Nordkoreanische Hacker verbrachten Tage damit, den vermutlich größten Cyberangriff auf eine Kryptowährungsbörse vorzubereiten. Als die Operation jedoch begann, benötigten sie Berichten zufolge nur 20 Minuten, um digitale Vermögenswerte im Wert von 6,36 Milliarden US-Dollar abzuheben – ein Betrag, der etwa 20 Prozent der Wirtschaftsleistung Nordkoreas entspricht.

Ziel waren Konten bei Binance, der weltweit größten Kryptowährungsbörse mit Sitz in Abu Dhabi. Der Angriff wird „Trader Traitor“ zugeschrieben, einer Elitetruppe, die vom nordkoreanischen Regime für Operationen mit großer Wirkung organisiert wurde. Nach Angaben des FBI steht die Gruppe an der Spitze eines größeren Netzwerks von etwa 6.000 nordkoreanischen Cyberkriminellen, die mit dem Sicherheitsapparat des Landes verbunden sind.

Die genaue Methode des jüngsten Angriffs ist weiterhin unklar. Binance untersucht, ob der Laptop eines Mitarbeiters kompromittiert und anschließend zur Autorisierung von Kryptowährungsüberweisungen verwendet wurde. Das FBI erklärte, es habe die Hacker verfolgt, während diese einen Großteil des gestohlenen Geldes umwandelten, insbesondere in Ethereum. Südkoreanische Beamte berichteten, dass die Börse überrascht worden sei und Notfallmaßnahmen nur geringe Wirkung gehabt hätten. Dies unterstreiche die Fähigkeiten nordkoreanischer Akteure im Cyberspace.

Pjöngjangs Cyberoperationen beschränken sich nicht auf Finanzdiebstahl. Nordkorea nimmt auch die Führungsnetzwerke ausländischer Streitkräfte ins Visier. Nach Angaben des Berichts registrierte das südkoreanische Militär allein im vergangenen Jahr 19.000 Cyberangriffe, die von Nordkorea ausgingen.

Unter Kim Jong-un sind Cybergruppen zu einem zentralen Bestandteil der nordkoreanischen Verteidigungs-, Spionage- und Devisenstrategie geworden. Das Analyseunternehmen Chainalysis berichtete, dass Nordkorea in diesem Jahr für 89 Prozent der weltweit durch Hackerangriffe gestohlenen Kryptowährungen verantwortlich war. Eine im Oktober vom Deutschen Institut für Internationale Politik und Sicherheit veröffentlichte Studie beschrieb die Cyberaktivitäten des Landes als langfristiges nationales Projekt, dessen Professionalität mit den Cyberprogrammen Chinas und Russlands vergleichbar sei.

Der Bericht erklärte, nordkoreanische Hacker seien für Finanzdiebstahl in einem Ausmaß verantwortlich, das mit keinem anderen Land in Verbindung gebracht werde. Außerdem brachte er die Ausweitung des Programms mit internationaler Unterstützung in Verbindung, insbesondere durch China und Russland.

Nordkorea verstärkte seine Cyberoperationen, nachdem die internationalen Sanktionen vor etwa einem Jahrzehnt verschärft worden waren. Zwischen 2022 und 2024 sollen nordkoreanische Hacker Kryptowährungen im Wert von 4 Milliarden US-Dollar gestohlen haben. Im vergangenen Jahr erbeutete Trader Traitor bei einem einzigen Angriff auf die Börse Bybit 1,5 Milliarden US-Dollar.

Es wird angenommen, dass die gestohlenen Gelder Nordkoreas Atom- und Raketenprogramme unterstützen. Die Fachpublikation 38 North bezeichnete die digitalen Vermögenswerte als Schattenfonds, der herkömmliche Sanktionen umgehen könne. Sie charakterisierte das System als eine staatlich gelenkte digitale Kleptokratie, die ähnlich wie ein Staatsfonds funktioniere, durch gestohlene Kryptowährungen finanziert werde und vor traditionellen Finanzkontrollen geschützt sei. Künstliche Intelligenz und nordkoreanische IT-Arbeitskräfte, die weltweit eingesetzt werden, helfen dem Bericht zufolge dabei, die Operation auszuweiten.

Die Vereinigten Staaten, Japan und Südkorea bildeten 2025 eine Partnerschaft, um nordkoreanische Cyberangriffe abzuwehren; dabei sollen auch private Unternehmen einbezogen werden. In einer gemeinsamen Erklärung erklärten die drei Länder, Nordkoreas Cyberprogramm bedrohe ihre Länder und die internationale Gemeinschaft insgesamt, insbesondere die Integrität und Stabilität des internationalen Finanzsystems. Ihre Zusammenarbeit sollte sowohl künftige Diebstähle verhindern als auch bereits gestohlene Vermögenswerte zurückholen.

Ein früherer Fall veranschaulichte die von nordkoreanischen Akteuren eingesetzten Methoden. Die japanische Polizei und das FBI erklärten, ein Hacker habe sich auf LinkedIn als Personalvermittler ausgegeben und einen Mitarbeiter eines Unternehmens kontaktiert. Dem Mitarbeiter wurde ein angeblicher Einstellungstest geschickt, der den Angreifern Zugang zu den Systemen des Unternehmens verschaffte. Anschließend gaben sie sich bei einer Anfrage an die japanische Kryptowährungsbörse DMM als der Mitarbeiter aus, was zum Verlust von 4.502,9 Bitcoin führte, die damals mit 308 Millionen US-Dollar bewertet wurden.

Der Diebstahl von Kryptowährungen ist zu einer der wichtigsten Einnahmequellen Nordkoreas geworden. Chainalysis schätzte, dass nordkoreanische Gruppen im gesamten Jahr 2025 durch Angriffe auf Börsen und Cybererpressung etwa 2 Milliarden US-Dollar einnahmen – weniger als ein Drittel des Betrags, der Berichten zufolge beim jüngsten Raubzug erbeutet wurde. Die Südkoreanische Zentralbank schätzt Nordkoreas Bruttonationaleinkommen auf umgerechnet 32,3 Milliarden Euro.

Nordkorea hat auch durch andere Aktivitäten Einnahmen erzielt. Bloomberg Economics berechnete, dass das Land seit Beginn des Krieges in der Ukraine im Jahr 2022 möglicherweise 22 Milliarden US-Dollar von Russland erhalten hat – im Austausch für Waffen, Munition und Raketen sowie für Soldaten, die an die russische Front geschickt wurden. Ein multinationales Team zur Überwachung von Sanktionen schätzte, dass Nordkorea durch die Entsendung von Zwangsarbeitern ins Ausland bis zu 800 Millionen US-Dollar verdient. Das Team erklärte, bis zu 100.000 nordkoreanische Arbeiter seien derzeit in Fabriken, im Baugewerbe und in anderen Bereichen beschäftigt; ihre Löhne würden größtenteils vom Regime beschlagnahmt.

Quellen: FAZ.