Die meisten Kryptowährungsdiebstähle sind opportunistisch und werden von Einzelpersonen oder kleinen Gruppen begangen, die auf einen schnellen Gewinn aus sind. Eine kleinere, aber überproportional schädliche Kategorie von Diebstahl unterscheidet sich nicht nur im Ausmaß, sondern in der Art. Sie wird von Hackergruppen begangen, die von Regierungsbehörden öffentlich mit einem Nationalstaat in Verbindung gebracht werden und mit der Geduld, den Ressourcen und der operativen Disziplin eines Geheimdienstapparats statt eines gewöhnlichen kriminellen Unternehmens agieren. Öffentliche Berichte des FBI, des US-Finanzministeriums und von Blockchain-Analysefirmen konzentrieren sich in dieser Kategorie überwiegend auf Nordkorea, und das dokumentierte Ausmaß dieser Aktivität ist inzwischen groß genug, um einen bedeutenden Anteil des gesamten weltweiten Kryptowährungsdiebstahls darzustellen.
Wer hinter diesen Angriffen steckt
Das FBI hat den Bybit-Diebstahl vom Februar 2025, den größten je verzeichneten Kryptowährungsraubzug, öffentlich einer Gruppe zugeschrieben, die es als TraderTraitor führt und als Teil des breiteren, mit Nordkorea verbundenen Lazarus-Group-Apparats identifiziert. Das FBI hat im Zusammenhang mit verwandter Cyberaktivität auch konkrete Personen benannt, darunter Park Jin Hyok, in seinen öffentlichen Fahndungsunterlagen. Diese Zuschreibungen sind keine informellen Branchenbezeichnungen. Es handelt sich um formelle Feststellungen, die von einer föderalen Strafverfolgungsbehörde veröffentlicht wurden – im Unterschied zu Spekulationen über Angreifer, die nach einem Einbruch manchmal ohne eine solche Grundlage kursieren.
Das Ausmaß der Aktivität
Laut dem Chainalysis 2026 Crypto Crime Report stahlen mit Nordkorea verbundene Akteure allein während 2025 rund zwei Milliarden Dollar an Kryptowährung, ein Anstieg von einundfünfzig Prozent gegenüber dem Vorjahr, wodurch sich ihre öffentlich erfasste kumulierte Gesamtsumme auf rund 6,75 Milliarden Dollar erhöhte. Derselbe Bericht stellte fest, dass mit Nordkorea verbundener Diebstahl im gemessenen Zeitraum für die Mehrheit aller durch Hacks und Exploits gestohlenen Kryptowährung verantwortlich war. Die Aktivität setzte sich 2026 fort, mit rund 309 Millionen Dollar, die allein im ersten Quartal über ein Dutzend Vorfälle gestohlen wurden, darunter ein Anteil am Drift-Protocol-Exploit, der in unserem Leitfaden zu wie DeFi-Exploits passieren behandelt wird.
Öffentliche Zuschreibungen dieses Ausmaßes stammen aus formellen Feststellungen des FBI und des Finanzministeriums sowie aus unabhängigen Analysen von Blockchain-Intelligence-Firmen, nicht aus informellen Spekulationen – weshalb sie mit Zuversicht berichtet und nicht als Gerücht behandelt werden können.
In öffentlichen Berichten dokumentierte charakteristische Techniken
Die Menschen ins Visier nehmen, nicht nur den Code
Der Bybit-Diebstahl veranschaulicht ein breiteres Muster, das über mehrere Vorfälle hinweg dokumentiert wurde: Statt die Blockchain-Infrastruktur eines Ziels direkt anzugreifen, haben diese Gruppen wiederholt Entwickler-Rechner, Software-Lieferketten von Drittanbietern und die für die Genehmigung von Transaktionen verantwortlichen Menschen kompromittiert und den erlangten Zugriff genutzt, um zu manipulieren, was ein legitimer Unterzeichner sieht, bevor er eine Überweisung genehmigt.
