727 FinanceVom Diebstahl von 6,3 Milliarden Dollar bei Binance bis hin zu großen Raubzügen in der Kryptowährungsbranche wie Bybit und Ronin ist die nordkoreanische Hackergruppe TraderTraitor allmählich ans Licht gekommen. Wie hat dieses von der US-Regierung bezeichnete Hackernetzwerk mithilfe gefälschter Rekrutierung, Supply-Chain-Angriffen und Signatur-Hijacking fast 10 Milliarden Dollar an Krypto-Vermögenswerten erbeutet?
Autor: BlockBeats
Am 1. November veröffentlichte das U.S. Federal Bureau of Investigation eine Mitteilung, in der die am 29. Oktober von Binance entwendeten 6,3 Milliarden US-Dollar Nordkorea zugeschrieben wurden. Die Mitteilung verwendete einen Begriff: TraderTraitor.
Wenn man diesen Namen sucht, stellt man fest, dass die 1,5 Milliarden US-Dollar von Bybit, die 300 Millionen US-Dollar von Bitget und mehrere große Kryptowährungsfälle aus den Vorjahren alle mit diesem Namen in Verbindung stehen.
TraderTraitor ist kein Unternehmen und kein Kästchen in einem Organigramm. Es ist ein Codename, den die US-Regierung einer Kategorie von Verhalten gegeben hat.
Im April 2022 veröffentlichten das FBI, die U.S. Cybersecurity and Infrastructure Security Agency (CISA) und das U.S. Department of the Treasury gemeinsam eine Mitteilung mit der Nummer AA22-108A. Damals erschien der Begriff erstmals offiziell. Er bezog sich seinerzeit auf mehrere als Krypto-Handelssoftware getarnte Trojaner wie DAFOM, TokenAIS und CryptAIS, deren Oberflächen überzeugend aussahen und die nach der Installation begannen, Private Keys zu stehlen.
Die Drahtzieher dahinter werden in der Branche seit Langem Lazarus Group, APT38, BlueNoroff und Stardust Chollima genannt. Dabei handelt es sich nicht um vier separate Teams. Lazarus ist der Dachname; APT38 (Mandiant), BlueNoroff (Kaspersky) und Stardust Chollima (CrowdStrike) sind drei Namen, die verschiedene Sicherheitsfirmen derselben auf Geldbeschaffung ausgerichteten Linie gegeben haben.
Zwei Jahre später wurde das Label an konkrete Verhaltensweisen geknüpft. Am 23. Dezember 2024 veröffentlichten das FBI, das U.S. Department of Defense Cyber Crime Center und die japanische National Police Agency gemeinsam eine Zuschreibung für den DMM-Diebstahl in Höhe von 300 Millionen US-Dollar und verwendeten erstmals die Formulierung „North Korean cyber actors tracked as TraderTraitor“ sowie nannten dessen drei Aliasnamen: Jade Sleet (Microsofts Bezeichnung), UNC4899 (Googles Bezeichnung) und Slow Pisces (Palo Altos Bezeichnung).
Die Informationen sind inzwischen relativ klar: TraderTraitor ist die Einheit innerhalb der größeren Lazarus-Gruppe, die sich auf Krypto-Assets spezialisiert hat und derzeit die profitabelste ist. Zumindest seit 2020 konzentriert sie sich ausschließlich auf die Blockchain – Handelsplattformen, DeFi, Wallet-Dienstleister, Krypto-Fonds und Einzelpersonen, die große Mengen an Coins halten.
Vom Bankraub zum Raub von Handelsplattformen
Lazarus ist ein Dachname, der alles abdeckt, vom Löschen der Festplatten von Sony Pictures im Jahr 2014 bis zur Geldabzweigung von der Bangladesh Bank im Jahr 2016.
Nehmen wir den Fall der Bangladesh Bank. Die Einheit, die ihn durchführte, hieß damals APT38, auch bekannt als BlueNoroff. Im Februar 2016 fälschten sie SWIFT-Anweisungen (das internationale Nachrichtensystem für Interbankenüberweisungen) und versuchten, 1 Milliarde US-Dollar vom Konto der Bangladesh Bank bei der New York Fed abzuziehen. Letztlich erbeuteten sie 81 Millionen US-Dollar, weil ein Rechtschreibfehler in einer Überweisung dazu führte, dass eine zwischengeschaltete Bank sie stoppte.
