Bedrohung Nr. 1: Wie die Lazarus Group Kryptounternehmen ins Visier nimmt

Mit Nordkorea verbundene Hacker haben in den vergangenen Jahren Milliarden US-Dollar aus der Kryptowährungsbranche gestohlen. Doch ein Name taucht in Berichten über Cyberkriminalität häufiger auf als die meisten anderen: Lazarus Group. Wie konnte sich eine staatlich unterstützte Hackeroperation den Kryptomarkt als Einnahmequelle erschließen, und warum lässt sie sich so schwer stoppen?

Die Lazarus Group wird typischerweise als einzelne Hackergruppe dargestellt, ist in der Praxis jedoch Teil einer weitaus umfassenderen nordkoreanischen Cyberoperation. Verschiedene Untersuchungen haben verbundene Einheiten und Gruppen unter Namen wie APT38, BlueNoroff, TraderTraitor und weiteren Bezeichnungen identifiziert.

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

Was Lazarus auszeichnet, ist die Verbindung zum Staat. US-Behörden bringen die Gruppe mit dem Reconnaissance General Bureau Nordkoreas in Verbindung und gehen davon aus, dass die gestohlenen Gelder dem Land trotz internationaler Sanktionen den Zugang zu Fremdwährungen ermöglichen.

Kryptowährungen haben sich als besonders attraktives Ziel erwiesen: Große Summen können aus der Ferne gestohlen, schnell über verschiedene Blockchains bewegt und auf Tausende Adressen verteilt werden.

Von Banken zu Kryptobörsen

Die Geschichte der Lazarus Group begann lange bevor digitale Vermögenswerte den Massenmarkt erreichten. Die Gruppe wurde mit dem Angriff auf Sony Pictures im Jahr 2014 in Verbindung gebracht, während mit Nordkorea verbundene Hacker 2016 über das SWIFT -System 81 Millionen US-Dollar aus der Zentralbank von Bangladesch stahlen.

Der nächste Wendepunkt kam mit der Expansion des Kryptowährungsmarkts. Anders als traditionelle Banken kontrollierten Kryptounternehmen große Mengen liquider Vermögenswerte, waren rund um die Uhr aktiv und hingen häufig von wenigen Mitarbeitern, Private Keys oder Systemen zur Transaktionssignierung ab.

Einer der größten Angriffe war der Hack der Ronin Bridge im März 2022. Aus dem mit Axie Infinity verbundenen System wurden Vermögenswerte im Wert von etwa 620 Millionen US-Dollar gestohlen. Das FBI schrieb die Operation später offiziell der Lazarus Group und APT38 zu.

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

Im Juni desselben Jahres wurde die Horizon Bridge von Harmony angegriffen, wodurch Verluste von rund 100 Millionen US-Dollar entstanden. 2023 kamen Atomic Wallet, Alphapo, CoinsPaid und Stake.com auf die Liste der Opfer, während Japans DMM Bitcoin 2024 weitere 308 Millionen US-Dollar verlor.

In nur wenigen Jahren Milliarden gestohlen

Der aufsehenerregendste Vorfall ereignete sich im Februar 2025, als Bybit etwa 1,5 Mrd. US-Dollar verlor. Das FBI brachte den Diebstahl mit der nordkoreanischen Kampagne TraderTraitor in Verbindung. Gemessen an der Beutesumme war es der größte einzelne Kryptowährungsdiebstahl der Geschichte.

Chainalysis schätzte, dass mit Nordkorea verbundene Gruppen allein 2025 mindestens 2 Mrd. US-Dollar in Kryptowährungen stahlen. Bis Ende desselben Jahres hatte sich die kumulierte Summe über die Vorjahre auf 6,75 Mrd. US-Dollar belaufen.

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

Die Angriffe setzten sich 2026 fort. Forscher brachten große Diebstähle bei Drift Protocol und KelpDAO mit nordkoreanischen Akteuren in Verbindung, während der Bitget-Hack im September die in diesem Jahr gestohlene Summe auf über 1 Mrd. US-Dollar steigen ließ.

Nicht jeder Angriff nordkoreanischer Gruppen wird offiziell der Lazarus Group selbst zugeschrieben, und verschiedene Namen beziehen sich häufig auf separate Teams innerhalb desselben staatlich unterstützten Systems. Daher ist es präziser zu sagen, dass mit Nordkorea verbundene Hacker bis Herbst 2026 mehr als 7 Mrd. US-Dollar in Kryptowährungen gestohlen hatten, wobei Lazarus eine der zentralen Komponenten dieser Operation blieb.

Hacker greifen Menschen an, nicht Blockchains

Große Lazarus-Operationen beginnen zunehmend nicht mit einer Schwachstelle in einem Smart Contract, sondern mit dem Zugang zu einem Mitarbeiter oder den internen Systemen eines Unternehmens. Gefälschte Recruiter kontaktieren Entwickler über LinkedIn, versenden „Testaufgaben“, schädliche Dateien oder Repositories und versuchen, Zugangsdaten oder Zugriff auf Arbeitsgeräte zu erlangen.

