer hver dag, inklusive tilbagedaterede commits, der fylder hullerne ud. Oven i kommer LLM-genererede kommentarer på pull requests, der giver et skær af troværdighed, som er svært at skelne fra rigtig kollega-feedback.

Problemet er ikke kun, at et menneske kan blive narret. Automatiske rekrutteringsværktøjer, der skraber GitHub-aktivitet for at rangere kandidater, belønner præcis det fabrikerede signal, de burde straffe. Jo mere en ansættelse overlades til algoritmen, jo lettere er den at spille.

Der findes en mørkere udgave af det samme. En falsk bidragyder, der får commit-rettigheder til et open source-projekt, behøver ikke at blive fastansat nogen steder for at gøre skade; han kan lægge en bagdør ind i en pakke, som tusindvis af andre projekter er afhængige af. Den grønne graf er så ikke bare et jobtrick, men et forsøg på at fremstå betroet nok til at få nøglerne til forsyningskæden.

Nordkorea og builder-økonomiens bagdør

Det marked for falsk troværdighed har en storkunde: den nordkoreanske stat. Under et program, som vestlige myndigheder kalder IT-arbejder-operationen, placerer Pyongyang tusinder af uddannede udviklere i fjernstillinger rundt om i verden under falske identiteter, og indtægten sendes hjem. ZachXBT har dokumenteret mindst 25 tilfælde, hvor nordkoreanske IT-arbejdere infiltrerede kryptovirksomheder for at stjæle midler eller afpresse arbejdsgiveren.

I én kortlægning afdækkede han et netværk på omkring 140 medlemmer, der indbragte 3,5 mio. dollar (ca. 22 mio. kroner) på under fire måneder, altså i omegnen af 1 mio. dollar (godt 6 mio. kroner) om måneden. I en anden fandt han fem arbejdere, der kørte over 30 falske identiteter, koordinerede løn på en hjemmeside ved navn luckyguys.site med det fælles kodeord »123456«, og sendte pengene videre via Payoneer til bankkonti i Kina. I en separat sag fra april blev to amerikanske mellemmænd idømt straf for at have placeret arbejdere i over 100 amerikanske virksomheder ved hjælp af mere end 80 stjålne identiteter, hvilket indbragte Nordkorea over 5 mio. dollar. Det amerikanske FBI og internationale partnere har udsendt gentagne varsler om, at operationen finansierer statens våbenprogrammer.

Operationen kunne ikke fungere uden hjælpere i Vesten. Bag mange af de falske udviklere står en lokal medskyldig, der driver en »laptop farm«: et rum fuldt af firmacomputere, der er logget ind, så det ser ud, som om medarbejderen sidder i Ohio og ikke i Pyongyang. Netop derfor har anklagemyndigheder i stigende grad gået efter mellemmændene, ikke kun de fjerne operatører.

ZachXBT, den pseudonyme on-chain-efterforsker, peger konsekvent på, at operatørerne sjældent kommer ind, fordi de er teknisk overlegne, men fordi mønstret i deres ansættelser afslører en foruroligende mangel på diligence i virksomhedernes screening. Blandt de advarselstegn, han fremhæver, er udviklere, der henviser hinanden til stillinger, uoverensstemmelser i arbejdshistorik, og mistænkeligt polerede CV’er eller GitHub-profiler.

Deepfaket til jobsamtalen

Der var en tid, hvor videosamtalen var det sidste menneskelige tjekpunkt: uanset hvor god en forfalskning der stod på papiret, skulle nogen dukke op på skærmen og svare på spørgsmål i realtid. Den barriere er væk. I august 2026 advarede elleve lande i fællesskab om, at nordkoreanske IT-arbejdere nu bruger real-time deepfakes og ansigtsbytte til at bestå identitetstjek under selve jobsamtalen. Det samme værktøj, der lader en svindler optræde som en anden i en samtale, er kernen i det falske stifterinterview, hvor et syntetisk ansigt sælger et projekt, der ikke findes.

