Nordkoreas Krypto-Beutezug bei Bybit im Wert von 1,5 Milliarden Dollar: Asiens digitale Schwachstellen und die globalen Folgen

Der größte Krypto-Diebstahl der Geschichte: Was geschah bei Bybit?

Am 21. Februar 2025 wurde die Welt Zeugin des größten jemals verzeichneten Kryptowährungsdiebstahls. Digitale Vermögenswerte im Wert von fast 1,5 Milliarden Dollar verschwanden bei Bybit, einer in Dubai ansässigen Kryptobörse, bei einem einzigen verheerenden Angriff. Das Ausmaß und die Raffinesse der Attacke erschütterten das globale Finanzsystem und machten nicht nur die Schwachstellen der rasant wachsenden Kryptomärkte Asiens sichtbar, sondern auch die alarmierende Reichweite der staatlich unterstützten Cyberakteure Nordkoreas.

Inhalt

1. Der größte Krypto-Diebstahl der Geschichte: Was geschah bei Bybit?
2. Wie lief der Hack ab?
3. Unmittelbare Folgen und Reaktion der Branche
4. Wer steckte hinter dem Angriff? Nordkoreas Lazarus Group und TraderTraitor
5. Einblick in das Vorgehen der Lazarus Group
6. Wie wusch Nordkorea die gestohlenen Kryptowährungen?
7. Dezentrale Finanzwirtschaft: ein zweischneidiges Schwert
8. Warum nimmt Nordkorea Kryptowährungen ins Visier – und welche Folgen hat das weltweit?
9. Der menschliche Faktor: Social Engineering und Schwachstellen in der Cloud
10. Asiens Krypto-Ökosystem: ein Schwachpunkt?
11. Reaktion der Branche und der Regulierungsbehörden
12. Nordkoreas Cyberarmee: eine wachsende Bedrohung
13. Frühere spektakuläre Angriffe
14. Herausforderungen für die Strafverfolgung und mögliche Lösungen
15. Lehren für Regulierung und Sicherheit
16. Zusammenfassung

Bybit, eine der weltweit größten Kryptobörsen mit mehr als 60 Millionen Nutzern, rückte ins Zentrum einer neuen Ära der Cyberkriminalität. Dem Blockchain-Analyseunternehmen Chainalysis zufolge entfielen auf den Hack im ersten Halbjahr 2025 fast 70 Prozent aller weltweit gestohlenen digitalen Vermögenswerte. Der Vorfall machte die zunehmenden Risse im digitalen Ökosystem deutlich und signalisierte eine gefährliche Eskalation der Taktiken und Ambitionen nordkoreanischer Hacker.

Wie lief der Hack ab?

Der Angriff begann mit einer scheinbar routinemäßigen Transaktion. Ben Zhou, der CEO von Bybit, genehmigte eine vermeintlich gewöhnliche Überweisung von Ether (ETH), einer beliebten Kryptowährung, zwischen Unternehmenskonten. Ohne sein Wissen hatten Hacker bereits die Softwareoberfläche kompromittiert, die Bybit zur Verwaltung dieser Transaktionen nutzte. Innerhalb weniger Minuten hatten die Angreifer die Kontrolle über eine Wallet mit 401.000 ETH erlangt – damals im Wert von 1,5 Milliarden Dollar – und die Mittel auf von ihnen kontrollierte Adressen übertragen.

Ermittlungen ergaben, dass die Hacker eine Schwachstelle in einem kostenlosen Softwareprodukt namens Safe ausnutzten, das Bybit zur Speicherung und Verwaltung digitaler Vermögenswerte einsetzte. Indem sie die Benutzeroberfläche von Safe manipulierten und schädlichen Code einschleusten, brachten die Angreifer Bybit dazu, die betrügerische Transaktion zu autorisieren. Der Angriff war nicht nur ein technisches Versagen, sondern auch eine eindringliche Erinnerung an die Risiken, die von Software Dritter im Bereich der digitalen Finanzwirtschaft ausgehen.

Unmittelbare Folgen und Reaktion der Branche

Die Auswirkungen waren unmittelbar und schwerwiegend. Die Kryptomärkte brachen ein, Bitcoin verlor gegenüber seinen Januar-Höchstständen 20 Prozent an Wert. Das Vertrauen in die Branche geriet ins Wanken, zumal der Hack zu einem Zeitpunkt erfolgte, an dem Politiker in den USA und anderen Ländern über neue Vorschriften zur Förderung der breiten Nutzung digitaler Vermögenswerte debattierten.

Bybit versicherte seinen Kunden, dass ihre Guthaben abgesichert seien, und legte ein Kopfgeldprogramm zur Wiederbeschaffung auf. Wer dabei helfen konnte, die gestohlenen Kryptowährungen aufzuspüren und einzufrieren, sollte bis zu 10 Prozent der wiedergefundenen Vermögenswerte erhalten. Innerhalb weniger Wochen wurden gestohlene Mittel im Wert von mehr als 40 Millionen Dollar identifiziert und eingefroren; mehr als 4 Millionen Dollar an Prämien wurden an Mitwirkende ausgezahlt. Experten warnten jedoch, dass der Großteil der gestohlenen Vermögenswerte bereits „abgetaucht“ sei – über ausgefeilte Kanäle gewaschen und wahrscheinlich nicht wiederzubeschaffen.

