Falsk jobb, ekte tyveri: Nord-Korea og privatnøklene i 2026

I april 2026 var det ingen som knakk koden til Drift. I stedet brukte en gruppe som utga seg for å være et kvantitativt handelsselskap et halvt år på å bli kjent med folkene bak den Solana-baserte derivatbørsen: konferanser, Telegram, felles arbeidsøkter. Da tilliten var på plass, fikk de flere medlemmer av protokollens sikkerhetsråd til å blindsignere en serie sovende transaksjoner som i det stille overførte administratorkontrollen. Rundt 285 millioner dollar, om lag 2,7 milliarder kroner, forsvant på litt over to timer. Chainalysis oppsummerte det i én setning: de største risikoene ligger ikke lenger bare i smartkontrakter, men i systemene, og menneskene, rundt dem.

Kryptografien holdt. Det gjør den nesten alltid. En moderne privatnøkkel på 256 bit lar seg ikke gjette, og ingen superdatamaskin kommer til å regne seg fram til den i din levetid. Det som sviktet, var alt rundt nøkkelen: ansettelsen, tilliten, signeringsskjermen, serverne. Og i 2026 er aktøren som oftest utnytter det gapet, ikke en ensom hacker med hette over hodet. Det er en lønnet operatør som jobber for en sanksjonsrammet stat.

Tallene er blitt vanskelige å bortforklare. Ifølge Chainalysis stjal nordkoreansk-tilknyttede aktører rundt 2,02 milliarder dollar (om lag 19 milliarder kroner) i kryptoverdier i 2025, en økning på 51 prosent fra året før, og sto for 76 prosent av alle kompromitterte tjenester, den høyeste andelen som er registrert. Den samlede fangsten siden 2017 anslås til rundt 6,75 milliarder dollar. Denne artikkelen forklarer hva et privatnøkkelkompromiss er, men gjennom linsen som betyr mest i 2026: hvem som faktisk står bak, hvorfor, og hvordan en norsk eier eller bedrift kan beskytte seg.

Hva et privatnøkkelkompromiss egentlig er

En privatnøkkel er et svært stort, tilfeldig tall. Den som kjenner tallet, kan signere transaksjoner fra en gitt adresse, og på blokkjeden er en gyldig signatur det eneste eierskapsbeviset som finnes. Det er ingen kundeservice å ringe, ingen bank som kan reversere. Derfor sier vi ofte at «ikke dine nøkler, ikke dine mynter»: kontroll over nøkkelen er kontroll over verdiene, punktum.

Et privatnøkkelkompromiss er rett og slett at noen andre får den kontrollen. Det kan skje ved at selve nøkkelen lekker (en seed-frase lagret i klartekst, en skjermdump i skyen), men i praksis er det stadig oftere noe mer subtilt: angriperen får deg, eller et system du stoler på, til å signere på hans vegne. Kryptografien er ikke knekt. Den er lånt.

Dette er verdt å skille skarpt fra en ren kodefeil. Når en smartkontrakt har en logisk svakhet, kan en angriper tømme den uten å røre en eneste nøkkel; det var for eksempel tilfellet da rundt 4 000 bitcoin forlot Liquid-broen etter en feil i koden selv. Et nøkkelkompromiss angriper det motsatte laget: menneskene og maskinene som holder nøklene. Og det er nettopp der Nord-Korea har bygd sitt fortrinn.

Hvorfor Nord-Korea, og hvorfor krypto

For et regime som er avskåret fra store deler av det internasjonale banksystemet av FN- og andre sanksjoner, har kryptovaluta noen ubehagelig praktiske egenskaper. Den flytter seg over landegrenser på minutter, er tilgjengelig døgnet rundt, og lar seg vanskelig fryse når den først er ute i selvforvarte lommebøker. Amerikanske myndigheter og FNs ekspertpanel har i flere år pekt på at tyvegodset finansierer Pyongyangs våpen- og missilprogram.

Skalaen er det som skiller 2026 fra alt før. Ifølge TRM Labs sto nordkoreansk-tilknyttede grupper bak rundt to tredjedeler av alle kryptomidler som ble stjålet i første halvår 2026, om lag 643 millioner dollar (rundt 6 milliarder kroner). Nesten 90 prosent av det, cirka 577 millioner dollar, kom fra bare to angrep i april: Drift og DeFi-plattformen KelpDAO. TRM registrerte rekordhøye 207 hendelser i perioden, men verdien var ekstremt konsentrert i noen få treff.

