Laptop gehackt und 6,3 Mrd. Dollar weg: So gelang Krypto-Klau

• Bei der Krypto-Börse Binance sind innert 20 Minuten Kryptowährungen im Wert von 6,3 Milliarden Dollar gestohlen worden.
• Ausgangspunkt war laut Binance der Laptop eines kompromittierten DevOps-Ingenieurs.
• Analysten vermuten die nordkoreanische Hacker-Gruppe TraderTraitor, die damit Sanktionen umgehen und Programme finanzieren soll.

6,3 Milliarden Dollar in Kryptowährung weg – in nur 20 Minuten. Ausgangspunkt des Angriffs war offenbar ein einziger Laptop eines Mitarbeiters der Krypto-Börse Binance. Es ist der grösste bisher bekannte Krypto-Diebstahl.

Analysten vermuten die nordkoreanische Hacker-Gruppe TraderTraitor dahinter. Sie war in der Vergangenheit bereits für Krypto-Diebstähle in derselben Grössenordnung verantwortlich. Kim Jong-uns Regime will damit Sanktionen umgehen und seine Aktivitäten – meist im Zusammenhang mit seinem Raketen- und Nuklearprogramm – finanzieren.

Wieso wurde nur ein einziger Laptop benötigt?

Laut der Mitteilung von Binance deuten die ersten Untersuchungen der Börse darauf hin, dass der Laptop eines kompromittierten DevOps-Ingenieurs für den Angriff benutzt wurde. Ein DevOps-Ingenieur ist für verschiedene Bereiche verantwortlich, unter anderem auch für die Bereitstellung und Verwaltung der Infrastruktur der Börsen-Plattform.

Wer Zugriff auf die Infrastruktur hat, könne relativ einfach Zugriff auf die Anwendungen, die auf der Infrastruktur basieren, erhalten, wie ein Reddit-User, der sich als DevOps-Ingenieur identifiziert, erklärt. Wenn also ein System in der Lage ist, selbstständig Überweisungen zu tätigen – wie beispielsweise ein Server –, könne man über eine direkte, textbasierte Steuerungsverbindung auf diesen Server Banküberweisungen veranlassen.

Die Angreifer sollen über den Laptop Zugriff auf einen sogenannten Service-Container erhalten haben, so Binance. Das ist eine weitgehend isolierte Umgebung, in der bestimmte Programme ausgeführt werden können. Von dort aus seien unberechtigte Auszahlungstransaktionen ausgelöst worden. Wie die Angreifer Zugang zum Laptop erhielten, ist bisher nicht klar.

Wer sind die TraderTraitors und wie gehen sie vor?

Die Untersuchung eines Analyse-Unternehmens zeigt, dass der Angriff offenbar sorgfältig vorbereitet wurde. Mindestens 36 Stunden vor den grossen Abflüssen registrierten die Analysten erste verdächtige Aktivitäten. Die Angreifer sollen Programmcode bereitgestellt und mehrere Transaktionen getestet haben.

Hast du schon mal Geld durch Betrug verloren?

Ja, schon mehrmals.

Das Vorgehen hat Parallelen zu früheren Angriffen, die von der nordkoreanischen Hacker-Gruppe TraderTraitors durchgeführt wurden. Die TraderTraitors wurden von US-Geheimdiensten als Untergruppe der Lazarus-Gruppe identifiziert. Diese vereint verschiedene Elite-Hacker-Einheiten Nordkoreas und wurde damit beauftragt, den Staat mit Krypto-Diebstählen zu finanzieren.

TraderTraitors sind dafür bekannt, Mitarbeitende von ihren potenziellen Opfern – meist Krypto-Firmen – zu manipulieren, um sich Zugang zur Software zu verschaffen. Ihre Aktivitäten sind seit 2022 bekannt. Ein Hackerangriff auf die Krypto-Börse Bybit Ende 2024, bei dem 1,5 Milliarden Dollar erbeutet wurden – der bisher grösste Krypto-Coup –, wurde vom FBI den TraderTraitors zugeordnet.

Wie finanziert sich Nordkorea mit gestohlener Krypto?

Nordkorea wäscht die gestohlene Kryptowährung häufig mit einem komplizierten Verfahren, um sie in eine «legale» Währung umzuwandeln. Laut einer Analyse des US-Finanzamts nutzt Kim ein Netzwerk von «Over-the-Counter»-Kryptowährungshändlern. Dabei werden die Geschäfte direkt über einen Broker per Telefon, über verschlüsselte Nachrichten in einem privaten Netzwerk abgewickelt und nicht über einen öffentlichen Markt-Feed.

Somit ist es für die Behörden schwieriger, die gestohlene Kryptowährung zu verfolgen. Schwieriger – nicht unmöglich. Da Kryptowährungen auf der Blockchain-Technologie basieren, sind die Coins theoretisch identifizierbar. Allerdings können sie nicht automatisch als «gestohlen» angezeigt werden, weshalb potenzielle Käufer der gestohlenen Währung durch falsche Identitäten und Scheinfirmen in die Irre geführt werden können. Sie bezahlen die nordkoreanischen Akteure dann mit «gewöhnlicher» Währung oder tauschen direkt von Nordkorea benötigtes Material gegen die Kryptowährung.

Aktiviere jetzt den Ausland-Push!

Bleibe über das Geschehen auf der Welt auch abseits der Breaking News jederzeit bestens informiert. Mit dem Ausland-Push von 20 Minuten bekommst du die wichtigsten News blitzschnell auf dein Handy geliefert.

So gehts: Installiere die neuste Version der 20-Minuten-App. Tippe unten auf «Profil», dann aufs «Einstellungen»-Zahnrad und schliesslich auf «Push-Mitteilungen». Beim Punkt «Themen» tippst du «Ausland» an – schon läufts.

Simon Misteli (sim), Jahrgang 1995, arbeitet seit 2024 als Redaktor am Newsdesk. Dabei schreibt er über verschiedenste Themen mit einem Fokus auf Auslandsgeschichten.