Wer steckte hinter dem Angriff? Nordkoreas Lazarus Group und TraderTraitor

Nordkorea übernimmt nur selten die Verantwortung für Cyberangriffe, doch im Fall Bybit war die Beweislage erdrückend. Das FBI schrieb den Hack gemeinsam mit internationalen Cybersicherheitsunternehmen der berüchtigten nordkoreanischen Lazarus Group und ihrer Untergruppe TraderTraitor zu. Diese staatlich unterstützten Hacker sind für ihre dreisten Diebstähle bekannt. Die Erlöse dienen dazu, die Atom- und Raketenprogramme des Regimes zu finanzieren.

Dem FBI zufolge verbindet die Kampagne „TraderTraitor“ Social Engineering, Angriffe auf Lieferketten und technische Exploits. Die Gruppe ist dafür bekannt, Blockchain- und Krypto-Unternehmen ins Visier zu nehmen. Dabei nutzt sie häufig gefälschte Jobangebote und schädliche Open-Source-Software, um in die Systeme ihrer Ziele einzudringen. Nach dem Zugriff setzt sie Schadsoftware ein, um Zugangsdaten und Schlüssel zu Krypto-Wallets zu stehlen und schließlich große Mengen digitaler Vermögenswerte auf von Nordkorea kontrollierte Adressen umzuleiten.

Einblick in das Vorgehen der Lazarus Group

Die Taktiken der Lazarus Group haben sich rasch weiterentwickelt. In den vergangenen Jahren hat sie:

• Phishing-Kampagnen auf Plattformen wie LinkedIn, Slack und Telegram eingesetzt, um Mitarbeiter zum Herunterladen von Schadsoftware zu verleiten.
• Rechner von Entwicklern kompromittiert und schädlichen Code in Softwarelieferketten eingeschleust.
• Schwachstellen in Cloud-Diensten und Speicherprogrammen ausgenutzt, wie beim Hack von Bybit.
• Werkzeuge aus dem Bereich der dezentralen Finanzwirtschaft (DeFi), Cross-Chain-Bridges und Krypto-Mixer genutzt, um gestohlene Gelder zu waschen und ihre Herkunft zu verschleiern.

Dr. Tom Robinson, Mitgründer des Blockchain-Analyseunternehmens Elliptic, erklärte die Effektivität der Gruppe:

Nordkorea ist am besten darin, Kryptowährungen zu waschen, und setzt dafür vermutlich automatisierte Tools ein. Die Arbeit läuft wohl in Schichten, um Kryptowährungen in Bargeld umzuwandeln.

Die Gruppe verbindet die Raffinesse eines staatlichen Akteurs mit der Flexibilität von Cyberkriminellen und stellt damit eine ernst zu nehmende Bedrohung für das globale Finanzsystem dar.

Wie wusch Nordkorea die gestohlenen Kryptowährungen?

Einer der alarmierendsten Aspekte des Beutezugs bei Bybit war die Geschwindigkeit und Effizienz, mit der die gestohlenen Vermögenswerte gewaschen wurden. Innerhalb von 48 Stunden wurden mindestens 160 Millionen Dollar über illegale Kanäle geschleust, und bis zum Ende der ersten Woche waren mehr als 400 Millionen Dollar bewegt worden. Anfang März war die erste Phase der Geldwäsche abgeschlossen: Der weitaus größte Teil des gestohlenen Ethereum war in Bitcoin umgewandelt und auf Tausende Wallets verteilt worden.

Dezentrale Finanzwirtschaft: ein zweischneidiges Schwert

Die Hacker stützten sich vor allem auf Protokolle der dezentralen Finanzwirtschaft (DeFi), insbesondere Cross-Chain-Bridges wie THORchain, um Vermögenswerte umzutauschen und ihre Spuren zu verwischen. Diese Werkzeuge ermöglichen nahtlose Übertragungen zwischen verschiedenen Kryptowährungen ohne Vermittler, erschweren es den Strafverfolgungsbehörden aber auch, illegale Gelder aufzuspüren und einzufrieren.

Nachdem sie das gestohlene Ethereum in Bitcoin umgetauscht hatten, zahlten die Hacker große Summen bei Krypto-Mixern wie Wasabi und CryptoMixer ein. Diese Dienste vermischen Transaktionen verschiedener Nutzer und machen es nahezu unmöglich, die Herkunft bestimmter Coins zurückzuverfolgen. Zwar ermöglicht die Transparenz der Blockchain die öffentliche Nachverfolgung von Transaktionen, doch Umfang und Komplexität des Geldwäschevorgangs überforderten Compliance-Teams und Ermittler.