Die Handwerkskunst, die Arbeitsabläufe von Banken zu studieren, Lücken in der manuellen Prüfung zu finden und Anweisungen zu fälschen, wurde später unverändert auf Kryptowährungs-Handelsplattformen übertragen.Um 2020 herum. Sie begannen, ihre Methoden zu verbessern, mit der Krypto-Welt als Ziel. Der Grund ist leicht zu erraten: Es gibt Geld und keine Regulierung, und die Liquidität ist anständig.
Es gibt mehrere Angriffsmethoden.
Die erste ist gefälschte Personalbeschaffung. Ein Headhunter kontaktiert Sie auf LinkedIn, führt ein angenehmes Gespräch und schickt schließlich einen „Einstellungstest für Programmierer" oder einen Installer für ein „internes Tool". Sobald installiert, gehört die Maschine ihnen. Ronins 620 Millionen Dollar gingen auf diese Weise verloren.
Die zweite ist die Lieferkette. Statt Menschen zu täuschen, verlagern sie sich darauf, die Toolchains der Entwickler zu kontaminieren: bösartige Repositories auf GitHub, vergiftete Pakete auf npm, Identitätsdienstleister wie JumpCloud. Eine Person wird kompromittiert, und eine ganze Kette nachgelagerter Unternehmen wird ebenfalls kompromittiert.
Die dritte ist die direkte Veränderung von Transaktionen. Im japanischen DMM-Fall stahlen sie die Anmeldedaten der Gegenseite, drangen in die interne Kommunikation des Wallet-Unternehmens Ginco ein und änderten dann eine Überweisung, die normal hätte sein sollen. Im Bybit-Fall hackten sie sich in den Computer eines Entwicklers bei Safe{Wallet} und fügten ein Skript in das Web-Frontend ein; die Unterzeichner sahen immer noch eine normale Seite, aber was sie unterzeichneten, war eine andere Transaktion.
Dazu gehört auch der Binance-Fall diesmal.
Die Angreifer bereiteten sich 36 Stunden im Voraus vor, unterzeichneten 50 EIP-7702-Autorisierungen – eine neue Ethereum-Funktion, die es einem Wallet ermöglicht, vorübergehend ein Programm zur Nutzung zu „mieten" – und ließen dann Binances Hot Wallet das Geld selbst abtransferieren; 40 Minuten, über 10 Netzwerke hinweg. Die Schlussfolgerung eines Sicherheitsunternehmens ist, dass sie sehr wahrscheinlich bereits Zugang zu Binances Signatursystem hatten.
Der Betrag, der in den Fällen dieser Organisation involviert ist
Die zwölf bekanntesten Fälle: 9,7 Milliarden Dollar.
Allein Binance macht 6,3 Milliarden Dollar aus. Die übrigen elf Fälle, von 2022 bis 2026, summieren sich auf 3,44 Milliarden Dollar.
Bybits 1,5 Milliarden Dollar waren das veränderte Frontend; Ronins 620 Millionen Dollar waren der Personalbeschaffungsbetrug; Bitgets 388 Millionen Dollar waren gefälschte Auszahlungsanweisungen, die in das Wallet-System geschrieben wurden.
DMM 308 Millionen Dollar, WazirX 235 Millionen Dollar, Harmony und Atomic je 100 Millionen Dollar, Alphapo 60 Millionen Dollar, CoinEx 55 Millionen Dollar, Stake 41 Millionen Dollar, CoinsPaid 37 Millionen Dollar.
