Tokio. Mit Nordkorea verbundene Hacker haben der weltweit größten Kryptobörse Binance Kryptowährungen im Wert von etwa 6,3 Milliarden Dollar gestohlen. Der Angriff begann am 29. Oktober gegen 16:20 Uhr US-Ostküstenzeit und betraf Guthaben in mit dem Internet verbundenen Hot wallets.

Die Angreifer verteilten die Vermögenswerte auf zehn Blockchains und zahlreiche kleinere Transaktionen. Chainalysis zufolge tauschten sie in weniger als 20 Minuten Stablecoins im Wert von 325 Millionen Dollar gegen Ether im Wert von 285 Millionen Dollar und akzeptierten dabei einen Abschlag von mehr als 10 Prozent. Die schnelle Umwandlung sollte verhindern, dass die Stablecoins von ihren Herausgebern eingefroren wurden.

Eine Notfallreaktion unter Beteiligung von Binance, Stablecoin-Herausgebern wie Tether und Circle, Behörden und Blockchain-Analysefirmen ermöglichte es, laut Chainalysis und Binance zwischen 2,8 und 3 Milliarden Dollar einzufrieren. Chainalysis bezeichnete die koordinierte Reaktion als Beleg dafür, dass die Kryptobranche zunehmend schneller gegen Diebstähle größeren Ausmaßes vorgeht.

Ein erheblicher Teil der gestohlenen Vermögenswerte besteht aus Bitcoin und Ether, die nicht auf dieselbe Weise eingefroren werden können. TRM Labs erklärte, die Angreifer kontrollierten weiterhin mehr als 420.000 ETH und 18.270 BTC im Wert von etwa 2,4 Milliarden Dollar.

Die genaue Methode, mit der auf Binance zugegriffen wurde, ist weiterhin unklar. Die Börse erklärte, der Angriff habe wahrscheinlich mit der Kompromittierung des Laptops eines IT-Ingenieurs begonnen. Die Angreifer sollen das Gerät genutzt haben, um in ein internes Servicesystem einzudringen und betrügerische Abhebungen zu genehmigen. Derzeit gibt es keine Hinweise darauf, dass private Wallet-Schlüssel gestohlen wurden.

Binance-Co-Chefgeschäftsführer Richard Teng erklärte, die Angreifer hätten außerdem Malware eingesetzt, die darauf ausgelegt war, ihre eigenen Spuren zu löschen. Um Zugriff auf den Laptop und andere Systeme zu erlangen, könnten Social Engineering oder Phishing verwendet worden sein; der Angriffsweg wird jedoch noch untersucht.

Binance hat zugesagt, sämtliche Verluste der Kunden zu übernehmen. Bis Sonntag erklärte die Börse, sie habe rund 95 Prozent der gestohlenen Vermögenswerte ersetzt. Dafür nutzte sie ihren 2018 eingerichteten Secure Asset Fund for Users sowie Unternehmensreserven im Wert von mehreren Milliarden Dollar. Der letztliche Nettoverlust könnte geringer ausfallen, wenn die eingefrorenen Gelder wiedererlangt werden, wobei unklar bleibt, ob und wann sie an Binance zurückgegeben werden.

Die Börse nahm am Sonntag die Abhebungen schrittweise wieder auf, beginnend mit Bitcoin. Das FBI, der US Secret Service und die Abteilung Criminal Investigation des US-Finanzamts warnten Händler ebenfalls vor Bemühungen der als TraderTraitor bekannten Gruppe, die gestohlenen Vermögenswerte zu transferieren. Die Behörden veröffentlichten eine Liste verdächtiger Adressen.

Die Behörden erklärten, die Angreifer würden die gestohlenen Vermögenswerte weiterhin hauptsächlich in Ether umwandeln. Es wird erwartet, dass sie die Gelder über dezentrale Finanzplattformen und Soforttauschdienste waschen.

Die Gruppe ist seit Jahren aktiv. Mandiant, das zu Google gehörende Cybersicherheitsunternehmen, identifizierte sie 2023 als UNC4899, einen nordkoreanischen Akteur, der zuvor Kryptounternehmen ins Visier genommen hatte. Mandiant kam mit hoher Wahrscheinlichkeit zu dem Schluss, dass UNC4899 eine auf Kryptowährungen spezialisierte Einheit des nordkoreanischen Reconnaissance General Bureau war und wahrscheinlich TraderTraitor entsprach.

TraderTraitor ist Teil eines größeren Netzwerks, das Nordkorea nutzt, um durch Cyberangriffe, verdeckte IT-Operationen und Tarnfirmen ausländische Devisen zu beschaffen. Zu dem Netzwerk gehören außerdem Lazarus, APT38 – auch als Blue Noroff bekannt –, Andariel und Kimsuky, die mit Finanzdiebstahl, Ransomware und Spionage in Verbindung gebracht werden.

Tausende nordkoreanische IT-Arbeiter haben sich unter falschen Identitäten im Ausland Softwarejobs verschafft und arbeiten häufig aus Ländern wie China und Russland. Ihre Einkünfte werden größtenteils nach Nordkorea transferiert. Chainalysis erklärte, nordkoreanische Gruppen platzierten solche Arbeiter zunehmend in Kryptounternehmen, um privilegierten Zugriff zu erlangen, der später Angriffe unterstützen könne.

Die Hacker des Landes werden schon in jungen Jahren ausgewählt und ausgebildet; Schüler mit ausgeprägten mathematischen Fähigkeiten erhalten Unterricht in Programmierung. Das wettbewerbsorientierte Training und das Studium an führenden Universitäten konzentrieren sich nicht nur auf Informatik, sondern auch auf die Lösung komplexer Probleme mit begrenzten Ressourcen.

Diese Vorbereitung hat nordkoreanischen Gruppen geholfen, sich als effektiv bei Social Engineering und Phishing zu erweisen. künstliche Intelligenz wird inzwischen ebenfalls eingesetzt, um überzeugende Nachrichten und Bewerbungen zu erstellen, die sich an potenzielle Ziele richten. Nachdem die Gruppen zunächst Banken ins Visier genommen hatten, wandten sie sich mit der Expansion des Sektors Kryptowährungen zu; der Diebstahl bei Binance zeigt das anhaltende Ausmaß dieser Bedrohung.

Quellen: Handelsblatt.