US‑Behörden führten die Operation auf nordkoreanische Akteure zurück, die unter dem Namen „TraderTraitor“ verfolgt werden.
Nach Analysen von Sicherheitsforschern war der Angriff Teil einer Supply‑Chain‑Kompromittierung. Dabei schleusten Angreifer manipulierte Software in eine Entwicklungs‑ oder Update‑Pipeline ein. CrowdStrike ordnet diese Operation einem Cluster zu, das unter dem Namen PRESSURE CHOLLIMA verfolgt wird.
Sobald die Angreifer Zugang hatten, transferierten sie große Mengen Kryptowährungen aus der Infrastruktur der Börse und verteilten die Assets über tausende Blockchain‑Adressen, um die Spur zu verschleiern.
Blockchain‑Analysen zeigen, dass die 2,02 Milliarden US‑Dollar im Jahr 2025 einem Anstieg von etwa 51 % gegenüber dem Vorjahr entsprechen, obwohl die Zahl der Angriffe insgesamt zurückging.
Das deutet auf eine strategische Veränderung hin: Statt vieler kleiner Hacks konzentrieren sich die Angreifer zunehmend auf große Plattformen und kritische Infrastruktur im Finanz‑ und Kryptobereich.
Forscher beschreiben dieses Modell als „industrialisierten“ Cyberdiebstahl – mit spezialisierten Teams für Eindringen, Diebstahl und Geldwäsche sowie eigener Infrastruktur zur Verschleierung der Geldströme.
Der Bybit‑Vorfall zeigt, wie Angreifer zunehmend vertrauenswürdige Softwarebeziehungen ausnutzen, statt eine Plattform direkt zu hacken.
Wenn Entwickler‑Tools, Build‑Systeme oder Software‑Abhängigkeiten kompromittiert werden, können Angreifer trojanisierte Updates verbreiten. Opfer installieren die manipulierte Software selbst – und gewähren den Angreifern damit privilegierten Zugriff.
Solche Supply‑Chain‑Angriffe gelten inzwischen als eine der gefährlichsten Methoden moderner Cyberoperationen.
Bedrohungsanalysen zeigen, dass Angreifer zunehmend KI‑Tools einsetzen, um Phishing‑Angriffe, Identitätsimitation und Aufklärung zu verbessern.
Generative KI kann etwa:
Dadurch lassen sich Social‑Engineering‑Kampagnen deutlich schneller skalieren.
Eine weitere wichtige Methode ist die Platzierung nordkoreanischer Operateure in Unternehmen über betrügerische Remote‑Jobs.
Behörden zufolge nutzt Nordkorea Netzwerke von Personen, die mit gestohlenen oder gefälschten Identitäten Remote‑Entwickler‑ oder IT‑Jobs bei Technologieunternehmen annehmen – auch bei Firmen aus dem Krypto‑Ökosystem.
Nach der Einstellung können diese Mitarbeiter:
Große Tech‑Unternehmen berichten, tausende solcher Bewerbungen blockiert zu haben, was das Ausmaß der Kampagne verdeutlicht.
Sicherheitsforscher sprechen zunehmend von „Offline‑Infiltration“: Angriffe, die nicht nur technisch erfolgen, sondern auch über menschliche Beziehungen – etwa Mitarbeiter, Auftragnehmer oder Geschäftspartner.
Dieser hybride Ansatz ermöglicht es Angreifern, viele klassische Sicherheitskontrollen zu umgehen.
Sicherheitsfirmen verfolgen nordkoreanische Cyberoperationen meist unter verschiedenen Cluster‑Bezeichnungen.
Ein Beispiel:
Weitere Cluster werden ebenfalls im Zusammenhang mit nordkoreanischen Operationen beobachtet, häufig innerhalb des breiteren Ökosystems rund um Gruppen wie Lazarus. Öffentliche Berichte enthalten jedoch weniger bestätigte Details zu spezifischen Einsätzen anderer Cluster wie FAMOUS CHOLLIMA oder STARDUST CHOLLIMA im Jahr 2025.
Nach großen Hacks werden die Assets in der Regel über tausende Wallet‑Adressen und verschiedene Kryptowährungen verteilt.
Analysen zeigen, dass nordkoreanische Akteure häufig folgende Methoden nutzen:
Diese Techniken erschweren die Nachverfolgung der Geldströme erheblich. In manchen Fällen wird ein Großteil der gestohlenen Assets innerhalb weniger Wochen verschoben oder gewaschen.
Regierungen warnen, dass diese Cyberoperationen nicht nur gewöhnliche Kriminalität sind. Sie gelten als wichtige Einnahmequelle für den nordkoreanischen Staat.
Offiziellen Angaben zufolge helfen die Erlöse aus Cyberdiebstählen dabei, internationale Sanktionen zu umgehen und Programme zur Entwicklung von ballistischen Raketen und Atomwaffen zu finanzieren.
Aus diesem Grund verstärken Strafverfolgungsbehörden ihre Bemühungen, Geldwäsche‑Netzwerke aufzuspüren und die Infrastruktur hinter solchen Angriffen zu zerschlagen.
Der Rekordwert von 2025 zeigt eine deutliche Veränderung der Bedrohungslage:
Sicherheitsforscher sehen deshalb dringenden Bedarf für strengere Lieferketten‑Sicherheit, Identitätsprüfungen bei Remote‑Mitarbeitern und bessere Überwachung von Blockchain‑Transaktionen.
Mit der zunehmenden Verbreitung von Kryptowährungen dürfte staatlich unterstützte Cyberkriminalität eine der dauerhaft größten Sicherheitsherausforderungen der Branche bleiben.
Comments
0 comments