Wichtige Punkte
- Laut BitOK wurden zwischen Januar und Oktober 2026 bei 38 Vorfällen schätzungsweise Kryptowährungen im Wert von 7,61 Milliarden US-Dollar gestohlen
- Die sechs größten Angriffe nutzten Menschen und Signatursysteme aus statt Code-Schwachstellen
- Durch Kontensperrungen und Beschlagnahmungen wurden 2,86 Milliarden US-Dollar zurückgeholt, während 4,75 Milliarden US-Dollar unerreichbar blieben
Berichteter Wandel von Code-Exploits hin zu kompromittierten Signatursystemen
Das Blockchain-Analyseunternehmen BitOK schätzt, dass nordkoreanische Hacker zwischen Januar und Oktober 2026 bei 38 Vorfällen Kryptowährungen im Wert von 7,61 Milliarden US-Dollar gestohlen haben. Der Bericht benennt sechs große Angriffe und besagt, dass dabei die Personen oder Systeme übernommen wurden, die Auszahlungen autorisieren, statt Code auszunutzen. Dieser Unterschied ist für Sicherheitsprüfungen wichtig: Der berichtete Angriffsweg nahm seinen Anfang außerhalb der Smart-Contract-Logik, die bei regulären Code-Audits untersucht wird.
Laut BitOK wurden 2,86 Milliarden US-Dollar eingefroren oder beschlagnahmt, sodass 4,75 Milliarden US-Dollar unerreichbar blieben. Auf Binance entfallen 6,41 Milliarden US-Dollar der gemeldeten Gesamtsumme, während 32 kleinere Diebstähle, die sich gegen Einzelpersonen und Unternehmen richteten, insgesamt 178,4 Millionen US-Dollar ausmachen. Diese Zahlen zeigen, dass sich die Verluste stark konzentrieren und eine einzelne Börse den größten Teil des gemeldeten Werts ausmacht. Sie zeigen außerdem, dass die durch Eingriffe zurückgeholten Beträge nicht mit der Höhe der gestohlenen Summe Schritt hielten.
Die Zahlen beziehen sich auf einen festgelegten Zeitraum von Januar bis Oktober 2026 und sind Schätzungen, die BitOK zugeschrieben werden. Die zentrale Erkenntnis des Berichts ist nicht, dass die Code-Sicherheit bedeutungslos geworden ist, sondern dass Code-Prüfungen allein die sechs größten Vorfälle nicht verhindert haben. In jedem Fall waren die Auszahlungen gültig signiert oder passierten die üblichen Kontrollen. Aus der Quelle geht nicht hervor, wie BitOK seine Gesamtschätzung berechnet hat. Die gemeldeten Summen sind daher als Einschätzung des Unternehmens zu verstehen.
Wie die Angreifer die Autorisierung erlangten
Bei Binance identifiziert BitOK den Laptop eines DevOps-Ingenieurs und einen Container des Signaturdienstes als Einstiegspunkt der Angreifer. Diese Darstellung stimmt mit früheren, in der Quelle zitierten Erkenntnissen zum Vorfall im Oktober überein. Der Bericht verortet den Angriff daher in den Tools und Zugriffsrechten, mit denen Auszahlungen autorisiert werden, und nicht in einem konkret festgestellten Fehler im Auszahlungscode selbst. Die Quelle beschreibt nicht im Einzelnen, wie der Laptop oder der Container kompromittiert wurde.
An weiteren großen Vorfällen waren andere Systeme beteiligt: Multisig-Unterzeichner bei Drift, einer auf Solana basierenden Handelsplattform, ein einzelner Bridge-Verifizierer bei KelpDAO und das Wallet-System von Bitget. Diese Beispiele umfassen Handels-, Bridge- und Börseninfrastruktur, doch laut BitOK war das Ergebnis jeweils ähnlich: Die Angreifer erhielten eine gültige Autorisierung oder die üblichen Kontrollen wurden erfüllt. Die praktische Sicherheitsbedenken des Berichts lautet, dass der Schutz des Codes jeder einzelnen Anwendung möglicherweise nicht ausreicht, wenn der Signaturprozess übernommen werden kann.
Laut BitOK testeten die Täter vor jedem Raubzug den genauen Ablauf mit kleinen Beträgen. Im Fall von Binance war der Angriffssmartvertrag bereits vier Stunden vor dem Diebstahl öffentlich aktiv. Das deutet darauf hin, dass die Operation eine Testphase umfasste, die vor der großen Überweisung auf der Blockchain sichtbar war. Daraus geht nicht hervor, welche Überwachungssysteme vorhanden waren oder ob der Test damals hätte erkannt werden können. Es zeigt jedoch, warum kleine vorausgehende Transaktionen für Ermittlungen relevant sein können.