Ein strukturierter, geduldiger Geldwäschezyklus
Öffentliche Berichte beschreiben ein klar erkennbares Geldwäschemuster im Zusammenhang mit mit Nordkorea verbundenem Diebstahl: Gelder werden in Tranchen bewegt, die typischerweise jeweils unter fünfhunderttausend Dollar bleiben, über einen Zyklus von rund fünfundvierzig Tagen verteilt, und stark auf chinesischsprachige Geldtransferdienste, Cross-Chain-Bridges und Mixing-Protokolle gestützt, statt gestohlene Gelder direkt und sichtbar zu einem einzigen Cash-out-Punkt zu bewegen. Unsere Leitfäden zu Cross-Chain-Geldwäsche und Mixing-Diensten behandeln diese Mechanismen technisch ausführlicher.
Wiederverwendung bewährter Infrastruktur über mehrere Raubzüge hinweg
Der Mixer Sinbad.io etwa wurde von Chainalysis und dem US-Finanzministerium dokumentiert als Verarbeiter von Geldern nicht nur aus einem, sondern aus mehreren großen, mit der Lazarus Group verbundenen Vorfällen, einschließlich der Raubzüge bei der Horizon Bridge und Axie Infinity, bevor er beschlagnahmt und sanktioniert wurde. Dieses Muster der Wiederverwendung derselben Geldwäsche-Infrastruktur über separate Operationen hinweg ist eine der Möglichkeiten, wie Analysten und Ermittler scheinbar unzusammenhängende Vorfälle auf dieselben Akteure zurückführen können.
Jenseits des Hackens: das Schema mit betrügerischen IT-Mitarbeitern
Nicht jeder staatlich verbundene Kryptodiebstahl geschieht überhaupt über einen technischen Exploit. Das US-Justizministerium hat ein separates, umfangreich strafrechtlich verfolgtes Schema dokumentiert, bei dem Nordkorea geschulte IT-Mitarbeiter entsendet, die sich als freiberufliche Softwareentwickler ausgeben und sich per Fernarbeit von Unternehmen anstellen lassen, darunter Kryptowährungs- und Blockchain-Firmen, unter Verwendung gestohlener oder geliehener amerikanischer Identitäten, Proxy-Computer sowie wissentlicher oder unwissentlicher Unterstützer mit Sitz in den Vereinigten Staaten. Laut Ankündigungen des Justizministeriums nutzte ein solches Schema die gestohlenen Identitäten von mindestens achtzig US-Bürgern und erwirtschaftete über mehrere Jahre hinweg mehr als fünf Millionen Dollar Einnahmen für die nordkoreanische Regierung, was 2025 zu Schuldbekenntnissen von in den USA ansässigen Unterstützern führte.
Im Juni 2025 klagte eine Bundesgeschworenenjury direkt nordkoreanische Staatsangehörige an – die ersten US-Anklagen, die sich gegen die betrügerischen Mitarbeiter selbst richteten und nicht nur gegen ihre inländischen Unterstützer. Laut dieser Anklage infiltrierten die Personen eine in Atlanta ansässige Blockchain-Firma und ein separates, in Serbien ansässiges Krypto-Unternehmen, indem sie sich legitimen Entwicklerzugriff verschafften, missbrauchten diesen Zugriff dann, um rund 915.000 Dollar an Kryptowährung zu stehlen, und wuschen den Erlös über Mixing-Dienste und Scheinkonten in Übereinstimmung mit den oben beschriebenen breiteren Geldwäschemustern. Das Schema veranschaulicht, dass für einen hinreichend geduldigen, staatlich ausgestatteten Akteur das Erlangen von Vertrauen auf Entwicklerebene innerhalb einer Zielorganisation ein ebenso wirksamer Einstiegspunkt sein kann wie eine technische Schwachstelle – und für eine Personalverantwortliche während eines gewöhnlichen Remote-Vorstellungsgesprächs erheblich schwerer zu erkennen.