Modtrækket er blevet et kapløb. Rekrutterere beder nu kandidater om at vende hovedet, føre en hånd hen over ansigtet eller skifte lyset, fordi mange deepfake-filtre stadig snubler over den slags. Men filtrene bliver bedre for hver måned, og en kontrol, der virker i dag, kan være forældet til næste kvartal. Det menneskelige tjekpunkt er ikke forsvundet, men det er ikke længere noget, man kan stole blindt på.

Nogle gange vender angrebet den anden vej. I den kampagne, Microsoft kalder Contagious Interview, udgiver operatørerne sig for at være rekrutterere fra krypto- og AI-firmaer og lokker udviklere til at klone ondsindede pakker fra GitHub eller til at åbne et repository, der udnytter tillidsdialogen i Visual Studio Code. Målet er udviklerens egne aktiver: wallets og seed-sætninger, API-nøgler, adgangskodedatabaser og kildekode. Microsofts Defender Experts-team beskriver mekanikken kort: kampagnen gør selve ansættelsesprocessen til en vedvarende angrebskanal.

Fra ry til handelsvare: hvorfor det virker

Hvorfor virker forfalskningen så godt lige her? Fordi kryptokulturen med vilje har fjernet næsten al den friktion, der ellers binder et ry til et menneske. Arbejdet er fjernt, betalingen er i krypto, arbejdsmarkedet er globalt, og hastigheden er alt. Da builderens omdømme blev gjort målbart og handlebart, blev troværdighed til et tal, man kunne optimere, og et tal kan pumpes. En lille protokol, der skal levere hurtigt, hyrer en udvikler, den mødte på en Discord-server, betaler til en wallet og ser aldrig et pas.

Læg hastigheden oveni, og billedet er komplet. I et bull-marked svarer en måneds forsinkelse på en ansættelse til tabt terræn, og en kandidat, der kan starte i morgen, med en imponerende GitHub og et selvsikkert videokald, er svær at sige nej til. Svindleren udnytter ikke en teknisk sårbarhed, men en kulturel: troen på, at en builder, der leverer varen hurtigt, ikke behøver at blive undersøgt nærmere.

Det er ikke svaghed hos den enkelte; det er kulturens standardindstilling. Den syntetiske builder trives præcis i det tomrum, hvor branchen har erstattet tillid ansigt-til-ansigt med tillid til en profil. Idealet om, at kode taler for sig selv, og at det ikke betyder noget, hvem der skriver den, var altid smukt. Det viste sig også at være en åben dør.

De to angreb der viser indsatsen

Det er fristende at afvise falske buildere som et HR-problem. Regnestykket siger noget andet. Ifølge TRM Labs stod nordkoreanske grupper for 76 pct. af al værdi stjålet i kryptohacks i 2026 frem til april, og det skyldtes ikke en bølge af angreb, men to enkeltstående tyverier: Drift Protocol den 1. april (285 mio. dollar, ca. 1,8 mia. kroner) og KelpDAO-exploiten den 18. april (292 mio. dollar, ca. 1,9 mia. kroner), tilsammen 577 mio. dollar (ca. 3,7 mia. kroner). Samme firma anslår Nordkoreas samlede kryptotyveri til over 6 mia. dollar (mere end 38 mia. kroner) siden 2017.

Sammenhængen med den falske builder er ikke tilfældig; den er selve årsagskæden. Adgang kommer før exploit. En operatør, der er hyret ind som udvikler, sidder allerede inden for perimeteren, med nøgler, kode-adgang og kollegernes tillid, længe før det store hack udføres. Forfalskningen af en builder-profil er ikke slutmålet. Den er det første trin i en pipeline, der ender i en tømt bro eller en drænet protokol. Derfor har amerikanske og internationale myndigheder gennem 2026 rettet sanktioner og advarsler direkte mod IT-arbejder-programmet i stedet for kun mod de enkelte hacks.

