Das FBI hat einen Kryptowährungsdiebstahl im Umfang von über 6 Milliarden Dollar der Nordkorea nahestehenden Hackergruppe TraderTraitor zugeschrieben, wie The Hacker News am 1. November berichtete. Binance teilte mit, die Auszahlungen schrittweise wieder aufzunehmen, nachdem sie nach dem Vorfall ausgesetzt worden waren. Die Einzahlungsdienste blieben dagegen geöffnet und unberührt.
Dem Bericht zufolge beläuft sich der Diebstahl auf 6,43 Milliarden Dollar, verteilt auf elf Blockchains. 82 Prozent der gestohlenen Mittel entfielen auf Ethereum und Bitcoin. Laut dem Bericht haben Tether, Circle, Ripple, Arbitrum und Optimism 2,85 Milliarden Dollar on-chain eingefroren, also auf der Blockchain gesperrt. Die gemeldete Beute übertrifft die 1,46 Milliarden Dollar, die im Februar 2025 bei Bybit gestohlen wurden, und ist damit der größte bisher gemeldete Kryptowährungsdiebstahl.
Für Binance-Kunden bedeutet das zunächst, dass die Auszahlungen schrittweise zurückkehren. Für Kryptounternehmen und Entwickler lenkt die Zuschreibung den Blick auf eine Gruppe, deren dokumentierte Kampagnen gefälschte Rekrutierungsangebote und kompromittierte Entwicklungswerkzeuge nutzen, um Informationen zu stehlen und Fernzugriff zu erlangen.
Auszahlungen laufen wieder an, während die Ermittler die Gelder verfolgen
Das FBI, der U.S. Secret Service und die Criminal Investigation der Internal Revenue Service gaben an, beobachtet zu haben, dass die Angreifer die gestohlenen Vermögenswerte vor allem in Ethereum, kurz ETH, umwandelten, berichtete The Hacker News. Das FBI rechnet mit weiterer Geldwäsche über dezentrale Finanzdienste, kurz DeFi, und sofortige Kryptowährungs-Tauschdienste. Dieser erwartete nächste Schritt ist von den Umwandlungen zu unterscheiden, die die Ermittler nach eigenen Angaben bereits beobachtet hatten.
Die Behörde veröffentlichte außerdem Wallet-Adressen, die die Angreifer nach ihren Angaben zur Geldwäsche nutzten.
Binance teilte mit, dass die erste Phase der Wiederherstellung der Auszahlungen am 1. November zwischen 06:00 und 09:00 Uhr UTC begonnen habe. In der von The Hacker News wiedergegebenen Erklärung hieß es, die Börse habe Vorsichtsmaßnahmen getroffen, die Sicherheit bewertet und die Einsatzbereitschaft der betroffenen Dienste geprüft. Weitere Auszahlungen sollten schrittweise folgen, sobald diese Prüfungen abgeschlossen seien.
Das Blockchain-Analyseunternehmen Elliptic beschrieb den Diebstahl als eine Summe, die die insgesamt von Nordkorea gestohlenen Kryptowerte nahezu verdoppelt. In der von The Hacker News zitierten Erklärung sagte Elliptic, Akteure mit Verbindung zu dem Land sollen in den vergangenen Jahren mehr als 6,5 Milliarden Dollar gestohlen haben.
TraderTraitor wird auch als Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces und UNC4899 geführt. Die Gruppe ist seit mindestens 2020 aktiv und hat Ziele im Kryptosektor schon mehrfach dazu bewogen, Anwendungen mit Schadsoftware herunterzuladen. Frühere Diebstähle, die der Gruppe zugeschrieben werden, betreffen Angriffe auf DMM Bitcoin, Bybit, KelpDAO und Bitget.
Rekrutierungsköder dringen in Entwicklerprozesse vor
Gesonderte Berichte, die The Hacker News aufgreift und die sich auf SentinelOne, Zscaler ThreatLabz und Microsoft stützen, zeigen, dass die Gruppe bösartige Terraform-Provider und Scheinfirmen einsetzt, um Personen aus Cybersicherheit, KI, Blockchain und Personalrekrutierung anzusprechen.
Terraform-Provider sind Komponenten, die ein Werkzeug zur Infrastrukturverwaltung nutzt, um mit Diensten zu interagieren. In der beschriebenen Angriffskette liefert ein Provider, der so verändert wurde, dass er Schadcode enthält, einen Bash-Loader aus. Dabei handelt es sich um ein Skript, das weitere Schadsoftware herunterlädt und startet. Der Loader wählt eine Nutzlast für das Betriebssystem des Opfers aus, wodurch die Kampagne macOS-, Linux- und Windows-Systeme erreichen kann.
Zur Kette gehört FLATROOF, ein Implantat, das einen auf Python basierenden Infostealer einsetzt, um sensible Daten zu sammeln. Anschließend folgt die Backdoor ROOFDECK, die Angreifern Fernsteuerung und dauerhaften Zugriff verschafft. Diese Erkenntnisse beschreiben die breiteren Methoden der Gruppe und nicht einen belegten Einstiegspunkt für den nun gemeldeten Diebstahl.