Wie Zuschreibungen tatsächlich erfolgen
Die öffentliche Zuschreibung eines großen Diebstahls zu einer staatlich verbundenen Gruppe erfolgt nicht leichtfertig und stützt sich typischerweise auf eine Kombination aus technischen Indikatoren, etwa der Wiederverwendung von Malware-Code und Infrastrukturüberschneidungen mit zuvor dokumentierten Kampagnen, sowie finanzforensischer Nachverfolgung gestohlener Gelder zu Wallets und Geldwäschediensten, die bereits mit früheren Vorfällen in Verbindung gebracht wurden. Das FBI hat regelmäßig öffentliche Mitteilungen herausgegeben, die TraderTraitor- und Lazarus-Operateure direkt benennen und Kryptowährungsdienstleister auffordern, Transaktionen zu blockieren, die mit bestimmten, einem konkreten Diebstahl zugeordneten Adressen verbunden sind – ein praktischer Schritt, der die Geldwäsche unmittelbar nach einem Angriff verlangsamen soll.
Die globale politische Reaktion
Das Office of Foreign Assets Control des US-Finanzministeriums hat eine Reihe von Personen, Wallet-Adressen und Diensten sanktioniert, die mit mit Nordkorea verbundener Geldwäscheaktivität in Verbindung stehen, darunter den Sinbad-Mixer und zeitweise Tornado Cash. Diese Sanktion gegen Tornado Cash wurde später 2025 nach einem Gerichtsurteil darüber, wie autonome Smart Contracts rechtlich behandelt werden können, aufgehoben – eine Entwicklung, die ausführlicher in unserem Leitfaden zu wie Mixing-Dienste eine Ermittlung beeinflussen behandelt wird –, während das breitere Sanktionsregime gegen staatlich verbundene Akteure und die von ihnen kontrollierten konkreten Adressen fortbesteht.
Ist Nordkorea der einzige staatlich verbundene Akteur, den man beobachten sollte
Öffentliche Berichte und formelle Zuschreibungen konzentrieren sich bei großangelegtem, anhaltendem Kryptowährungsdiebstahl überwältigend auf Nordkorea, und diese Konzentration wird in diesem Leitfaden korrekt wiedergegeben, nicht als Annahme über das Feld als Ganzes. Sicherheitsforscher haben andere mit Nationalstaaten verbundene Gruppen dokumentiert, die Cyberspionage und disruptive Angriffe gegen eine Reihe von Zielen durchführen, doch die spezifische Kombination aus Ausmaß, Beharrlichkeit und direkter finanzieller Motivation, wie sie bei mit Nordkorea verbundenem Kryptowährungsdiebstahl zu beobachten ist – gemessen in Milliarden von Dollar durch Chainalysis und formell zugeschrieben durch FBI und Finanzministerium –, findet sich bei vergleichbar dokumentierter, öffentlich zugeschriebener Aktivität anderer Staaten speziell im Kryptowährungsbereich nicht wieder. Dieser Leitfaden konzentriert sich darauf, was glaubwürdige öffentliche Berichte tatsächlich belegen, statt über andere Akteure ohne dasselbe Maß an Zuschreibung zu spekulieren.