Når koden skrives af en agent: builderen uden krop

I 2026 er en ny komplikation kommet til. Ikke alle bidrag til et kodebase kommer længere fra et menneske. AI-agenter åbner pull requests, retter fejl og anmelder kode, og for en maintainer kan en dygtig agents commit være svær at skelne fra en juniorudviklers. Det gør spørgsmålet, om der overhovedet er et menneske til stede, både sværere og vigtigere: en angriber kan gemme sig ikke bare bag et stjålet ansigt, men bag et stykke software, der aldrig havde et ansigt.

Det er præcis den fremtid, projekter som World bygger til, når de taler om et internet, hvor autonome agenter oversvømmer nettet, og et bevis på menneskelighed bliver den knappe ressource. Men det skærer to veje. En legitim agent, sat i gang af en verificeret builder, er nyttig; en ondsindet, der udgiver sig for at være en kollega, er den samme trussel som den syntetiske udvikler, bare uden lønudgiften. Verifikation i 2026 handler ikke længere kun om at afgøre hvem, men om at afgøre hvad.

Modsvaret: at bevise at en builder er et menneske

Hvis problemet er, at en profil kan mintes på en eftermiddag, så er modsvaret at binde en identitet til noget, der ikke kan mintes: at et menneske er ét menneske. Det er hele idéen bag proof-of-personhood. Gitcoin Passport, der blev opkøbt af Holonym Foundation i februar 2025 og siden omdøbt til Human Passport, samler verifikations-stempler fra kilder som GitHub, Google og Ethereum til en unik menneskeligheds-score; når man rammer en tærskel, regnes man som en unik person uden at skulle udlevere følsomme data. Systemet bygger i stigende grad på zero-knowledge-beviser, så man kan bevise, at man er et menneske, uden at afsløre hvem. Ved indgangen til 2026 leverede Human Passport sybil-modstand til over 120 projekter og 150 kampagner og var med til at beskytte over 512 mio. dollar (ca. 3,3 mia. kroner) i kapitalstrømme.

Andre går den biometriske vej. World, tidligere Worldcoin, scanner en iris for at udstede et World ID, et bevis på at man er et unikt menneske, tænkt til en tidsalder, hvor AI-agenter oversvømmer nettet. Ved siden af står projekter som Humanity Protocol og Civic. Ingen af dem løser hele problemet: en unik menneskeligheds-score beviser, at der er et menneske, ikke hvilket, og en biometrisk scanning rejser sine egne spørgsmål om overvågning.

En tredje vej ligger mellem de to: verificerbare attesteringer på kæden. I stedet for at bevise, at man er et menneske i al almindelighed, kan man samle underskrevne bekræftelser på konkret arbejde, en kollega, en revisor eller en arbejdsgiver, der attesterer, at man rent faktisk byggede det, man siger. Det er sværere at forfalske end en grøn graf, fordi det kræver, at nogen med et navn og et omdømme stiller sig bag.

Paradokset: overvågning mod anonymitet

Her løber modsvaret ind i kryptos ældste værdi. Anonymitet var aldrig en fejl i kulturen; den var et grundprincip. Cypherpunkerne byggede privatliv ind i fundamentet, Satoshi forsvandt med vilje, og den anonyme builder har i årevis været en hædret figur, ikke en mistænkt. Nu er den samme ansigtsløshed blevet sårbarheden. Løsningen, at kræve bevis på et menneske, truer med at genopbygge nøjagtig den overvågning og de centrale identitetsdatabaser, cypherpunkerne flygtede fra. Zero-knowledge-beviser er forsøget på at få begge dele: at bevise menneskelighed uden at afsløre identitet. Om det holder i praksis, er et af årtiets uafklarede spørgsmål.

Der er også en pris, ingen kryptografi fjerner. Et system, der kan bevise, at du er et unikt menneske, skal et sted have set nok af dig til at være sikker, og selv når selve beviset er zero-knowledge, hviler tilliden stadig på den, der udstedte det. Cypherpunkernes drøm var at slippe for mellemmænd; proof-of-personhood risikerer at gøre en ny slags mellemmand uundværlig.

