Kryptowährungsdiebstahl durch nordkoreanische Hacker
Ein institutioneller Kryptowährungsinhaber hat Berichten zufolge etwa 2,84 Millionen Dollar in einem vermuteten Angriff der mit Nordkorea verbundenen Hackergruppe SquidSquad verloren. Der Blockchain-Ermittler ZachXBT gab den mutmaßlichen Diebstahl am 21. Oktober bekannt und identifizierte den 8. Oktober als Datum des Vorfalls auf der BNB Smart Chain.
Details des Angriffs
Er detaillierte eine Reihe von Transaktionen, die angeblich die Erlöse durch mehrere Wallets bewegten, bevor sie bei chinesischen OTC-Kryptowährungs-Händlern landeten. Laut dem Ermittler fand die letzte Aktivität am 20. Oktober statt, als der Angreifer 1.111,2 ETH in Tornado Cash einzahlte und anschließend die Mittel auf drei separate Ethereum-Adressen abhob.
„Die Untersuchung identifizierte finanzielle Verbindungen zwischen den in den Transfers verwendeten Wallets und Adressen, die zuvor nordkoreanischen Betreibern zugeordnet wurden.“
Die Ergebnisse bleiben jedoch eine On-Chain-Zuordnung, und die Identität der betroffenen Institution wurde nicht öffentlich bekannt gegeben. Nach dem vermuteten Diebstahl am 8. Oktober scheint der Angreifer die Kontrolle über die Erlöse bis zur letzten Bewegung behalten zu haben, die die Umwandlung oder Übertragung der Vermögenswerte in Ethereum beinhaltete, bevor sie durch das Datenschutzprotokoll gesendet wurden.
Transaktionsanalyse
ZachXBTs Transaktionsanalyse identifizierte drei Adressen, die Gelder erhielten, die aus Tornado Cash abgehoben wurden. Von diesen Wallets wurden die Vermögenswerte von Ethereum nach Tron unter Verwendung von USDT0, einer Version von Tether, transferiert. Die Transfers brachten schließlich die Mittel in zwei Tron-Adressen zusammen, die vom Ermittler als TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU und TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux identifiziert wurden.
Beide Wallets hatten Berichten zufolge Transaktionskontakte zu Adressen, die zuvor mit nordkoreanischen Kryptowährungsoperationen in Verbindung standen. ZachXBT identifizierte in den bereitgestellten Ergebnissen keine spezifischen früheren Vorfälle, die mit diesen Adressen verbunden waren.
Vermeidung von Sperrungen
Innerhalb von Minuten nach der Konsolidierung durchliefen die Gelder Zwischenwallets, bevor sie Adressen erreichten, die chinesischen OTC-Händlern zugeordnet wurden. Der Ermittler vermutete, dass die schnellen Transfers dazu dienten, eine mögliche Sperrung durch Tether zu vermeiden, die USDT in Adressen auf unterstützten Blockchains einschränken kann.
Obwohl die Untersuchung die gemeldeten Bewegungen zu OTC-Zielen zurückverfolgte, stellten die öffentlichen Ergebnisse nicht fest, ob die Betreiber eine Umwandlung in Fiat-Währung abgeschlossen hatten oder ob ein Teil der gestohlenen Vermögenswerte anschließend eingefroren wurde.
Frühere Ermittlungen und Verbindungen
Der jüngste Fall folgt einer Untersuchung vom 5. Oktober, in der ZachXBT sagte, er habe ein vermutetes Kryptowährungs-Wäsche-Netzwerk infiltriert, das mit Nordkoreas Lazarus-Gruppe verbunden ist. Wie crypto.news zuvor berichtete, sagte der Ermittler, er habe 349.700 Dollar ausgegeben, um als Kunde aufzutreten, um Transaktionen im Zusammenhang mit dem 1,5 Milliarden Dollar Diebstahl von Bybit im Jahr 2025 zurückzuverfolgen.
Seine Ergebnisse identifizierten einen angeblichen chinesischen Betrieb, der mehr als 1 Milliarde Dollar über mehrere Kryptowährungs-Exploits verarbeitet hatte, obwohl die behauptete Größe des Netzwerks nicht unabhängig durch öffentlich verfügbare US-Vollstreckungsunterlagen bestätigt wurde.
Ähnliche Vorfälle
Separate Ermittlungen zu Kryptowährungsdiebstählen haben ähnliche Bewegungen durch Tornado Cash dokumentiert, einschließlich Transaktionen, die Vermögenswerte betreffen, die Anfang dieses Jahres vom Drift Protocol gestohlen wurden. Am 20. Oktober transferierten Wallets, die mit dem Drift Protocol-Exploits in Verbindung standen, etwa 25.700 ETH im Wert von 61,56 Millionen Dollar in das Datenschutzprotokoll nach einer Phase begrenzter Aktivität.
Drift erlitt im April Verluste, die auf 285 Millionen Dollar geschätzt wurden, wobei eine anschließende forensische Untersuchung durch die Cybersicherheitsfirma Mandiant den Angriff der UNC6862, einer nordkoreanischen Bedrohungsgruppe, zuschrieb.
Die Drift-Transfers wurden am selben Tag gemeldet wie die Bewegungen, die im SquidSquad-Fall identifiziert wurden, obwohl die Ermittler nicht festgestellt haben, dass die beiden Transaktionen die gleichen Betreiber betrafen oder koordiniert waren.
Schlussfolgerung
Eine Bedrohungsbewertung für Kryptowährungen aus Nordkorea im Jahr 2026 stellte fest, dass SquidSquad mit Kampagnen in Verbindung stand, die auf Kryptowährungsgründer, Führungskräfte und wohlhabende Investoren abzielten. Laut dem Bericht gibt sich die Gruppe häufig als Risikokapitalgeber, Investoren und Geschäftskontakte aus, bevor sie versucht, bösartige Dokumente oder Software über Messaging-Plattformen wie Telegram und LinkedIn zu verbreiten.
Forscher verbanden die Gruppe mit Malware-Familien wie RustBucket, SwiftBucket und NimDoor und identifizierten Tornado Cash als einen der Dienste, die verwendet wurden, um gestohlene Gelder zu bewegen. Ähnliche Methoden sind in anderen nordkoreanischen Hacker-Kampagnen aufgetaucht, wobei die Lazarus-Gruppe Kryptowährungsführungskräfte durch gefälschte Meeting-Einladungen und bösartige macOS-Software anvisierte, laut einer Untersuchung im April durch die Cybersicherheitsfirma CertiK.
