Byggaren som inte finns: falska kryptobyggare 2026

Builder-porträttet har blivit ett av kryptobranschens mest pålitliga förtroendetecken. Vi läser GitHub-grafen, vi läser handtaget och antalet följare, vi läser leveranshistoriken och de självsäkra svaren i en podd, och sedan drar vi slutsatsen: den här personen är verklig, den här personen levererar. Under en månad har HOGE Wire dissekerat den genren från alla håll, vem som hyllas, vem som betalar, vem som gömmer sitt ansikte. Men hela genren vilar på ett antagande som den nästan aldrig kontrollerar: att personen bakom commit-historiken faktiskt finns.

Under 2026 spricker det antagandet. En växande andel av dem som dyker upp i pull requests, i dagliga avstämningar och i Discord-servrarna är inte den som porträttet påstår. Vissa är inte en enda person. Vissa är ingen alls. Några är nordkoreanska operatörer som arbetar på stulna identiteter. Några är AI-genererade ansikten och röster som klarar en videointervju. Några är en enda utvecklare i elva masker, som får ett protokoll att se ut som ett helt team.

Det här är porträttets blinda fläck, och den har blivit dyr. Nordkorea ensamt stal krypto för ett rekordbelopp under 2025, och en betydande del av bytet gick genom personer som anställdes som byggare. Den här texten handlar inte om vem som bygger krypto, utan om hur du vet att byggaren över huvud taget är en människa, och en enda sådan.

Porträttets blinda fläck: vem verifierar att byggaren finns?

Builder-porträttet är en genväg till förtroende. I en bransch byggd på pseudonymitet ersatte vi CV:t och referenstagningen med offentliga artefakter: commit-historiken, det utplacerade smarta kontraktet, handtaget med följare, viljan att dyka upp på ett samtal. De artefakterna kändes svårare att förfalska än en LinkedIn-profil, och därför lät vi dem stå för verifieringen.

Det stämde så länge förfalskningen var dyr. Det är den inte längre. En GitHub-historik kan tillverkas. Ett ansikte och en röst kan genereras i realtid. Ett rykte kan lånas från en stulen identitet. När kostnaden för att fejka en byggares hela offentliga spår faller mot noll faller också hela genrens bevisvärde, och vi märker det knappt eftersom porträttet ser precis lika övertygande ut som förr.

Det obekväma är att just den kultur som gör krypto tolerant mot anonyma byggare också gör branschen till det mjukaste målet för falska. När ”doxa ingen, bara leverera” är ett värde känns frågan ”vem är du egentligen” oartig, nästan som ett svek mot idén. Att läsa en grundare utan namn är en färdighet branschen odlat i åratal, men samma färdighet lär oss att inte ställa den enda fråga som numera betyder mest.

Byggaren som aldrig fanns: en ny kategori

Det är viktigt att skilja den falska byggaren från två grannkategorier som HOGE Wire redan behandlat. Den anonyma byggaren, en 0xngmi eller en Cobie innan han doxades, är en verklig person som väljer integritet. Den syntetiska grundaren är en marknadsföringspersona, ett ansikte byggt för att sälja. Den falska byggaren är något tredje: en identitet konstruerad för att lura en arbetsgivare, ett protokoll eller en bidragskommitté att behandla en fabrikation som en kollega.

Skillnaden är avsikten och offret. Den anonyma byggaren skyddar sig själv; den falska byggaren angriper någon annan. Och medan den anonyma bygger på riktigt bakom sin mask, är den falska byggaren ibland ingen alls, bara en fasad som tar lön, insideraccess eller incitament som var avsedda för någon verklig.

