Nordkoreanische Infiltration in 1.640 Unternehmen zur Kryptowährungsdiebstahl entdeckt

• Während der Diebstahl mit Code Millionen im Netz summiert, eskalieren die gewalttätigen Angriffe auf der Straße.
• Nordkoreanische Hacker dringen in Unternehmen ein, indem sie sich als Remote-Mitarbeiter ausgeben.

Vangelis Stykas, CTO von Kumio, gelang es, in die Infrastruktur einer nordkoreanischen Cyber-Spionagegruppe einzudringen, nachdem die Angreifer ihre eigenen Systeme infiziert hatten. Nach 22 Monaten der Überwachung in ihren Slack- und Discord-Kanälen sammelte Stykas 5 Terabyte interne Informationen.

Die Leckage setzte 1.640 weltweit betroffene Organisationen aus. Von dieser Gruppe litten zwischen 700 und 800 unter schweren Sicherheitsverletzungen, die Root-Zugriffe auf Server von Amazon Web Services (AWS) und private Schlüssel von Kryptowährungsplattformen gefährdeten.

Was Stykas enthüllte, stimmt mit einem Bericht von Chainalysis überein, der bestätigt, dass die gewalttätigen Diebstähle gegen Kryptowährungsbesitzer im ersten Halbjahr 30 Millionen Dollar ausmachten, was einem Anstieg von 37 % im Vergleich zu 2023 entspricht, wie CriptoNoticias zuvor berichtete.

Die Beweise zeigen klar, dass die Kryptowährungsindustrie mit einer multidimensionalen Bedrohung konfrontiert ist. Auf der einen Seite der Cyberkrieg, angeheizt von nordkoreanischen Hackern und dem Fortschritt der künstlichen Intelligenz zur Ausnutzung von Code-Schwachstellen; auf der anderen Seite das Eindringen der organisierten Kriminalität auf physischer Ebene.
Shenyang (China) ist der wichtigste operative Stützpunkt der nordkoreanischen Hacker außerhalb ihres Territoriums, von wo aus sie die Eindringlinge in die 1.640 Unternehmen zur Entwendung von Kryptowährungen verwalteten. Quelle: CriptoNoticias / Erstellt mit Gemini.

Der Köder des perfekten Angebots {#h-der-köder-des-perfekten-angebots}

Laut Stykas beginnt die Jagd auf die Schwachstelle, wenn ein Entwickler, der für mehrere Unternehmen Dienstleistungen erbringt, ein Angebot über LinkedIn für einen neuen Job mit einem verlockenden Gehalt erhält. Um sich für die Stelle zu bewerben, lädt er die <<technische Prüfung>> auf demselben Computer herunter, mit dem er täglich arbeitet. Die Datei führt den schädlichen Code (Malware) auf seiner Maschine aus und die Hacker stehlen seine Unternehmenspasswörter und Zugriffsdateien auf die Server seiner aktuellen Kunden.

Eine andere Methode ist die direkte Infiltration. Dabei bewirbt sich der nordkoreanische Hacker mit einer falschen Identität um die Stelle. Nach der Remote-Einstellung erhält das Unternehmen interne Zugänge (Slack, Code-Repositories, Server). Von innen infiziert der Hacker das Unternehmensnetzwerk oder extrahiert direkt sensible Informationen und private Schlüssel.

Zu den von Stykas bestätigten Opfern gehören Coinbase, Uniswap Labs, das Kinderkrankenhaus von Boston und der Oberste Rat der Justiz von Italien, sowie Technologie- und Finanzunternehmen aus Asien und Europa. Das Hauptziel der Hacker ist der Diebstahl von Bitcoin und Kryptowährungen.

Die Beute fließt in das nordkoreanische Atomprogramm. Die Lazarus-Gruppe stahl 2,020 Milliarden Dollar in Kryptowährungen im Jahr 2025 (51 % mehr als im Vorjahr). Seit 2017 übersteigt die Summe 6,750 Milliarden.

Nur im April 2026 wurden bei den Angriffen auf die dezentralen Finanzplattformen (DeFi) KelpDAO und Drift Protocol 577 Millionen Dollar in Krypto-Assets entwendet. Dieses Geld finanziert ballistische Raketen und Atomtests und umgeht Sanktionen, wie die Ermittlungen bestätigen.

Doch das Beunruhigendste an den Erkenntnissen ist, dass die Hacker angeheuert werden. Sie geben sich als Remote-Mitarbeiter aus, beziehen Gehälter im Westen, nehmen an Besprechungen teil und filtern Informationen. Stykas fasste es mit einer unangenehmen Frage zusammen: <<Bist du dir sicher, dass dieser Star-Ingenieur, der von zu Hause aus arbeitet, wirklich existiert?>>.

