Laut Chainalysis entfallen auf mit Nordkorea in Verbindung gebrachte Hacker im Jahr 2026 nahezu 89 % der gemeldeten Verluste durch Krypto-Hacks, während Pjöngjang internationale Sanktionen gegen seine Einnahme- und Waffenprogramme zurückweist.
Zusammenfassung
- Vermutlich mit Nordkorea in Verbindung stehende Angriffe machen in diesem Jahr nahezu 89 % der gemeldeten Verluste durch Krypto-Hacks aus.
- Die durchschnittlichen Verluste pro mutmaßlich mit der DVRK in Verbindung stehendem Hack erreichten 185,65 Millionen US-Dollar, verglichen mit 50,65 Millionen US-Dollar im Jahr 2021.
- Ermittler brachten die gestohlenen Gelder von Binance mit Vermögenswerten in Verbindung, die bei dem im September Nordkorea zugeschriebenen Bitget-Angriff entwendet wurden.
- Pjöngjang wies eine multinationale Sanktionserklärung zurück, die sich mit im Ausland beschäftigten Arbeitskräften, Cyberaktivitäten und militärischer Zusammenarbeit befasst.
Chainalysis veröffentlichte die Zahlen am 30. Oktober und stützte sich dabei auf die bis zum 29. Oktober gemeldeten Verluste. Über den Zeitraum ab 2021 entfielen auf mutmaßliche nordkoreanische Operationen 13,24 Milliarden US-Dollar von 22,34 Milliarden US-Dollar gemeldeter Verluste durch Krypto-Hacks, also rund 59 %.
Der aktuelle Jahresanteil vergleicht sich mit 15 % im Jahr 2021. Aus den veröffentlichten Prozentwerten berechnet, beträgt die Differenz 74 Prozentpunkte, während der durchschnittliche gemeldete Verlust pro mutmaßlich mit Nordkorea in Verbindung stehendem Angriff etwa das 3,7-Fache seines Niveaus von 2021 beträgt.
Nordkoreas Krypto-Diebstähle werden pro Angriff größer
In seiner Bewertung von 2025 schätzte Chainalysis, dass nordkoreanische Hacker in diesem Jahr 2,02 Milliarden US-Dollar stahlen, 51 % mehr als 2024, obwohl sie weniger Angriffe durchführten. Das Unternehmen bezifferte ihre kumulierten Diebstähle bis 2025 auf 6,75 Milliarden US-Dollar.
Seine Forscher beschrieben Operationen mit IT-Arbeitern, die in Kryptowährungsdienste eingeschleust wurden, sowie Identitätstäuschungsschemata, die auf Führungskräfte abzielten. Bei zentralisierten Diensten identifizierte der Bericht Angriffe auf Signaturprozesse und Private-Key-Infrastruktur, einschließlich Bemühungen, legitime Unterzeichner dazu zu bringen, bösartige Transaktionen zu genehmigen.
Allein der Bybit-Sicherheitsvorfall vom Februar 2025 machte 1,5 Milliarden US-Dollar aus. Die historische Bewertung von Chainalysis ergab, dass die drei größten Hacks 69 % der Dienstverluste jenes Jahres ausmachten, wobei einzelne große Sicherheitsverletzungen einen Großteil des gestohlenen Werts ausmachten.
Nach dem Binance-Angriff vom 29. Oktober veröffentlichten Ermittler Schätzungen von über 6 Milliarden US-Dollar für einen einzelnen Vorfall. Wie crypto.news berichtete, schätzte Binance, dass seine Sicherheitsverletzung 6,3 Milliarden US-Dollar betraf, und versprach, Kundenverluste mit Unternehmensmitteln und seinem Secure Asset Fund for Users zu decken.
Binance-Nachverfolgung verbindet zwei Börsendiebstähle
In seiner Untersuchung schrieb Chainalysis den Binance-Diebstahl TraderTraitor zu, einer nordkoreanischen Cyberkriminalitätsgruppe. Ermittler beobachteten, wie gestohlene Binance-Vermögenswerte sich mit Geldern aus dem Bitget-Exploit vom September vermischten, der zuvor nordkoreanischen Akteuren zugeschrieben worden war.