Det bedste forsvar mod en syntetisk builder er måske det mest gammeldags: et spor, der tog år at lægge. Danske Rune Christensen er et rent modstykke til den forfalskede profil. Han grundlagde MakerDAO i 2015, skabte stablecoinen DAI og har siden ført projektet gennem rebrandingen til Sky og den såkaldte Endgame-plan. Hans identitet er ikke sikret af et vandmærke eller en iris-scanning, men af et årti med offentligt, verificerbart arbejde gennem flere markedscyklusser. Den slags kan ikke mintes på en eftermiddag, købes for 5.000 dollar eller genereres af en sprogmodel. En track record, der strækker sig over år, er den ene form for troværdighed, den syntetiske builder ikke kan fremstille.

Det danske og europæiske billede

For danske og nordiske virksomheder er dette ikke en fjern amerikansk historie. Danmark har med MitID en af verdens stærkere digitale identitetsinfrastrukturer, men den stopper ved grænsen: en lille dansk eller nordisk kryptovirksomhed, der hyrer en fjernudvikler i et andet land og betaler i krypto, har intet MitID at tjekke den nye kollega op imod. Finanstilsynet fører tilsyn med kryptoudbydere (CASP’er) under MiCA, der har været i kraft siden 30. december 2024, men MiCA regulerer tjenesten, ikke hvem man ansætter til at bygge den.

Den reelle eksponering ligger andre steder. Nordkorea er underlagt både FN- og EU-sanktioner, så en betaling til en operatør, der viser sig at være en sanktioneret nordkoreansk statsansat, kan i sig selv være en sanktionsovertrædelse, uanset at virksomheden troede, den betalte en freelancer i Texas. Oven i kommer EU’s hvidvaskregler: Travel Rule gælder allerede for kryptooverførsler, og den kommende AMLR-forordning forbyder anonyme kryptokonti fra omkring 2027. Kombinationen betyder, at en virksomhed kan stå med et sikkerhedsbrud, et sanktionsproblem og et hvidvaskproblem på én gang, hvis en falsk builder slipper igennem. Almindelig selskabsretlig omhu, ikke kun kryptoregulering, er første forsvarslinje.

For en nordisk startup med en håndfuld ansatte og ambitioner om at hyre globalt er det en ubehagelig regning. Baggrundstjek, videoverifikation og betaling gennem sporbare kanaler koster tid og penge, som en ung virksomhed helst vil bruge på at bygge. Men alternativet, at opdage for sent, at »stjerneudvikleren« sendte kildekoden og nøglerne ud af landet, er dyrere. I 2026 er grundig ansættelse ikke bureaukrati; det er en del af sikkerhedsmodellen.

Når forfalskningen opdages: post-mortem og selvforsvar

Når forfalskningen opdages, begynder oprydningen. Adgang skal trækkes tilbage, nøgler roteres, og kode gennemgås for bagdøre, der kan være lagt ind over uger eller måneder. Bagefter kommer opgøret, og det er værd at huske, at kryptos post-mortem-kultur har det med at lede efter en teknisk fejl, når svaret lige så ofte er et menneskeligt: nogen blev hyret uden at blive tjekket.

I praksis betyder det en kølig gennemgang: hvilke repositories havde personen adgang til, hvilke commits er deres, og gemmer der sig noget mistænkeligt i historikken? Nogle hold har måttet rulle måneders arbejde tilbage og granske hver eneste ændring på ny. Det er dyrt, men billigere end at lade en ukendt bagdør blive stående i produktionen.

For den enkelte er lektien den samme som i al anden selvforvaring og trusselsmodellering: antag, at en modpart på nettet kan være noget helt andet, end profilen siger, hold nøgler adskilt fra dagligt arbejde, og lad ingen enkelt kollega få adgang til noget, der kan tømmes med ét tastetryk. Mistillid er ikke det samme som paranoia; i en branche, hvor identitet kan mintes, er verifikation en form for høflighed.

Sådan læser du en builder-profil i 2026

Man kan ikke DNA-teste en GitHub-profil, men man kan lære at læse den med sunde forbehold. Nedenfor er de tegn, efterforskere og rekrutteringsansvarlige har lært at hæfte sig ved.