Andrew Fierman, som leder etterretning om nasjonal sikkerhet i Chainalysis, har beskrevet at midlene vaskes «with consistency and fluidity indicative of the use of AI», altså med en flyt som tyder på at kunstig intelligens er i bruk. Poenget er ubehagelig: dette er ikke opportunistisk kriminalitet, men en industrialisert statlig virksomhet med egne verktøy, arbeidsdeling og resultatmål.

Lazarus, RGB og «Famous Chollima»: hvem angriperen er

«Nord-Korea» er en forenkling. Bak angrepene står et apparat under Reconnaissance General Bureau (RGB), landets militære etterretning. Sikkerhetsmiljøer bruker en rekke navn på undergruppene: Lazarus Group er paraplybegrepet, mens klynger som APT38, TraderTraitor og UNC4899 knyttes til ulike operasjoner. IT-arbeider-virksomheten, der operatører får seg vanlig jobb under falsk identitet, spores ofte som «Famous Chollima».

For en forsvarer er det viktigste poenget at dette er spesialisering, ikke ett enkelt geni. Én gruppe dyrker fram falske identiteter og skaffer jobber. En annen driver selve innbruddet. En tredje vasker pengene. Bybit-tyveriet knyttes til TraderTraitor; både Drift og KelpDAO er av flere etterforskere tilskrevet den samme klyngen, om enn med forbehold om at formell attribusjon tar tid. Når du forsvarer deg, forsvarer du deg altså ikke mot en person, men mot en organisasjon med statsbudsjett.

Den falske jobben: slik infiltrerer IT-arbeiderne

Den mest undervurderte angrepsvektoren i 2026 er ikke skadevare. Det er en CV. I august viste forskerne Mauro Eldritch og Heiner García på sikkerhetskonferansen DEF CON hvordan de snudde spillet på hodet: de bygde en falsk DeFi-oppstart, «Ballena Azul», la ut utviklerstillinger, og endte med å ansette tre utviklere de mener var nordkoreanske, rekruttert via en kjede av GitHub-profiler og vennetjenester. Tegnene var mange: ID, adresse og bankkonto som ikke stemte overens på tvers av delstater, AI-behandlede profilbilder, og rekognosering av arbeidsmaskinen fra første dag.

Selve oppskriften er godt kartlagt. Google-eide Mandiant beskriver hvordan operatørene bruker stjålne eller oppdiktede identiteter, holder kamera avslått eller bruker sanntids-deepfake i intervjuer, og fjernstyrer datamaskiner som fysisk står i Vesten. Der kommer «laptop-farmene» inn: en medvirker i mottakerlandet tar imot arbeidsgiverens utstyr, kobler det til fjernstyringsverktøy, og lar operatøren i Asia logge på som om han satt i Oslo eller Austin. VPN-tjenesten Astrill og «musevrikkere» som simulerer aktivitet slik at operatøren kan holde flere jobber samtidig, går igjen i sak etter sak.

Hvor stort er det? Etterforskeren ZachXBT har sporet over 16,5 millioner dollar i lønnsutbetalinger til mistenkte nordkoreanske utviklere bare siden januar 2025, og anslår at de kan kontrollere flere hundre stillinger samtidig. Medvirkerne dømmes nå: amerikanske Christina Chapman fikk 102 måneders fengsel i 2025 for å ha drevet en laptop-farm som hjalp operatører inn i over 300 selskaper og genererte mer enn 17 millioner dollar, ifølge det amerikanske justisdepartementet. Ansettelsen er, med andre ord, blitt en sikkerhetsgrense.

Fra innsiden: når utvikleren du ansatte skriver sårbarheten

Når operatøren først er innenfor, trenger han ikke alltid å stjele en nøkkel. Noen ganger skriver han sårbarheten selv. Det tydeligste eksempelet er Munchables, et NFT-spill på Blast i mars 2024. En innleid utvikler, én av flere personaer som er koblet til én mistenkt nordkoreansk aktør, la selv inn svakheten i spillets kontrakter og tildelte deretter seg selv rettigheter til én million ETH, verdt over 62 millioner dollar. At nesten alle midlene til slutt ble returnert, endrer ikke lærdommen: en revisjon fanger sjelden en bakdør som er plassert med vilje av noen med skrivetilgang.