Fem arketyper återkommer 2026, och de flätas ofta samman. Den nordkoreanska operatören. Sock-puppet-armén, där en person driver många utvecklarkonton. Den illasinnade underhållaren av öppen källkod, som bygger förtroende i åratal för att kunna förråda det. Sybil-jägaren, som skapar hundratals identiteter för att skörda airdrops. Och deepfake-kandidaten, ett AI-genererat ansikte som klarar rekryteringen. Att förstå dem kräver att man först ser vad de har gemensamt: alla utnyttjar att vi lät artefakter ersätta människor, och alla har blivit billigare i takt med att AI skriver koden och därmed också kan skriva kodaren.

Nordkoreas fjärrarbetare: den lönsammaste förfalskningen

Den mest industrialiserade falska byggaren är inte en person, utan en stat. Nordkoreanska IT-arbetare, utrustade med stulna eller AI-byggda identiteter, anställs som distansutvecklare på krypto- och Web3-bolag över hela världen. De gör ofta ett kompetent jobb, för poängen är inte att misslyckas utan att smälta in, ta ut lön och skicka pengarna hem. En expertpanel vid FN har uppskattat att systemet drar in mellan 250 och 600 miljoner dollar om året (ungefär 2,4 till 5,7 miljarder kronor), och att mer än 40 länder drabbats.

Amerikanska myndigheter räknar högre för de senaste åren, och pengarna går inte till löner utan till regimens vapenprogram. Infiltrationsförsöken har ökat kraftigt, med generativ AI inkopplad i varje steg av anställningsprocessen: CV, personligt brev, profilbild och till och med den levande videon i intervjun. Antalet nordkoreanska utlandsarbetare i systemet uppskattas till flera tusen, utplacerade i Kina, Ryssland och en rad andra länder.

För kryptobolag finns det en dubbel intäktskälla i varje sådan anställning. Den första är lönen, som betalas ut månad efter månad till någon som verkar vara en vanlig utvecklare. Den andra, farligare, öppnar sig först när operatören vunnit förtroende: insideraccess till nycklar, kod och infrastruktur. Då slutar den falska byggaren vara en löneutgift och blir ett inbrott inifrån.

Så byggs bluffen: laptopfarmar och realtidscoachning

Mekaniken är förvånansvärt jordnära. Operatören ansöker med en stulen amerikansk identitet. En medhjälpare på plats i väst driver en så kallad laptopfarm: bolaget skickar tjänstedatorn till den nya anställdes adress, men adressen tillhör en mellanhand som håller maskinen påslagen och uppkopplad så att arbetaren ser ut att sitta inrikes. Den verklige operatören loggar in på distans, ofta via en fjärrstyrd Mac och en VPN, från en helt annan tidszon.

Amerikanska justitiedepartementet har slagit till hårt mot just den här kedjan. Under 2025 genomfördes en landsomfattande razzia mot 29 laptopfarmar, och i april 2026 dömdes två amerikanska medhjälpare, Kejia Wang och Zhenxing Wang, till 108 respektive 92 månaders fängelse för att ha hjälpt operatörer att använda över 80 amerikaners identiteter och ta anställning vid fler än 100 bolag.

Intervjun är det svagaste ögonblicket för bluffen, och samtidigt det mest fejkade. Kandidaten på skärmen är inte alltid den som ska göra jobbet. En skickligare person kan sitta som ombud, guidad via en dold coach som matar svar genom en öronsnäcka eller ett live-transkript. Rekryteringsanalytiker varnar för att andelen fejkade kandidatprofiler stiger snabbt, och att krypto- och fintechsektorn drabbats särskilt hårt eftersom kulturen redan är distansfirst. Det gör den mänskliga kontrollen svårare precis där den behövs mest, ett tema HOGE Wire tidigare tagit upp i frågan om hur intervjun i andra hand filtrerar bort exakt de signaler som skulle avslöja en fabrikation.

Kraken-fällan: när intervjun blev ett spionspel

I maj 2025 berättade kryptobörsen Kraken om ett fall som blivit läroboksexempel. Det som såg ut som en rutinmässig rekrytering till en ingenjörsroll förvandlades, med bolagets egna ord, till en underrättelseoperation. Kandidaten uppvisade tidigt varningssignaler: hen använde ett annat namn i intervjun än det som stod på CV:t, och bytte då och då röstläge, som om någon annan matade svaren i realtid. Tekniska spår pekade mot en fjärrstyrd Mac bakom en VPN.