In einer Analyse von Microsoft Threat Intelligence vom 29. Oktober hieß es, Jade Sleet habe innerhalb einer einzigen Woche Kampagnen über drei Scheinfirmen gestartet. Eine davon gab sich als KI-gestütztes Blockchain-Intelligence-Unternehmen aus. Die Angreifer nutzten zugeschnittene Domains, Social-Media-Profile und Branchenwissen, um potenzielle Softwareentwickler anzusprechen und Vorstellungsgespräche zu vereinbaren. Zwei weitere Scheinfirmen unterstützten in diesem Zeitraum ähnliche Rekrutierungskampagnen.
Microsoft stuft den KI-Einsatz als fest in die Arbeitsabläufe von Jade Sleet verankert ein. Das Unternehmen beschrieb KI als Beschleuniger bestehender Aktivitäten, etwa bei der Erstellung von Ködern, der Entwicklung falscher Personas und bei Infrastrukturarbeiten. Zugleich schätzt Microsoft ein, dass KI-gestützte Operationen nordkoreanischer Akteure weiterhin von Menschen gesteuert werden.
Seine weiteren Erkenntnisse umfassen, dass Onyx Sleet in wenigen Minuten Dutzende zugeschnittene Köder erstellt, Coral Sleet rasch eine Methode entwickelt hat, um Schadcode in private Quell-Repositories einzuschleusen, und Diamond Sleet KI nutzt, um Zielauswahl, Personas und Scheinfirmen zu unterstützen. Microsoft erklärte außerdem, dass Onyx Sleet und Pearl Sleet ARTEX verwenden, ein Open-Source-KI-Framework für Penetrationstests. Diese Beobachtungen betreffen unterschiedliche Gruppen und sollten nicht als Methoden verstanden werden, die im Kryptodiebstahl nachgewiesen wurden.
Maßnahmen für Sicherheitsteams und Personalverantwortliche
Microsofts Empfehlungen decken das breitere Bedrohungsumfeld Nordkoreas ab, das Phishing, Schadsoftware, exponierte Systeme und das Einschleusen von Mitarbeitenden umfasst. Für Organisationen, die mit rekrutierungsbezogenen Angriffen konfrontiert sind, empfiehlt das Unternehmen, Beschäftigte darin zu schulen, unaufgeforderte Kontaktaufnahmen, verdächtige Anhänge und Anfragen über soziale Netzwerke oder Messenger-Apps zu erkennen und verdächtige Aktivitäten zu melden.
Einstellungsteams sollten Kandidaten, die über Personalagenturen vermittelt werden, genau prüfen, Namen, Adressen und Daten über Bewerbungen und Hintergrundprüfungen hinweg abgleichen und Referenzen telefonisch oder per Video überprüfen. Microsoft empfiehlt außerdem, nach doppelten beruflichen Profilen oder Telefonnummern zu suchen, zu prüfen, ob dieselbe Persona bei mehreren Unternehmen auftaucht, und mehrere Videogespräche zu führen. Wiederholte Probleme mit Kamera oder Mikrofon gelten in den Empfehlungen als Warnzeichen, ebenso wie ein fehlender oder widersprüchlicher digitaler Fußabdruck.
Sicherheitsadministratoren sollten Antivirendefinitionen und den Echtzeitschutz aktuell halten, den cloudbasierten Schutz aktivieren und Endpoint-Detection-and-Response-Werkzeuge einsetzen, die schädliche Aktivitäten auch nach einem ersten Einbruch blockieren können. Microsoft führt als relevante Erkennung die Defender-for-Endpoint-Warnung „Jade Sleet threat actor activity detected“ auf.
Für Microsoft-Umgebungen gehören zu den Empfehlungen Safe Links und Safe Attachments, die nachträgliche Entfernung schädlicher E-Mails über Zero-hour auto purge sowie das Blockieren der Gerätecode-Authentifizierung, wo immer möglich. Wenn diese Authentifizierungsmethode notwendig ist, sollten Administratoren sie über Microsoft-Entra-Richtlinien für bedingten Zugriff steuern.
Microsoft empfiehlt außerdem, die öffentliche Erreichbarkeit von Systemen zu verringern, nach Möglichkeit geschützten Netzwerkzugang zu nutzen, notwendige öffentliche Server hinter Schutzinfrastruktur zu platzieren und Patches zu automatisieren. Seine Empfehlungen zur Reduzierung der Angriffsfläche umfassen das Blockieren von ausführbaren E-Mail-Inhalten, nicht vertrauenswürdigen ausführbaren Dateien und möglicherweise getarnten Skripten. Einsatzteams können die E-Mail-Untersuchungswerkzeuge nutzen, um zugestellte Phishing-Nachrichten zu finden und zu entfernen, auch solche mit Betreffzeilen oder URLs, die bekannten schädlichen Beispielen ähneln.