Das Unternehmen bezeichnete die direkte Verbindung zwischen den beiden Pools gestohlener Gelder als seinen stärksten Beweis für die Zuschreibung. Seine Bewertung stützt sich auf Blockchain-Aktivitäten, die nach dem Binance-Sicherheitsvorfall beobachtet wurden.
Unabhängig davon schrieb TRM Labs den Angriff mit hoher Zuversicht TraderTraitor zu und berief sich auf Erkenntnisse, die sowohl auf als auch außerhalb der Blockchain gesammelt wurden. TRM bewertete die Transfers mit 6,36 Milliarden US-Dollar unter Verwendung der Vermögenspreise zum Zeitpunkt der Entnahme der Gelder und verfolgte die Abflüsse über 10 Blockchains.
Seine Ermittler identifizierten Vorbereitungen, die mindestens 36 Stunden vor dem Diebstahl begannen, darunter kleine Tornado-Cash-Abhebungen, eingesetzten Angriffscode und Wallet-Proben. TRM erklärte, die Ethereum-Operation habe vorab signierte Autorisierungen verwendet, während Wallets in anderen Netzwerken gewöhnliche signierte Überweisungen sendeten.
Ermittler beobachten automatisierte Geldwäschemuster
Nach dem Sicherheitsvorfall beobachtete Chainalysis Tausende von Transaktionen, bei denen gestohlene Gelder wiederholt zwischen Adressen zirkulierten und manchmal zu Wallets zurückkehrten, die früher in der Sequenz verwendet worden waren.
Viele Adressen erhielten zunächst genau 1 TRX, bevor sie weitere Gelder annahmen und weiterleiteten. Ermittler erklärten, die wiederholte Sequenz deute auf einen automatisierten Prozess zur Verteilung der gestohlenen Vermögenswerte hin.
Beim ersten Versuch, Stablecoin-Einfrierungen zu umgehen, transferierte der Angreifer 500 Millionen US-Dollar in Stablecoins in eine Wallet, die für Swaps genutzt wurde. Innerhalb von fast 20 Minuten wurden laut dem Unternehmen 325 Millionen US-Dollar gegen 285 Millionen US-Dollar in ETH getauscht. Die verbleibenden 175 Millionen US-Dollar wurden anschließend an Zwischenwallets gesendet.
Binance gab später bekannt, dass es mehr als 6,34 Milliarden US-Dollar zurückgelegt hatte, um betroffene Vermögenswerte zu ersetzen, und begonnen hatte, gestohlene Altcoins zurückzukaufen, und zwar mit Bitcoin, Ethereum und Stablecoins.
Pjöngjang lehnt von den USA unterstützte Sanktionsdurchsetzung ab
In einer separaten diplomatischen Erklärung, die am 31. Oktober von KCNA verbreitet wurde, lehnte ein namentlich nicht genannter Sprecher des nordkoreanischen Außenministeriums einen multinationalen Vorstoß zur Durchsetzung von Sanktionen ab, wie Reuters berichtete.
„Sanktionen und Druck mögen auf die Schwachen wirken, aber niemals auf uns“, sagte der Sprecher mit Bezug auf Maßnahmen gegen das Land und seinen Status als Nuklearwaffenstaat.
In der am 28. Oktober von der Europäischen Union veröffentlichten gemeinsamen Erklärung hieß es, die USA, Australien und die EU hätten Sanktionen verhängt, die sich gegen im Ausland tätige Arbeitskräfte, böswillige Cyberaktivitäten und rechtswidrige Zusammenarbeit zwischen Nordkorea und Russland richteten.
Die von 11 Ländern und der EU herausgegebene Erklärung forderte die UN-Mitgliedstaaten auf, bestehende Resolutionen des Sicherheitsrats umzusetzen. Die Unterzeichner verwiesen auf Berichte des Multilateralen Sanktionsüberwachungsteams, das eingerichtet wurde, nachdem Russland 2024 die Verlängerung des Mandats des früheren UN-Expertengremiums blockiert hatte.