US-amerikanische und japanische Behörden beschrieben genau dieses Vorgehen nach dem Hack von DMM Bitcoin. Ein Angreifer, der sich als Recruiter ausgab, kontaktierte einen Mitarbeiter von Ginco, einem mit der Börse verbundenen Unternehmen, und nutzte Social Engineering, um Zugriff auf ein an der Transaktionsverarbeitung beteiligtes System zu erlangen.

Ein anderer Ansatz wird über Monate umgesetzt. Nordkoreanische IT-Fachkräfte erhalten unter falschen Identitäten Arbeitsplätze bei seriösen Kryptounternehmen und erlangen als Mitarbeiter Zugriff auf interne Systeme.

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

Laut TRM Labs resultierten etwa 76 % des Werts, der im ersten Halbjahr 2026 gestohlen wurde, aus der Kompromittierung interner Systeme und operativer Prozesse. Die Kontrolle über einen Private Key, ein Konto oder ein System zur Transaktionssignierung ermöglicht es Angreifern, Gelder zu bewegen, ohne eine Schwachstelle in der Blockchain auszunutzen.

Stufe zwei: Die gestohlenen Gelder bewegen

Unmittelbar nach einem Angriff werden die gestohlenen Vermögenswerte auf zahlreiche Adressen verteilt, über dezentrale Plattformen getauscht, zwischen Blockchains übertragen und durch Dienste geleitet, die eine Rückverfolgung der Transaktionen erschweren.

Nach dem Hack der Horizon Bridge verfolgte das FBI die Nutzung von RAILGUN, während Lazarus bei anderen Operationen Tornado Cash und zuvor Sinbad einsetzte. Wenn einzelne Dienste sanktioniert wurden oder ihren Betrieb einstellten, änderten sich die Wege der Geldwäsche.

Nach dem Bybit -Hack wurden die gestohlenen Vermögenswerte schnell umgewandelt, auf Tausende Adressen verteilt und zwischen Blockchains bewegt.

Ein aktueller Fall zeigt, wie weit dieses Netzwerk über Nordkorea selbst hinausreicht. ZachXBT zufolge half ein chinesisches kriminelles Netzwerk dabei, mehr als 1 Mrd. US-Dollar zu waschen, die Lazarus bei mehreren Angriffen gestohlen hatte. Nach dem Bybit-Hack schleuste sich der Ermittler als Kunde in das Netzwerk ein und ordnete einzelne Betreiber gestohlenen Geldern in Millionenhöhe zu.

Warum Lazarus eine systemische Bedrohung bleibt

Das Sperren einer einzelnen Wallet oder eines einzelnen Dienstes stoppt Lazarus nur selten. Hinter einem Adresscluster können neue Vermittler, Mitarbeiter unter falschen Identitäten, Geldwäschenetzwerke und ein System stehen, das auf einen stetigen Geldfluss angewiesen ist.US-Behörden bringen die Einnahmen aus diesen Operationen direkt mit nordkoreanischen Programmen in Verbindung, darunter der Entwicklung ballistischer Raketen und von Atomwaffen. Für ein Regime unter strengen Sanktionen ist die Kryptowährungsbranche zu einer Möglichkeit geworden, an Fremdwährungen zu gelangen, ohne Zugang zum herkömmlichen internationalen Finanzsystem zu haben.

Das verändert auch die Sicherheitsanforderungen. Börsen und DeFi-Projekte können sich nicht mehr ausschließlich auf Smart-Contract-Audits verlassen. Sie müssen auch die Rekrutierung, Mitarbeitergeräte, Zugriffsberechtigungen, Systeme zur Transaktionssignierung und externe Auftragnehmer überwachen.

Gleichzeitig erhöht jeder größere Diebstahl den Druck auf Dienste, die auch legitimen Zwecken dienen können. Mixer, Bridges und dezentrale Börsen geraten unter Sanktionen und regulatorische Beobachtung, wenn Hunderte Millionen US-Dollar mit Nordkorea-Bezug durch sie fließen.

In den vergangenen Jahren hat sich Lazarus von einer unter vielen Hackergruppen zu einer systemischen Bedrohung für die Kryptowährungsbranche entwickelt. Der Vorteil der Gruppe liegt nicht in einer einzelnen hochentwickelten Schwachstelle, sondern in ihrer Fähigkeit, Social Engineering, internen Zugriff, technische Angriffe und internationale Geldwäsche zu einer koordinierten Operation zu verbinden.

Das Ausmaß des Problems lässt sich daher nicht mehr ausschließlich an den gestohlenen Milliarden messen. Solange Kryptounternehmen geeignete Ziele für den Zugriff auf liquide digitale Vermögenswerte bleiben und Netzwerke existieren, über die gestohlene Gelder bewegt und gewaschen werden können, bleiben Lazarus-Angriffe eine anhaltende Bedrohung für die gesamte Branche und nicht bloß isolierte Vorfälle.