Dette er grunnen til at en ren kodegjennomgang ikke er nok i seg selv. En sikkerhetsrevisjon og en bug bounty belønner den som finner en utilsiktet feil; ingen av delene gjør stort mot en utvikler som med hensikt bygger inn en svakhet og allerede sitter innenfor tillitsgrensen. Root cause er organisatorisk, ikke teknisk, og det er en type risiko de fleste selskaper ikke har vant seg til å tenke på.

Sosial manipulering utenfra: falske jobber mot dine folk

Speilbildet av den infiltrerte utvikleren er den utenforstående som lokker en av dine egne ansatte. Metoden er gammel, men effektiv. Ronin-broen til Axie Infinity-skaperen Sky Mavis mistet rundt 625 millioner dollar i mars 2022 etter at en senior ingeniør fikk et forlokkende jobbtilbud; PDF-en med «tilbudet» inneholdt skadevare som til slutt ga angriperne kontroll over fem av ni validatornøkler.

Radiant Capital, en utlånsprotokoll, mistet rundt 50 millioner dollar i oktober 2024 etter at det som så ut som en tidligere samarbeidspartner tok kontakt på Telegram og delte en fil. Skadevaren kompromitterte enhetene til flere kjernebidragsytere, og protokollen klarte aldri å hente seg inn igjen og avviklet til slutt driften. Drift-saken fulgte samme mønster i større skala: månedsvis med tillitsbygging fra falske «kvantehandlere», og til og med en manipulert oraklepris via en billig byttehandel, en teknikk vi har sett gå igjen i mange DeFi-angrep. Fellesnevneren er at sosial tillit, ikke en kodesvakhet, var den egentlige angrepsflaten.

Blindsignering: slik blir en godkjenning til et ran

Hvordan får man en aktsom signaturhaver til å godkjenne et ran? Man endrer det han ser, ikke det han signerer. Dette kalles blindsignering, og det er kjernemekanismen i de aller største tapene. Ved Bybit-tyveriet i februar 2025, historiens største med rundt 1,5 milliarder dollar (om lag 14 milliarder kroner), var ikke selve nøklene lekket. Angriperne hadde manipulert nettgrensesnittet til signeringsverktøyet Safe, slik at signaturhaverne så en legitim transaksjon mens enheten faktisk signerte en endring av logikken i kaldlommeboken.

Radiant fulgte samme prinsipp, men med maskinvarelommebøker: skadevaren viste korrekte data i Gnosis Safe-grensesnittet, mens ondsinnede transaksjoner ble sendt videre til maskinvarelommebøkene for signering. Poenget er nedslående enkelt. En maskinvarelommebok beskytter nøkkelen mot å bli kopiert, men den beskytter deg ikke mot å godkjenne feil transaksjon dersom du ikke kan lese hva du faktisk signerer. Det er derfor et lite skjermbilde på selve enheten, som viser mottaker og beløp i klartekst, betyr mer enn de fleste tror.

Infrastruktur, ikke frø: sesjonsnøkler, RPC og admin-nøkler

Den kanskje viktigste utviklingen i 2026 er at angriperne ofte hopper over seed-frasen helt. De går etter driftsnøklene: øktnøkler (session keys), skytilganger, administratorrettigheter og RPC-servere. KelpDAO-saken, som revisjonsselskapet OpenZeppelin treffende kalte «Zero Bugs Found», er skoleeksempelet. Det begynte i mars, da en utvikler hos LayerZero Labs klonet et ondsinnet GitHub-repositorium og fikk macOS-skadevare på maskinen. Det ga operatørene øktnøkler og seks uker inne i infrastrukturen uten at noen merket det.

Deretter forgiftet de RPC-nodene slik at overvåkingssystemene fortsatt fikk korrekte data, mens verifikatoren fikk forfalskede data, og en 2-av-2-sikring ble i praksis presset ned til 1-av-1. Resultatet var rundt 116 500 rsETH uten dekning, cirka 292 millioner dollar. Ingen kontraktsfeil var involvert. Det samme mønsteret rammet DMM Bitcoin i mai 2024, der en ansatt hos lommebokleverandøren Ginco ble sosialt manipulert via en ondsinnet fil, noe som til slutt kostet rundt 305 millioner dollar. Når overvåkingen din kan lures av nettopp det den overvåker, hjelper det lite hvor lang seed-frasen er.