I stället för att avvisa personen direkt lät Kraken hen gå vidare genom processen, för att samla information om metoderna. Den sista intervjun leddes av bolagets säkerhetschef Nick Percoco och innehöll subtila identitetskontroller: frågor om lokalkännedom på den påstådda hemorten och en begäran om live-legitimering. Kandidaten klarade det inte. Krakens slutsats var kärnfull, och den ekar en gammal kryptoprincip: ”Don’t trust, verify.”

Fallet är lärorikt just för att Kraken vann. De flesta bolag har varken en säkerhetschef som leder slutintervjuer eller tålamodet att spela med. Och Krakens exempel visar hur tunn videobeviset är: en person på en skärm som svarar rätt är inte ett bevis på vem som sitter där, en poäng HOGE Wire drivit i frågan om klippet som blev sanningen. Du kan se en byggare i ögonen via kameran och ändå se fel person.

Munchables: när byggaren var hålet

Det tydligaste exemplet på vad som händer när bluffen får access är Munchables, ett NFT-spel på Layer 2-nätverket Blast. I mars 2024 anställde projektet vad det trodde var fyra utvecklare för att skriva sina smarta kontrakt. Utredare drog senare slutsatsen att det sannolikt rörde sig om en enda person, med kopplingar till Nordkorea. Den utvecklaren byggde en sårbarhet i just det kontrakt hen fick betalt för att skapa, och tömde det sedan på 17 413,96 ETH, värt omkring 62,5 miljoner dollar vid tillfället (drygt 590 miljoner kronor).

Slutet blev osannolikt. Efter samtal med Blasts pseudonyme grundare, som går under namnet Pacman, lämnade angriparen tillbaka samtliga privata nycklar och därmed hela summan, utan att kräva någon lösensumma. Innan dess hade hen hunnit växla ut motsvarande bara drygt 6 000 dollar via en insättningsadress hos börsen MEXC. Slutresultatet var att användarnas pengar räddades, men att sätta så mycket förtroende till en angripares ånger är ingen säkerhetsstrategi.

Lärdomen av Munchables är obekvämt enkel. Byggaren var inte ett hål i säkerhetsmuren. Byggaren var muren, och muren var angriparen. Ingen revision av det utplacerade kontraktet skulle ha hjälpt, eftersom sårbarheten var avsedd och gömd av samma hand som skrev resten. När den som skriver koden är förfalskad, förfalskas också allt förtroende som koden ska bära.

Pengarna som försvinner: Bybit och rekordåret

Skalan bakom dessa fall blev tydlig när analysföretaget Chainalysis summerade 2025. Nordkorea-länkade aktörer stal krypto för omkring 2 miljarder dollar (nära 19 miljarder kronor) under året, det mesta som någonsin uppmätts, vilket förde den samlade historiska summan till omkring 6,75 miljarder dollar (drygt 64 miljarder kronor). Ökningen var 51 procent jämfört med 2024, och det trots färre bekräftade incidenter. De satsar på stora mål, inte på frekvens.

Det största enskilda målet var Bybit. Den 21 februari 2025 tömdes den Dubaibaserade börsen på ungefär 1,5 miljarder dollar (omkring 14 miljarder kronor) i Ethereum, den största kryptostölden i historien, tillskriven Lazarusgruppen. Enligt Chainalysis stod den enda stölden för 69 procent av allt som nordkoreanska aktörer tog under året, och gruppen låg bakom hela 76 procent av årets angrepp mot centraliserade tjänster.

Poängen för den här texten är kopplingen som Chainalysis själva drar: en del av rekordet förklaras sannolikt av just IT-arbetarinfiltration vid börser, förvarare och Web3-bolag. Den falska byggaren och den storslagna stölden är inte två skilda hot. De är två ändar av samma kedja. En anställningsbluff öppnar dörren; en tömning stänger den.

