Builder-portr\u00e4ttet har blivit ett av kryptobranschens mest p\u00e5litliga f\u00f6rtroendetecken. Vi l\u00e4ser GitHub-grafen, vi l\u00e4ser handtaget och antalet f\u00f6ljare, vi l\u00e4ser leveranshistoriken och de sj\u00e4lvs\u00e4kra svaren i en podd, och sedan drar vi slutsatsen: den h\u00e4r personen \u00e4r verklig, den h\u00e4r personen levererar. Under en m\u00e5nad har HOGE Wire dissekerat den genren fr\u00e5n alla h\u00e5ll, vem som hyllas, vem som betalar, vem som g\u00f6mmer sitt ansikte. Men hela genren vilar p\u00e5 ett antagande som den n\u00e4stan aldrig kontrollerar: att personen bakom commit-historiken faktiskt finns.<\/p>
Under 2026 spricker det antagandet. En v\u00e4xande andel av dem som dyker upp i pull requests, i dagliga avst\u00e4mningar och i Discord-servrarna \u00e4r inte den som portr\u00e4ttet p\u00e5st\u00e5r. Vissa \u00e4r inte en enda person. Vissa \u00e4r ingen alls. N\u00e5gra \u00e4r nordkoreanska operat\u00f6rer som arbetar p\u00e5 stulna identiteter. N\u00e5gra \u00e4r AI-genererade ansikten och r\u00f6ster som klarar en videointervju. N\u00e5gra \u00e4r en enda utvecklare i elva masker, som f\u00e5r ett protokoll att se ut som ett helt team.<\/p>
Det h\u00e4r \u00e4r portr\u00e4ttets blinda fl\u00e4ck, och den har blivit dyr. Nordkorea ensamt stal krypto f\u00f6r ett rekordbelopp under 2025, och en betydande del av bytet gick genom personer som anst\u00e4lldes som byggare. Den h\u00e4r texten handlar inte om vem som bygger krypto, utan om hur du vet att byggaren \u00f6ver huvud taget \u00e4r en m\u00e4nniska, och en enda s\u00e5dan.<\/p>
Builder-portr\u00e4ttet \u00e4r en genv\u00e4g till f\u00f6rtroende. I en bransch byggd p\u00e5 pseudonymitet ersatte vi CV:t och referenstagningen med offentliga artefakter: commit-historiken, det utplacerade smarta kontraktet, handtaget med f\u00f6ljare, viljan att dyka upp p\u00e5 ett samtal. De artefakterna k\u00e4ndes sv\u00e5rare att f\u00f6rfalska \u00e4n en LinkedIn-profil, och d\u00e4rf\u00f6r l\u00e4t vi dem st\u00e5 f\u00f6r verifieringen.<\/p>
Det st\u00e4mde s\u00e5 l\u00e4nge f\u00f6rfalskningen var dyr. Det \u00e4r den inte l\u00e4ngre. En GitHub-historik kan tillverkas. Ett ansikte och en r\u00f6st kan genereras i realtid. Ett rykte kan l\u00e5nas fr\u00e5n en stulen identitet. N\u00e4r kostnaden f\u00f6r att fejka en byggares hela offentliga sp\u00e5r faller mot noll faller ocks\u00e5 hela genrens bevisv\u00e4rde, och vi m\u00e4rker det knappt eftersom portr\u00e4ttet ser precis lika \u00f6vertygande ut som f\u00f6rr.<\/p>
Det obekv\u00e4ma \u00e4r att just den kultur som g\u00f6r krypto tolerant mot anonyma byggare ocks\u00e5 g\u00f6r branschen till det mjukaste m\u00e5let f\u00f6r falska. N\u00e4r \u201ddoxa ingen, bara leverera\u201d \u00e4r ett v\u00e4rde k\u00e4nns fr\u00e5gan \u201dvem \u00e4r du egentligen\u201d oartig, n\u00e4stan som ett svek mot id\u00e9n. Att l\u00e4sa en grundare utan namn<\/a> \u00e4r en f\u00e4rdighet branschen odlat i \u00e5ratal, men samma f\u00e4rdighet l\u00e4r oss att inte st\u00e4lla den enda fr\u00e5ga som numera betyder mest.<\/p> Det \u00e4r viktigt att skilja den falska byggaren fr\u00e5n tv\u00e5 grannkategorier som HOGE Wire redan behandlat. Den anonyma byggaren, en 0xngmi eller en Cobie innan han doxades, \u00e4r en verklig person som v\u00e4ljer integritet. Den syntetiska grundaren \u00e4r en marknadsf\u00f6ringspersona, ett ansikte byggt f\u00f6r att s\u00e4lja. Den falska byggaren \u00e4r n\u00e5got tredje: en identitet konstruerad f\u00f6r att lura en arbetsgivare, ett protokoll eller en bidragskommitt\u00e9 att behandla en fabrikation som en kollega.