Der Wettlauf um den Transfer von Geldern und die Grenzen von Sperren
Die Stichprobe von BitOK mit 540 Transaktionen zeigt außerdem einen Zeitplan, der eher einem Arbeitstag als kontinuierlicher Aktivität ähnelte: 48 % fanden zwischen 16 und 21 Uhr Pyongyanger Zeit statt, und dem Bericht zufolge gab es an nordkoreanischen Feiertagen keine Aktivitäten. Auf Samstag, Sonntag und Montag zusammen entfielen nur 10 % der Transaktionen. Diese Muster können dabei helfen, das Verhalten der Betreiber zu beschreiben, doch aus der Quelle geht nicht hervor, dass sich allein anhand des Zeitpunkts feststellen lässt, wer eine bestimmte Überweisung veranlasst hat.
Nach Beginn eines Angriffs änderte sich das Muster. Dem Bericht zufolge übernahmen Skripte, und die Geldbewegungen gingen rund um die Uhr weiter. Dieser Gegensatz zwischen einem vergleichsweise regelmäßigen Betriebsplan und automatisierten, kontinuierlichen Bewegungen nach einem Vorfall ist für Ermittler bei der Nachverfolgung von Transaktionen relevant. Das bedeutet auch, dass eine anfängliche Kompromittierung schnell zu Aktivitäten führen kann, die nicht demselben augenscheinlichen Arbeitszeitmuster unterliegen. BitOK nennt die konkret eingesetzten Automatisierungstools nicht.
Die Geschwindigkeit ist entscheidend dafür, ob Gelder eingefroren werden können, so BitOK. Innerhalb weniger Minuten nach dem Diebstahl tauschten die Betreiber Stablecoins in ETH um oder liehen sich ETH gegen gestohlene Sicherheiten; dem Bericht zufolge kann ETH nicht von einem Emittenten eingefroren werden. Nach dem rsETH-Bridge-Exploit im April flossen innerhalb von etwas mehr als acht Minuten 52.440 ETH aus Kreditvergabeprotokollen ab. Dadurch bleibt nur ein knappes Zeitfenster für Eingriffe bei Vermögenswerten, deren Emittent sie noch einfrieren kann.
Eine kurze Transaktionsspur verbindet separate Angriffe
Der Geldwäscheprozess konnte anschließend pausieren, bevor die Gelder erneut bewegt wurden. Nach dem rsETH-Vorfall lagen die Vermögenswerte Berichten zufolge 2,5 bis 5 Tage lang unberührt, bevor Skripte sie über THORChain, ein Cross-Chain-Swap-Protokoll, weiterleiteten. BitOK zählte außerdem 2.257 mit Binance verbundene Swaps im Wert von 55,8 Millionen US-Dollar, deren Gesamtkosten 0,50 % betrugen. Die Zahlen zeigen, dass das Verschieben von Geldern über Swaps in dieser Stichprobe relativ kostengünstig war; sie belegen nicht die Kosten der Geldwäsche bei jedem einzelnen Angriff.
Der Unterschied bei den Wiederbeschaffungsquoten verdeutlicht die Grenzen von Einfrierungen. BitOK zufolge wurden 43 % der von Binance gestohlenen Gelder eingefroren oder beschlagnahmt, gegenüber 6 % bei allen anderen großen Angriffen zusammen. Selbst im Fall von Binance war der Zeitpunkt entscheidend: Tether erhielt die erste Aufforderung zum Einfrieren 34 Minuten nach der Auszahlung. Zu diesem Zeitpunkt hatten bereits 345 Millionen USDT die ursprüngliche Adresse verlassen. Dem Bericht zufolge funktionierten Einfrierungen nur bei Stablecoins, die noch nicht weiterbewegt worden waren.
Ein Aufräumfehler lieferte eine weitere Ermittlungsspur. Nachdem ein Akteur 5.047 ETH über Umbra und die Stargate-Bridge transferiert hatte, kehrte er übrig gebliebene Kleinstbeträge in eine Wallet. Am 31. August flossen innerhalb von drei Minuten und 36 Sekunden Gelder von 150 Adressen dorthin. Die Sammelwallet erhielt lediglich 0,27 ETH, doch gemeinsame Abwicklungsadressen stellen eine Verbindung zwischen fünf Angriffen her – vom KelpDAO-Angriff im April bis zu dem auf Binance im Oktober. BitOK geht von einem einzigen Akteur aus, der Geldwäsche betrieb, hält es aber für möglich, dass verschiedene Teams die Hacks verübt haben.
Quelle: BeInCrypto