• Røde flag: et netværk, hvor kandidater kun henviser hinanden; huller eller uoverensstemmelser i arbejdshistorik; en usædvanligt tæt grøn commit-mur, der opstod pludseligt; modvilje mod at være på kamera eller video, der halter i læbesynkronisering; insisteren på at få udstyr sendt til en bestemt adresse; aflønning udelukkende i krypto til friske wallets.
• Grønne flag: et offentligt spor af arbejde, der strækker sig over flere markedscyklusser; en identitet, der kan krydstjekkes på tværs af konferencer, foredrag og medomtale; villighed til at blive verificeret, enten doxxet med omdømme på spil eller via et proof-of-personhood-bevis; kolleger, der reelt kan bekræfte samarbejdet.

Ingen tjekliste fanger alt, og den bedste operatør vil altid ligne den bedste kandidat. Men grundreglen holder: jo mere en builder-profil kun består af bærbare, ansigtsløse signaler, jo mindre bør et enkelt tal, en grøn graf eller et poleret CV afgøre. Kryptokulturen brugte et årti på at gøre builderen til en helt. 2026 er året, hvor den lærer at spørge, om helten overhovedet findes.

Ofte stillede spørgsmål

Hvad er en »falsk builder«?

En falsk builder er en person eller operation, der udgiver sig for at være en legitim kryptoudvikler ved hjælp af stjålne eller AI-genererede identiteter, fabrikerede GitHub-profiler og deepfake-jobsamtaler. Målet er typisk at få adgang til en virksomheds systemer og midler eller at kanalisere løn til en sanktioneret stat, ikke at bygge det produkt, kandidaten er hyret til.

Hvordan opdager man en nordkoreansk IT-arbejder i en jobsamtale?

Advarselstegn omfatter video, der halter i læbesynkronisering eller undgår bestemte kameravinkler, en bopæl, bank og id, der peger på forskellige steder, kandidater der kun henviser hinanden, insisteren på at få udstyr sendt til en tredjepartsadresse og aflønning udelukkende i krypto. On-chain-efterforskeren ZachXBT fremhæver desuden mistænkeligt polerede CV’er og GitHub-profiler.

Kan man forfalske en GitHub-profil?

Ja. Der findes et sort marked, hvor stjerner sælges for få dollar, og aldrede konti med fabrikeret commit-historik koster op til 5.000 dollar (ca. 32.000 kroner). Den grønne commit-graf laves med scripts og tilbagedaterede commits, og AI genererer både profilfotos og kommentarer på pull requests. Automatiske rekrutteringsværktøjer, der rangerer kandidater efter GitHub-aktivitet, er særligt sårbare.

Beskytter proof-of-personhood som Human Passport eller World ID mod falske buildere?

De hjælper, men løser det ikke alene. Proof-of-personhood beviser, at der er ét unikt menneske bag en konto, ikke hvilket menneske eller om personen er kvalificeret. World ID bruger iris-scanning og rejser spørgsmål om overvågning, mens Human Passport bygger på en score af signaler. De hæver prisen på svindel, men et flerårigt, verificerbart track record er stadig det stærkeste bevis.

Hvad siger dansk og europæisk lovgivning?

MiCA, som Finanstilsynet håndhæver, regulerer kryptotjenester, ikke ansættelser. Den reelle risiko ligger i FN- og EU-sanktioner mod Nordkorea, hvor selv en uforvarende betaling til en sanktioneret operatør kan være ulovlig, samt i hvidvaskregler som Travel Rule og den kommende AMLR, der forbyder anonyme kryptokonti fra omkring 2027. En dansk virksomhed bør behandle grundig ansættelseskontrol som en compliance-opgave, ikke kun en HR-opgave.

Af Marcus Okafor, redaktør på HOGE Wire med fokus på kryptokultur, sikkerhed og de mennesker (og ikke-mennesker), der bygger branchen. Analyse, ikke investeringsrådgivning.