Fem sorters byggare som inte finns

Förfalskningarna följer olika logik beroende på vad de vill åt. Tabellen nedan sorterar de fem arketyperna efter metod, vad de fabricerar och vad de i slutänden extraherar. Notera att flera av dem numera delar samma verktyg: generativ AI för ansikten, röster och kod.

XZ Utils och Jia Tan: tålamodet som nästan bakdörrade internet

Den tålmodigaste falska byggaren ville inte ha lön. Den ville ha kontroll över kod. Offret var XZ Utils, ett komprimeringsbibliotek som ingår i nästan 30 000 Debian- och Ubuntu-paket och därmed i en enorm del av världens Linuxservrar. Angreppet är en av de allvarligaste incidenterna för leveranskedjor i öppen källkods historia, och det byggde helt på förfalskat förtroende.

En persona vid namn Jia Tan, med kontot JiaT75 skapat i januari 2021, ägnade omkring tre år åt att bidra med genuina förbättringar till projektet. Parallellt pressade en uppsättning sock-puppet-konton, med namn som Jigar Kumar och Dennis Ens, den ursprunglige, utbrände underhållaren att lämna över mer ansvar. Personerna var medvetet gjorda för att se ut att komma från olika delar av världen, så att ingen skulle misstänka att de arbetade i samklang. Till slut fick Jia Tan nycklarna som medunderhållare.

Först då, i februari och mars 2024, smögs bakdörren in (CVE-2024-3094), som gav den som satt på en viss privat nyckel möjlighet att fjärrexekvera kod via OpenSSH. Av alla bidrag under kampanjen var bara en handfull skadliga; resten var äkta arbete, vilket var hela poängen. Bakdörren upptäcktes av en slump, när en Microsoft-ingenjör reagerade på en halv sekunds oförklarlig fördröjning. Det var en långsam, lågintensiv social manipulation som utnyttjade exakt samma signal som builder-porträttet: en historik av bra commits. XZ-fallet bevisade att en meritlista kan vara en flerårig bluff.

Sock-puppet-arméer och Sybil-jägare: att förfalska folkmassan

Ibland är det inte en person som förfalskas, utan en folkmassa. Den klassiska varianten är sock-puppet-armén. Utvecklaren Ian Macalinao drev elva olika falska utvecklaridentiteter i Solana-ekosystemet, bland annat Surya Khosla bakom Sunny och 0xGhostchain bakom Cashio. Genom att stapla protokoll ovanpå varandra kunde han få samma dollar att räknas flera gånger och blåsa upp den totala låsta volymen. Som han själv beskrev det för CoinDesk hade han utformat ett upplägg för att maximera Solanas TVL, där samma dollar kunde räknas flera gånger. Ett ekosystem som såg ut som dussintals team var i väsentlig grad en enda man.

Airdrop-erans version heter Sybil-farming: en enda aktör skapar hundratals plånböcker för att se ut som många riktiga användare och byggare och därmed skörda en större andel av en utdelning. Skalan är enorm. När LayerZero jagade Sybils inför sin token 2024 diskvalificerades 803 273 plånböcker, motsvarande 59 procent av alla sökande. Projektet erbjöd självrapporterande farmare 15 procent av deras planerade tilldelning och betalade prisjägare 10 procent för att peka ut fler.

Sybil-jägaren är den falska byggaren i sin mest ekonomiska form. Bidrag och airdrops som var tänkta att belöna verkliga bidragsgivare skördas i industriell skala av fabricerade sådana. Det liknar det HOGE Wire beskrivit när styrningen blev ett lönearbete: så snart det finns pengar att hämta i att se ut som en engagerad deltagare, dyker påhittade deltagare upp för att hämta dem. Incitamentet skapar folkmassan, oavsett om folkmassan finns.