<\/p> Skillnaden \u00e4r avsikten och offret. Den anonyma byggaren skyddar sig sj\u00e4lv; den falska byggaren angriper n\u00e5gon annan. Och medan den anonyma bygger p\u00e5 riktigt bakom sin mask, \u00e4r den falska byggaren ibland ingen alls, bara en fasad som tar l\u00f6n, insideraccess eller incitament som var avsedda f\u00f6r n\u00e5gon verklig.<\/p> Fem arketyper \u00e5terkommer 2026, och de fl\u00e4tas ofta samman. Den nordkoreanska operat\u00f6ren. Sock-puppet-arm\u00e9n, d\u00e4r en person driver m\u00e5nga utvecklarkonton. Den illasinnade underh\u00e5llaren av \u00f6ppen k\u00e4llkod, som bygger f\u00f6rtroende i \u00e5ratal f\u00f6r att kunna f\u00f6rr\u00e5da det. Sybil-j\u00e4garen, som skapar hundratals identiteter f\u00f6r att sk\u00f6rda airdrops. Och deepfake-kandidaten, ett AI-genererat ansikte som klarar rekryteringen. Att f\u00f6rst\u00e5 dem kr\u00e4ver att man f\u00f6rst ser vad de har gemensamt: alla utnyttjar att vi l\u00e4t artefakter ers\u00e4tta m\u00e4nniskor, och alla har blivit billigare i takt med att AI skriver koden<\/a> och d\u00e4rmed ocks\u00e5 kan skriva kodaren.<\/p> Den mest industrialiserade falska byggaren \u00e4r inte en person, utan en stat. Nordkoreanska IT-arbetare, utrustade med stulna eller AI-byggda identiteter, anst\u00e4lls som distansutvecklare p\u00e5 krypto- och Web3-bolag \u00f6ver hela v\u00e4rlden. De g\u00f6r ofta ett kompetent jobb, f\u00f6r po\u00e4ngen \u00e4r inte att misslyckas utan att sm\u00e4lta in, ta ut l\u00f6n och skicka pengarna hem. En expertpanel vid FN har uppskattat att systemet drar in mellan 250 och 600 miljoner dollar om \u00e5ret<\/a> (ungef\u00e4r 2,4 till 5,7 miljarder kronor), och att mer \u00e4n 40 l\u00e4nder drabbats.<\/p> Amerikanska myndigheter r\u00e4knar h\u00f6gre f\u00f6r de senaste \u00e5ren, och pengarna g\u00e5r inte till l\u00f6ner utan till regimens vapenprogram. Infiltrationsf\u00f6rs\u00f6ken har \u00f6kat kraftigt, med generativ AI inkopplad i varje steg av anst\u00e4llningsprocessen: CV, personligt brev, profilbild och till och med den levande videon i intervjun. Antalet nordkoreanska utlandsarbetare i systemet uppskattas till flera tusen, utplacerade i Kina, Ryssland och en rad andra l\u00e4nder.<\/p> F\u00f6r kryptobolag finns det en dubbel int\u00e4ktsk\u00e4lla i varje s\u00e5dan anst\u00e4llning. Den f\u00f6rsta \u00e4r l\u00f6nen, som betalas ut m\u00e5nad efter m\u00e5nad till n\u00e5gon som verkar vara en vanlig utvecklare. Den andra, farligare, \u00f6ppnar sig f\u00f6rst n\u00e4r operat\u00f6ren vunnit f\u00f6rtroende: insideraccess till nycklar, kod och infrastruktur. D\u00e5 slutar den falska byggaren vara en l\u00f6neutgift och blir ett inbrott inifr\u00e5n.<\/p> Mekaniken \u00e4r f\u00f6rv\u00e5nansv\u00e4rt jordn\u00e4ra. Operat\u00f6ren ans\u00f6ker med en stulen amerikansk identitet. En medhj\u00e4lpare p\u00e5 plats i v\u00e4st driver en s\u00e5 kallad laptopfarm: bolaget skickar tj\u00e4nstedatorn till den nya anst\u00e4lldes adress, men adressen tillh\u00f6r en mellanhand som h\u00e5ller maskinen p\u00e5slagen och uppkopplad s\u00e5 att arbetaren ser ut att sitta inrikes. Den verklige operat\u00f6ren loggar in p\u00e5 distans, ofta via en fj\u00e4rrstyrd Mac och en VPN, fr\u00e5n en helt annan tidszon.