Was das für die Branche und für Opfer bedeutet
Eine staatlich verbundene Hackergruppe ist ein wesentlich anderer Gegnertyp als ein einzelner Betrüger oder ein kleiner Exploit-Jäger. Sie kann es sich leisten, Monate damit zu verbringen, die Entwicklerumgebung eines Ziels zu infiltrieren, bevor überhaupt ein Diebstahlversuch unternommen wird, sie kann den Verlust eines Geldwäschekanals verkraften und sofort auf einen anderen ausweichen, und sie lässt sich nicht durch die Aussicht auf eine Einzelverhaftung abschrecken, wie es bei einem gewöhnlichen Kriminellen der Fall sein könnte. Für Börsen und Protokolle bedeutet dies, dass Sicherheit einen geduldigen, gut ausgestatteten Gegner berücksichtigen muss, nicht nur opportunistische Angreifer. Für einzelne Opfer eines Einbruchs, der später einer dieser Gruppen zugeschrieben wird, bedeutet dies in der Regel, dass Wiederbeschaffungsbemühungen stark von schneller Nachverfolgung und internationaler Zusammenarbeit der Strafverfolgungsbehörden abhängen, da informelle Verhandlungen mit dem Angreifer, die nach einem kleineren, unabhängigen Exploit manchmal möglich sind, hier kein realistischer Weg sind.
Es bedeutet auch, dass die öffentliche Beteiligung des FBI, einschließlich namentlicher Zuschreibung und Aufforderungen, bestimmte Adressen zu blockieren, selbst ein bedeutsamer Teil der Reaktion ist, da sie Börsen und Compliance-Teams branchenweit gleichzeitig mobilisiert, statt jede Plattform einen Vorfall allein untersuchen zu lassen. Opfer eines Vorfalls, der später einer staatlich verbundenen Gruppe zugeschrieben wird, sollten damit rechnen, dass ihr Fall als Teil einer viel größeren, laufenden Bundesermittlung behandelt wird und nicht als isolierte Angelegenheit, was langsamere individuelle Updates bedeuten kann, aber auch Zugang zu einem weit größeren Pool an Nachverfolgungsressourcen und früherer Fallhistorie, als ein kleinerer, unabhängiger Diebstahl typischerweise erhalten würde.
Häufig gestellte Fragen
TraderTraitor ist ein spezifisches Cluster, das das FBI als Teil des breiteren, mit Nordkorea verbundenen Lazarus-Group-Apparats führt. Öffentliche Berichte verwenden die beiden Namen manchmal etwas synonym, doch TraderTraitor bezeichnet spezifischer die Untergruppe, die das FBI Vorfällen wie dem Bybit-Diebstahl zugeschrieben hat.
Laut dem Chainalysis 2026 Crypto Crime Report hat der öffentlich erfasste, mit Nordkorea verbundenen Akteuren zugeschriebene kumulierte Diebstahl rund 6,75 Milliarden Dollar erreicht, wovon allein rund zwei Milliarden Dollar während 2025 gestohlen wurden, ein Anstieg von einundfünfzig Prozent gegenüber dem Vorjahr.
Öffentliche Berichte und Sanktionsfeststellungen des US-Finanzministeriums beschreiben mit Nordkorea verbundenen Kryptowährungsdiebstahl als bedeutenden Finanzierungsmechanismus für den Staat, der eine Möglichkeit bietet, große Mengen an Hartwährung außerhalb des traditionellen Bankensystems zu generieren, das umfangreichen internationalen Sanktionen gegen das Land unterliegt.
In manchen Fällen kam es zu einer teilweisen Wiederbeschaffung, in der Regel wenn Gelder bei einer Börse oder einem Dienst eingefroren wurden, bevor sie vollständig gewaschen waren, oder durch internationale Strafverfolgungsmaßnahmen. Eine vollständige Wiederbeschaffung ist angesichts der Raffinesse und Geduld des von diesen Gruppen genutzten Geldwäscheprozesses selten, weshalb Prävention und schnelle Erkennung die primäre Verteidigung bleiben.
Quellen und weiterführende Informationen
- 2026 Crypto Crime Report Introduction · Chainalysis
- FBI Confirms North Korean Lazarus Group Behind $1.5 Billion Bybit Crypto Heist · Picus Security
- Treasury Sanctions Mixer Used by the DPRK to Launder Stolen Virtual Currency · U.S. Department of the Treasury
- Two North Korean Nationals and Three Facilitators Indicted for Multi-Year Fraudulent Remote Information Technology Worker Scheme · U.S. Department of Justice