Wenn rohe Gewalt Phishing ersetzt {#h-wenn-rohe-gewalt-phishing-ersetzt}

Der <<Schraubenschlüssel-Angriff>> verwendet keinen schädlichen Code. Er nutzt Schläge, Drohungen und Freiheitsentzug. Das Opfer gibt den privaten Schlüssel preis oder erleidet die Konsequenzen. Die Transaktion ist sofort und unwiderruflich, und es gibt keine Zentralbank, die sie stoppen kann.

Chainalysis bestätigt 46 gewalttätige Vorfälle im ersten Halbjahr 2026. Wenn der Trend anhält, wird das Jahr die 58 Millionen Dollar übersteigen, die 2025 registriert wurden, dem bisher höchsten gemeldeten Niveau.

Die Einbrüche sind von 26 % auf 37 % der Fälle gestiegen. Entführungen bleiben lukrativer (53 % der Beute), aber in ein Haus einzubrechen ist einfacher, als einen Geisel tagelang zu halten.
Das Diagramm zeigt die zunehmende Dominanz von Entführungen und den Anstieg der Hausdurchsuchungen. Quelle: Chainalysis.

Chainalysis deckt den Auslöser des Anstiegs in Frankreich auf. Ein Beamter des Finanzministeriums stahl und verkaufte 2024 eine Datenbank mit den Namen, genauen Adressen, Telefonnummern und Krypto-Wallets der wichtigsten Hodler des Landes.

Die Kriminellen hätten diese Liste gekauft und Überwachungsoperationen eingerichtet. In mehr als 40 % der Vorfälle in Frankreich bedrohten die Angreifer direkt die Angehörigen des Opfers, um die Zahlung zu erzwingen.

Was die Spur der Kryptowährungen offenbart {#h-was-die-spur-der-kryptowährungen-offenbart}

Die Analyse der gestohlenen Gelder zeigt drei Ebenen der Raffinesse bei der Verarbeitung der Beute:

• Opportunisten: nutzen zentralisierte Krypto-Börsen, um die Vermögenswerte zu liquidieren, was sie für die Behörden leicht nachvollziehbar macht.

• Technische Angreifer: verwenden Brücken zwischen Krypto-Netzwerken und Mixing-Protokollen, um die digitale Spur der digitalen Vermögenswerte zu fragmentieren und zu verbergen.

• Netzwerke der organisierten Kriminalität: betreiben integrierte Strukturen, die die Vermögenswerte direkt in die Finanzierung des Drogenhandels und des internationalen Terrorismus leiten.

Diese Progression bestätigt, dass der Schraubenschlüssel-Angriff bereits eine industrialisierte Praxis ist.

Beide Berichte kommen zu derselben Warnung, dass Krypto-Besitzer in zwei Dimensionen gejagt werden. In der digitalen und in der physischen.

Außerdem können sich beide Bereiche gegenseitig beeinflussen. Nordkoreanische Piraten besitzen Schlüssel, die sie an kriminelle Netzwerke verkaufen könnten; die Netzwerke haben Standorte, die sie mit staatlichen Akteuren teilen könnten. Digitale Vermögenswerte sind jetzt die perfekte Beute für beide.

Der beste Schlüssel reicht nicht aus {#h-der-beste-schluessel-reicht-nicht-aus}

Für private Inhaber von Krypto-Vermögenswerten ist es notwendig, das Vermögen zu verstecken. Der private Schlüssel von Krypto-Wallets muss nicht nur vor Hackern geschützt werden, sondern auch vor denen, die wissen, wo du lebst.

Für Unternehmen, insbesondere im Krypto-Bereich, ist die Überprüfung eines Remote-Mitarbeiters kein Personalprozess, sondern ein nationaler Sicherheitsfilter.

Der wahre Paradigmenwechsel liegt nicht in der Raffinesse der eingesetzten Werkzeuge, sondern in dem Verschwinden der defensiven Grenzen. Wenn ein Cyberangriff ein Nuklearprogramm in Asien finanzieren kann und die Leckage einer Datenbank die physische Integrität einer Familie in Europa gefährden kann, wird Cybersicherheit zu einer Überlebensfrage.

Privatsphäre, weit entfernt von einem Privileg oder einer technischen Option, ist zusammen mit der ständigen Überprüfung die einzige mögliche Verteidigungslinie.
Tags: Bitcoin (BTC)HackerNeuigkeitenPrivatsphäre und Anonymität