<\/p> Amerikanska justitiedepartementet har slagit till h\u00e5rt mot just den h\u00e4r kedjan. Under 2025 genomf\u00f6rdes en landsomfattande razzia mot 29 laptopfarmar<\/a>, och i april 2026 d\u00f6mdes tv\u00e5 amerikanska medhj\u00e4lpare, Kejia Wang och Zhenxing Wang, till 108 respektive 92 m\u00e5naders f\u00e4ngelse<\/a> f\u00f6r att ha hj\u00e4lpt operat\u00f6rer att anv\u00e4nda \u00f6ver 80 amerikaners identiteter och ta anst\u00e4llning vid fler \u00e4n 100 bolag.<\/p> Intervjun \u00e4r det svagaste \u00f6gonblicket f\u00f6r bluffen, och samtidigt det mest fejkade. Kandidaten p\u00e5 sk\u00e4rmen \u00e4r inte alltid den som ska g\u00f6ra jobbet. En skickligare person kan sitta som ombud, guidad via en dold coach som matar svar genom en \u00f6ronsn\u00e4cka eller ett live-transkript. Rekryteringsanalytiker varnar f\u00f6r att andelen fejkade kandidatprofiler stiger snabbt, och att krypto- och fintechsektorn drabbats s\u00e4rskilt h\u00e5rt eftersom kulturen redan \u00e4r distansfirst. Det g\u00f6r den m\u00e4nskliga kontrollen sv\u00e5rare precis d\u00e4r den beh\u00f6vs mest, ett tema HOGE Wire tidigare tagit upp i fr\u00e5gan om hur intervjun i andra hand<\/a> filtrerar bort exakt de signaler som skulle avsl\u00f6ja en fabrikation.<\/p> I maj 2025 ber\u00e4ttade kryptob\u00f6rsen Kraken<\/a> om ett fall som blivit l\u00e4roboksexempel. Det som s\u00e5g ut som en rutinm\u00e4ssig rekrytering till en ingenj\u00f6rsroll f\u00f6rvandlades, med bolagets egna ord, till en underr\u00e4ttelseoperation. Kandidaten uppvisade tidigt varningssignaler: hen anv\u00e4nde ett annat namn i intervjun \u00e4n det som stod p\u00e5 CV:t, och bytte d\u00e5 och d\u00e5 r\u00f6stl\u00e4ge, som om n\u00e5gon annan matade svaren i realtid. Tekniska sp\u00e5r pekade mot en fj\u00e4rrstyrd Mac bakom en VPN.<\/p> I st\u00e4llet f\u00f6r att avvisa personen direkt l\u00e4t Kraken hen g\u00e5 vidare genom processen, f\u00f6r att samla information om metoderna. Den sista intervjun leddes av bolagets s\u00e4kerhetschef Nick Percoco och inneh\u00f6ll subtila identitetskontroller: fr\u00e5gor om lokalk\u00e4nnedom p\u00e5 den p\u00e5st\u00e5dda hemorten och en beg\u00e4ran om live-legitimering. Kandidaten klarade det inte. Krakens slutsats var k\u00e4rnfull, och den ekar en gammal kryptoprincip: \u201dDon’t trust, verify.\u201d<\/p> Fallet \u00e4r l\u00e4rorikt just f\u00f6r att Kraken vann. De flesta bolag har varken en s\u00e4kerhetschef som leder slutintervjuer eller t\u00e5lamodet att spela med. Och Krakens exempel visar hur tunn videobeviset \u00e4r: en person p\u00e5 en sk\u00e4rm som svarar r\u00e4tt \u00e4r inte ett bevis p\u00e5 vem som sitter d\u00e4r, en po\u00e4ng HOGE Wire drivit i fr\u00e5gan om klippet som blev sanningen<\/a>. Du kan se en byggare i \u00f6gonen via kameran och \u00e4nd\u00e5 se fel person.<\/p> Det tydligaste exemplet p\u00e5 vad som h\u00e4nder n\u00e4r bluffen f\u00e5r access \u00e4r Munchables, ett NFT-spel p\u00e5 Layer 2-n\u00e4tverket Blast. I mars 2024 anst\u00e4llde projektet vad det trodde var fyra utvecklare f\u00f6r att skriva sina smarta kontrakt. Utredare drog senare slutsatsen att det sannolikt r\u00f6rde sig om en enda person, med kopplingar till Nordkorea. Den utvecklaren byggde en s\u00e5rbarhet i just det kontrakt hen fick betalt f\u00f6r att skapa, och t\u00f6mde det sedan p\u00e5 17 413,96 ETH<\/a>, v\u00e4rt omkring 62,5 miljoner dollar vid tillf\u00e4llet (drygt 590 miljoner kronor).