Varför porträttets signaler sviker

Sätt ihop fallen och ett mönster framträder: varje klassisk signal vi litade på har blivit billig att fejka. Commit-historiken kan tillverkas, och Jia Tan hade dessutom åratal av äkta commits. Handtaget och följarna kan köpas eller drivas av sock-puppets. Videosamtalet kan deepfakas eller skötas av ett ombud. En bred GitHub-närvaro kan Sybil-fyllas. Var för sig verkade artefakterna trovärdiga; tillsammans utgör de inte längre ett bevis.

Här ligger branschens verkliga knut. Den cypherpunkska etiken behandlar verifiering som ett svek mot integriteten. Balaji Srinivasan, tidigare teknikchef på Coinbase, har hävdat att pseudonymitet är lika viktigt som decentralisering, och att ditt riktiga namn är ditt lagrade rykte. Han har rätt om integriteten. Men den falska byggarens våg är priset för den rätten. Skyddet för den verklige anonyme och täckmanteln för den falske kommer från samma ställe.

Branschen sitter därför fast mellan två dåliga alternativ. KYC på varje bidragsgivare dödar den tillståndslösa kultur som gjorde krypto möjligt. Att verifiera ingenting alls innebär att man kan finansiera Pyongyang utan att veta det. Ingen av ytterligheterna är hållbar, vilket betyder att svaret måste ligga i mitten, i verktyg som skiljer den verklige anonyme från den fabricerade utan att tvinga alla att visa passet.

Så läser du en byggare i förfalskningarnas tid

För den som anställer, investerar eller bara läser ett builder-porträtt finns det konkreta varningssignaler. Ingen av dem är ett bevis i sig, men flera samtidigt bör stoppa processen tills något oberoende bekräftat att personen är verklig och en enda. Tabellen nedan är en checklista, inte en garanti.

Sverige, MiCA och sanktionsmuren

För ett svenskt kryptobolag är den falska byggaren inte bara ett säkerhetsproblem, utan också ett efterlevnadsproblem. Under MiCA är Finansinspektionen den behöriga myndigheten i Sverige, och sedan den 1 oktober 2025 måste varje kryptoföretag som betjänar svenska kunder ha ansökt om tillstånd hos FI eller upphöra. Med tillståndet följer krav på styrning och operativ motståndskraft, delvis via regelverket DORA. Rekrytering och tillgångskontroll blir en del av den ytan, för en byggare med nycklar är en operativ risk oavsett hur bra koden ser ut.

Ovanpå det ligger sanktionsmuren. EU upprätthåller restriktiva åtgärder mot Nordkorea som genomför FN:s säkerhetsråds resolutioner, och de gäller direkt i Sverige. Ett bolag som ovetande betalar lön till en nordkoreansk operatör kan slussa pengar till en sanktionerad regim, precis det som amerikanska OFAC riktat in sig på i en rad designationer under 2025 och 2026, där myndigheten pekat ut nätverk som förde omkring 800 miljoner dollar in i landet under 2024 (drygt 7,6 miljarder kronor). Kryptoderivat, till exempel terminer och eviga kontrakt, faller för övrigt under MiFID II och inte under MiCA.

Det obekväma för svenska och nordiska byggarmiljöer är att just deras styrkor är angreppsytan. Den distansbaserade, gränslösa och pseudonyma rekrytering som branschen firar är exakt vad operatörerna utnyttjar. Sverige har en liten men verklig byggarscen, från tidiga börser som Safello till analysverktyg grundade av nordbor, och ingen av dem är automatiskt undantagen. Att anställa någon man aldrig träffat i ett land man inte kan verifiera är normen, inte undantaget, och det är precis den normen bluffen lever på.

Vad porträttet måste börja visa

Builder-porträttet måste lägga till en fråga som det tidigare hoppade över: existerar den här personen, och är det en enda person? Inte för att avskaffa anonymiteten, utan för att skilja den verklige anonyme från den fabricerade. Verktygen finns i sin linda, från proof-of-humanity och on-chain-historik till oberoende referenser, live-verifiering och kodgranskning som väger tyngre än beundran för en commit-graf.