Tallenes tale: hvor mye, og hvorfor så konsentrert

Et utvalg av de siste årenes største nøkkelkompromiss viser mønsteret tydelig. Nesten alle handler om mennesker og infrastruktur, ikke om knekt kryptografi. Beløpene er omregnet til kroner med en kurs på rundt 9,5 kroner per dollar i midten av september 2026.

To ting stikker seg ut. For det første er verdien ekstremt konsentrert: TRM registrerte 207 hendelser i første halvår 2026, men to angrep sto for nesten hele det nordkoreansk-tilknyttede tapet. For det andre er operatørene blitt disiplinerte i hvitvaskingsfasen. Chainalysis peker på at de bevisst holder seg til mange små transaksjoner under 500 000 dollar, et tegn på stadig mer profesjonell operasjonssikkerhet. Færre, større innbrudd; deretter en rolig, oppstykket utvasking.

Vaskemaskinen: slik forsvinner pengene etterpå

Selve tyveriet er ofte den enkleste delen. Deretter starter en industriell hvitvaskingsprosess: rask spredning til hundrevis av adresser i de første timene, veksling fra ETH til BTC, kryssing mellom blokkjeder, miksetjenester og handel utenom børs. I Bybit-saken ble over 80 prosent av den stjålne ethereumen raskt vekslet til bitcoin, nettopp fordi Bitcoin har færre innebygde muligheter for å fryse midler enn mange token-standarder på Ethereum.

Motkreftene finnes. Utstedere som Tether kan fryse stablecoins knyttet til kjente adresser, og etterforskere sporer midlene i sanntid. Men vinduet er kort. I Bybit-saken var mesteparten sporbar i begynnelsen, men innen få uker var en stor andel «mørklagt». At du i det hele tatt får noe tilbake, er unntaket, ikke regelen; spørsmålet om du kan få kryptoen tilbake etter et tyveri har som oftest et nedslående svar. Derfor er alt som skjer før tyveriet, langt viktigere enn alt som skjer etterpå.

Motangrepet: søksmål, sanksjoner og laptop-farmer

2026 er også året da forsvarerne slo hardere tilbake. I august saksøkte Bybit selve Nord-Korea, etterretningsbyrået RGB og Lazarus Group ved en føderal domstol i Washington, og sikret et midlertidig forføyningsvedtak som fryser identifiserte midler mens saken pågår. Børsen hadde da fått tilbake rundt 48 millioner dollar, men over 90 prosent var fortsatt sporløst. Administrerende direktør Ben Zhou har hele veien fastholdt at Bybits egne systemer ikke ble brutt; svikten lå i infrastrukturen rundt signeringen.

På statlig nivå strammes grepet. Det amerikanske finansdepartementets sanksjonskontor OFAC sanksjonerte i mars 2026 seks personer og to selskaper for IT-arbeider-svindel som alene skal ha skaffet regimet nesten 800 millioner dollar i 2024. Justisdepartementet har slått til mot dusinvis av laptop-farmer, og en felles internasjonal advarsel sommeren 2026, der Frankrike, Italia og Nederland var med for første gang, understreker at trusselen nå er global, ikke bare amerikansk. Poenget for et europeisk selskap er enkelt: dette angår ikke bare Silicon Valley.

Forsvaret som faktisk monner

Forsvaret deler seg i to. For enkeltpersoner handler det om å eie nøkkelen selv, lese det du signerer, og holde beholdningen privat. For selskaper og forvaltere handler det like mye om hvem du slipper inn som om hvilken lommebok du bruker. Kraken avdekket selv en nordkoreansk søker i en ansettelsesprosess i 2025 og lot ham gå gjennom flere runder for å samle informasjon. Sikkerhetssjef Nick Percoco oppsummerte lærdommen med kryptobransjens eget mantra: «Don’t trust, verify.» Prinsippet gjelder ikke lenger bare transaksjoner, men også menneskene du ansetter.

Det tekniske mottrekket mot blindsignering kalles clear signing. Ethereum Foundation lanserte i mai 2026 en standard for lesbar signering (ERC-7730) med støtte fra blant andre Ledger, Trezor og MetaMask, slik at lommeboken kan vise deg i klartekst hva en transaksjon faktisk gjør. På forvaltersiden er spørsmålet hvordan man deler opp kontrollen, et tema vi går grundig gjennom i saken om MPC eller multisig. Og for den som setter pengene sine hos en tredjepart, blir evnen til å bevise at reservene finnes et forsvar i seg selv.