In der Grafik wurden nur die Fälle Binance, Bybit und DMM von der US-Regierung direkt als TraderTraitor benannt. Ronin, Harmony, Stake, Alphapo, CoinsPaid und Atomic wurden vom FBI Lazarus/APT38 zugeordnet; WazirX wurde in einer gemeinsamen Erklärung der Vereinigten Staaten, Japans und Südkoreas im Januar 2025 genannt; CoinEx wurde nur von On-Chain-Analyseunternehmen vermutet. Der Bitget-Fall wird von mehreren Unternehmen verdächtigt, mit TraderTraitor in Verbindung zu stehen, aber keines hat ihn formell zugeordnet.
Laut TRM-Statistiken hat Nordkorea seit 2017 100 Fälle durchgeführt, insgesamt etwa 12,8 Milliarden Dollar; 7,4 Milliarden Dollar allein in diesem Jahr; 85 % der gesamten globalen Krypto-Diebstähle im Jahr 2026 werden Nordkorea zugeschrieben. Diese Tabelle deckt nur zwölf davon ab.Die Personen, deren Gesichter zugeordnet werden können
Es gibt mehr als einen nordkoreanischen Hacker, der von US-Beamten namentlich genannt wurde und für den auch Fotos veröffentlicht wurden. Park Jin Hyok, Jon Chang Hyok und Kim Il waren alle in der Anklage vom Februar 2021 enthalten; im Jahr 2024 wurde Rim Jong Hyok mit einer Belohnung von 10 Millionen Dollar hinzugefügt.
Park Jin Hyok (Park Jin Hyok), vom FBI gesucht
Park Jin Hyok war einer der ersten, gegen die Anklage erhoben wurde: Im Juni 2018 reichte das US-Justizministerium strafrechtliche Anklage gegen ihn ein, und die Anklageschrift wurde im September desselben Jahres entsiegelt. In der Anklageschrift heißt es, die Verschwörung, an der er beteiligt war, umfasste den Angriff auf Sony Pictures im Jahr 2014, den WannaCry-Angriff im Jahr 2017 und die 81 Millionen Dollar, die 2016 von der Bangladesh Bank transferiert wurden. Er ist weiterhin auf der Flucht und ist nie vor Gericht erschienen.
Verfolgung des Binance-Diebstahls
Binance hat etwa 90 % mit Unternehmensmitteln, dem SAFU-Fonds und dem Futures-Versicherungsfonds abgedeckt; die verbleibenden 10 % sind illiquide Token; der gesamte Verlust wird vom Unternehmen getragen, nicht von den Nutzern.
Bis zum 1. November waren etwa 2,7 Milliarden Dollar, also etwa 42 %, von Stablecoin-Emittenten und dem Arbitrum Security Council eingefroren worden. Die Angreifer halten noch 420.000 ETH und 18.270 BTC, etwa 2,4 Milliarden Dollar.
Die Geldwäscheroute ist weiterhin Standardpraxis: Cross-Chain-Bridges zum Wechseln der Chains, Dienste wie THORChain zum Tauschen von Coins, Mixer zum Mischen und Verstreuen der Coins vieler Personen und schließlich außerbörslicher Handel.
Diesmal gab es einige Probleme. THORChain hat kürzlich versehentlich die Geldwäsche der gestohlenen Gelder aus dem Binance-Angriff aufgrund einer Reorganisation der Ethereum-Chain verzögert. Diese Chain-Reorganisation führte dazu, dass THORChain einem Nutzer, der 10 ETH eingezahlt hatte, fälschlicherweise doppelte Rückerstattungen ausstellte, was wiederum eine Notfallpause des Protokolls auslöste und vorübergehend alle Nutzer daran hinderte, Cross-Chain-Swaps durchzuführen, einschließlich der Geldwäscher der nordkoreanischen Hackergruppe.
Letztes Mal passierten die gestohlenen Gelder von Bitget THORChain, und THORChain fror sie überhaupt nicht ein, mit der Begründung, Dezentralisierung bedeute, dass sie nicht eingefroren werden könnten – aber das war nicht, was sie sagten, als sie letztes Mal selbst gehackt wurden. Wenn THORChain den Dienst wieder aufnimmt und die gestohlenen Gelder aus dem diesmaligen Binance-Diebstahl immer noch THORChain passieren, ist unklar, mit welcher Ausrede sie die Leute diesmal abspeisen werden.