Genren har i ett år hyllat leveransen. Under 2026 måste den också verifiera leverantören. Det låter tråkigt bredvid berättelsen om den ensamme geniet som skeppar hela natten, men alternativet är dyrare: en bransch som betalar lön till förfalskningar och ger dem nycklarna. Den viktigaste uppgiften ett porträtt kan ge dig är inte längre vad personen har byggt, utan om det finns en person alls.

Det gör inte den falska byggaren till skäl att sluta lita på anonyma bidragsgivare. Krypto byggdes av pseudonymer, och kommer att fortsätta så. Men förtroende utan verifiering var alltid ett lån, och 2026 kom räkningen. Att läsa en byggare handlar numera lika mycket om att bekräfta att hen finns som om att beundra vad hen gjort. Porträttet som inte klarar det första har inget att säga om det andra.

Vanliga frågor

Vad är en falsk byggare i krypto?

En falsk byggare är en identitet konstruerad för att lura en arbetsgivare, ett protokoll eller en bidragskommitté att behandla en fabrikation som en verklig utvecklare. Det skiljer sig från den anonyme byggaren, som är en riktig person som väljer integritet, och från den syntetiska grundaren, som är en marknadsföringspersona. Vanliga former är nordkoreanska operatörer på stulna identiteter, sock-puppet-arméer, illasinnade underhållare av öppen källkod, Sybil-jägare och AI-genererade deepfake-kandidater.

Hur mycket krypto har Nordkorea stulit?

Enligt Chainalysis stal Nordkorea-länkade aktörer krypto för omkring 2 miljarder dollar (nära 19 miljarder kronor) under 2025, det högsta som uppmätts, vilket förde den samlade historiska summan till omkring 6,75 miljarder dollar. Den enskilt största händelsen var Bybit-stölden i februari 2025 på ungefär 1,5 miljarder dollar. Utöver stölderna beräknas landets IT-arbetarsystem dra in flera hundra miljoner dollar om året i löner.

Kan en deepfake verkligen klara en jobbintervju?

Ja, och det sker allt oftare. Generativ AI kan skapa CV, profilbild, röst och till och med levande video, och ett skickligt ombud kan sitta som stand-in guidad av en dold coach. Kraken avslöjade 2025 en kandidat som bytte röstläge under samtalet och använde ett annat namn än på CV:t. Enkla motåtgärder är live-legitimering, oväntade följdfrågor och att be personen vända huvudet i profil, eftersom nuvarande deepfake-teknik har svårt med sidovyer.

Vad är Sybil-farming och varför drabbar det byggare?

Sybil-farming är när en enda aktör skapar hundratals plånböcker eller identiteter för att se ut som många riktiga användare och därmed skörda en större del av en airdrop eller ett bidrag. Det drabbar verkliga byggare eftersom incitament som var avsedda att belöna genuint arbete i stället går till fabricerade deltagare. När LayerZero jagade Sybils 2024 diskvalificerades drygt 803 000 plånböcker, motsvarande 59 procent av alla sökande.

Vad kan svenska kryptobolag göra åt falska utvecklare?

De bör behandla rekrytering och tillgångskontroll som en del av sin regelefterlevnad under MiCA och DORA, med Finansinspektionen som tillsynsmyndighet. Konkret handlar det om live-verifiering av identitet, kontroll av lokalkännedom och utbetalningsvägar, on-chain-analys av bidragsgivares plånböcker och medvetenhet om att EU:s sanktioner mot Nordkorea gäller direkt i Sverige. Att ovetande betala en nordkoreansk operatör kan innebära en sanktionsöverträdelse, inte bara en säkerhetsincident.

Marcus Okafor är kulturredaktör på HOGE Wire och skriver om kryptobyggarnas ekonomi, status och baksidor.