Norsk vinkel: Finanstilsynet, sanksjoner og fjernansettelser

For norske lesere er det tre lag å holde styr på. Det første er regelverket for tjenestetilbydere. Kryptoeiendelsloven, som innførte EUs MiCA-forordning i norsk rett fra 1. juli 2025 gjennom EØS-avtalen, gjør Finanstilsynet til tilsynsmyndighet for kryptoeiendelstjenesteytere (CASP). En tilbyder som oppbevarer kundenes nøkler, har plikt til å sikre og holde dem adskilt, og bærer bevisbyrden dersom de går tapt.

Det andre laget er sanksjonene. Norge har sluttet seg til FNs og EUs restriktive tiltak mot Nord-Korea gjennom forskrift om sanksjoner mot Nord-Korea. Forskriften forbyr blant annet å selge datatjenester til personer eller foretak i Nord-Korea, og her ligger en felle de færreste tenker på: et norsk selskap som ubevisst lønner en fjernutvikler som viser seg å være en nordkoreansk operatør, kan havne på feil side av både sanksjons- og hvitvaskingsregelverket.

Det tredje laget er det praktiske. Finanstilsynet fører tilsyn med at vekslings- og oppbevaringstjenester følger hvitvaskingsloven, og mistenkelige transaksjoner skal rapporteres til Enheten for finansiell etterretning hos Økokrim. For en bedrift som ansetter eksterne utviklere, er rådet det samme som Kraken lærte: verifiser identitet med kamera på, sjekk hvor utstyret faktisk befinner seg, og screen mot sanksjonslister. For privatpersoner koker det ned til å eie nøklene på en maskinvarelommebok, lese det du signerer, og ikke fortelle hele verden hvor mye du har. Bitcoin ble i midten av september 2026 handlet rundt 730 000 kroner (cirka 77 000 dollar) ifølge CoinGecko, godt under toppen tidligere i syklusen; store beholdninger er attraktive mål, og det gjelder like mye på kjøkkenbordet som på nettet.

Ofte stilte spørsmål

Hva er egentlig et privatnøkkelkompromiss?

Det er at noen andre får kontroll over privatnøkkelen din, eller evnen til å signere med den, og dermed kan flytte verdiene dine. Kryptografien er ikke knekt; kontrollen er stjålet. Det skiller seg fra en ren kodefeil i en smartkontrakt, der angriperen utnytter en svakhet i selve programmet uten å røre en nøkkel.

Hvorfor står Nord-Korea bak så mange kryptotyverier?

Kryptovaluta er grenseløs, tilgjengelig døgnet rundt og vanskelig å fryse, noe som passer et regime avskåret fra det internasjonale banksystemet av sanksjoner. Ifølge Chainalysis sto nordkoreansk-tilknyttede aktører for rundt 2,02 milliarder dollar i kryptotyverier i 2025, og amerikanske myndigheter mener midlene finansierer landets våpenprogram.

Hvordan infiltrerer nordkoreanske IT-arbeidere kryptoselskaper?

Operatørene søker på vanlige fjernjobber under falsk eller stjålet identitet, ofte med AI-genererte profiler og deepfake i intervjuer. Medvirkere i Vesten driver såkalte laptop-farmer som lar operatøren fjernstyre en maskin som fysisk står i mottakerlandet, slik at han fremstår som en lokal ansatt og får privilegert tilgang fra første dag.

Hva er blindsignering, og hvorfor er det farlig?

Blindsignering er å godkjenne en transaksjon du ikke fullt ut kan lese eller kontrollere. Skadevare eller et manipulert grensesnitt kan vise deg én ting mens enheten din faktisk signerer noe annet, slik det skjedde ved både Bybit og Radiant. Løsningen kalles clear signing, der lommeboken viser hva du faktisk godkjenner i klartekst.

Hva kan jeg gjøre hvis privatnøkkelen min er kompromittert?

Handle raskt: flytt gjenværende midler til en ny lommebok fra en ren enhet, og trekk tilbake tidligere godkjenninger. Varsle børsen eller forvalteren din og meld forholdet til politiet. Når midlene først er vasket, er det sjelden mulig å få dem tilbake, så forebygging med maskinvarelommebok og clear signing betyr mest.

Av Sofie Halvorsen, sikkerhetsredaktør i HOGE Wire.