<\/p> Slutet blev osannolikt. Efter samtal med Blasts pseudonyme grundare, som g\u00e5r under namnet Pacman, l\u00e4mnade angriparen tillbaka samtliga privata nycklar och d\u00e4rmed hela summan, utan att kr\u00e4va n\u00e5gon l\u00f6sensumma. Innan dess hade hen hunnit v\u00e4xla ut motsvarande bara drygt 6 000 dollar via en ins\u00e4ttningsadress hos b\u00f6rsen MEXC. Slutresultatet var att anv\u00e4ndarnas pengar r\u00e4ddades, men att s\u00e4tta s\u00e5 mycket f\u00f6rtroende till en angripares \u00e5nger \u00e4r ingen s\u00e4kerhetsstrategi.<\/p> L\u00e4rdomen av Munchables \u00e4r obekv\u00e4mt enkel. Byggaren var inte ett h\u00e5l i s\u00e4kerhetsmuren. Byggaren var muren, och muren var angriparen. Ingen revision av det utplacerade kontraktet skulle ha hj\u00e4lpt, eftersom s\u00e5rbarheten var avsedd och g\u00f6md av samma hand som skrev resten. N\u00e4r den som skriver koden \u00e4r f\u00f6rfalskad, f\u00f6rfalskas ocks\u00e5 allt f\u00f6rtroende som koden ska b\u00e4ra.<\/p> Skalan bakom dessa fall blev tydlig n\u00e4r analysf\u00f6retaget Chainalysis summerade 2025. Nordkorea-l\u00e4nkade akt\u00f6rer stal krypto f\u00f6r omkring 2 miljarder dollar<\/a> (n\u00e4ra 19 miljarder kronor) under \u00e5ret, det mesta som n\u00e5gonsin uppm\u00e4tts, vilket f\u00f6rde den samlade historiska summan till omkring 6,75 miljarder dollar (drygt 64 miljarder kronor). \u00d6kningen var 51 procent j\u00e4mf\u00f6rt med 2024, och det trots f\u00e4rre bekr\u00e4ftade incidenter. De satsar p\u00e5 stora m\u00e5l, inte p\u00e5 frekvens.<\/p> Det st\u00f6rsta enskilda m\u00e5let var Bybit. Den 21 februari 2025 t\u00f6mdes den Dubaibaserade b\u00f6rsen p\u00e5 ungef\u00e4r 1,5 miljarder dollar (omkring 14 miljarder kronor) i Ethereum, den st\u00f6rsta kryptost\u00f6lden i historien, tillskriven Lazarusgruppen. Enligt Chainalysis stod den enda st\u00f6lden f\u00f6r 69 procent av allt som nordkoreanska akt\u00f6rer tog under \u00e5ret, och gruppen l\u00e5g bakom hela 76 procent av \u00e5rets angrepp mot centraliserade tj\u00e4nster.<\/p> Po\u00e4ngen f\u00f6r den h\u00e4r texten \u00e4r kopplingen som Chainalysis sj\u00e4lva drar: en del av rekordet f\u00f6rklaras sannolikt av just IT-arbetarinfiltration vid b\u00f6rser, f\u00f6rvarare och Web3-bolag. Den falska byggaren och den storslagna st\u00f6lden \u00e4r inte tv\u00e5 skilda hot. De \u00e4r tv\u00e5 \u00e4ndar av samma kedja. En anst\u00e4llningsbluff \u00f6ppnar d\u00f6rren; en t\u00f6mning st\u00e4nger den.<\/p> F\u00f6rfalskningarna f\u00f6ljer olika logik beroende p\u00e5 vad de vill \u00e5t. Tabellen nedan sorterar de fem arketyperna efter metod, vad de fabricerar och vad de i slut\u00e4nden extraherar. Notera att flera av dem numera delar samma verktyg: generativ AI f\u00f6r ansikten, r\u00f6ster och kod.<\/p>Byggaren som aldrig fanns: en ny kategori<\/h2>
Nordkoreas fj\u00e4rrarbetare: den l\u00f6nsammaste f\u00f6rfalskningen<\/h2>
S\u00e5 byggs bluffen: laptopfarmar och realtidscoachning<\/h2>
Kraken-f\u00e4llan: n\u00e4r intervjun blev ett spionspel<\/h2>
Munchables: n\u00e4r byggaren var h\u00e5let<\/h2>
Pengarna som f\u00f6rsvinner: Bybit och rekord\u00e5ret<\/h2>
Fem sorters byggare som inte finns<\/h2>