Trotz dieser Bemühungen liegt ein beträchtlicher Teil der in Bitcoin umgewandelten Summe weiterhin ungenutzt in Wallets. Das deutet darauf hin, dass die Hacker eine groß angelegte Veräußerung vorbereiten oder die Herkunft der Gelder weiter verschleiern wollen, etwa über außerbörsliche Netzwerke, insbesondere in Regionen mit laxen Kontrollen wie Teilen Chinas.

Warum nimmt Nordkorea Kryptowährungen ins Visier – und welche Folgen hat das weltweit?

Nordkorea greift aus der Not heraus zu Krypto-Diebstahl. Das international isolierte Regime ist von Sanktionen betroffen und steht vor schweren wirtschaftlichen Problemen. Cyberkriminalität ist für das Land zu einer wichtigen Quelle harter Währung geworden. Die Vereinten Nationen schätzen, dass Nordkorea seit 2017 Kryptowährungen im Wert von mehr als 3 Milliarden Dollar gestohlen hat. Ein großer Teil davon soll in die Waffenprogramme des Landes fließen.

Der Hack von Bybit ist Teil eines größeren Trends. Allein im ersten Halbjahr 2025 wurden weltweit Kryptowährungen im Wert von mehr als 2,17 Milliarden Dollar gestohlen. Nordkoreanische Hacker waren für fast 70 Prozent dieser Summe verantwortlich. Dieser Anstieg der Cyberkriminalität hat globale Folgen: Er untergräbt das Vertrauen in die digitale Finanzwirtschaft und verstärkt die Forderungen nach strengeren Vorschriften und internationaler Zusammenarbeit.

Der menschliche Faktor: Social Engineering und Schwachstellen in der Cloud

Technische Exploits sind nur ein Teil der Geschichte. Nordkoreanische Hacker haben sich auf Social Engineering spezialisiert und bringen Mitarbeiter dazu, ihnen Zugang zu sensiblen Systemen zu gewähren. Häufig geben sie sich als Personalvermittler oder IT-Fachleute aus und locken ihre Opfer mit gefälschten Jobangeboten dazu, Schadsoftware herunterzuladen oder Zugangsdaten preiszugeben. Diese Taktiken erweisen sich besonders bei Kryptounternehmen mit cloudbasierten Systemen als wirksam, da sie oft auf Mitarbeiter im Homeoffice und Software Dritter angewiesen sind.

Benjamin Read, Sicherheitsforscher bei Wiz, merkte an:

TraderTraitor konzentriert sich auf Angriffe auf die Cloud, denn dort befinden sich Daten und Geld. Das gilt besonders für jüngere Kryptounternehmen, deren Infrastruktur von Anfang an auf die Cloud ausgerichtet ist.

Mit dem Wachstum der Branche wächst auch die Angriffsfläche für hoch entwickelte Angreifer.

Asiens Krypto-Ökosystem: ein Schwachpunkt?

Der Hack von Bybit hat erhebliche Schwachstellen im digitalen Finanzsektor Asiens offengelegt. Das rasante Wachstum, regulatorische Lücken und die Abhängigkeit von Software Dritter haben die Region zu einem bevorzugten Ziel von Cyberkriminellen gemacht. Chainalysis zufolge „legte der Vorfall die zunehmenden Sicherheitslücken in Asiens digitalem Ökosystem offen und signalisierte den Beginn einer neuen Ära der Cyberkriminalität“.

Bybit hat zwar seinen Hauptsitz in Dubai, doch seine Nutzerbasis und sein operativer Schwerpunkt sind stark in Asien verwurzelt. Der Krypto-Boom der Region ist der Entwicklung robuster Sicherheitsstandards davongeeilt und lässt Börsen und Anleger zunehmend ausgefeilten Angriffen schutzlos ausgeliefert.

Reaktion der Branche und der Regulierungsbehörden

Nach dem Hack von Bybit überdenken Branchenführer und Regulierungsbehörden ihren Sicherheitsansatz. Bybit hat zugesagt, Kundenverluste zu übernehmen, und arbeitet mit Forensikexperten daran, gestohlene Vermögenswerte aufzuspüren und wiederzubeschaffen. Unterdessen fordern Regierungen und Strafverfolgungsbehörden eine stärkere internationale Zusammenarbeit und die Entwicklung einheitlicher Sicherheitsprotokolle für Kryptobörsen.

Die US-Regierung unter der Trump-Regierung hat Kryptowährungen zu einem zentralen Thema ihrer Technologiepolitik gemacht und will die USA als weltweit führenden Standort für digitale Finanzwirtschaft positionieren. Der Angriff auf Bybit hat jedoch den dringenden Bedarf an strengeren Vorschriften und besseren Sicherheitsmaßnahmen zum Schutz der Verbraucher und zur Wahrung des Vertrauens in die Branche verdeutlicht.

Nordkoreas Cyberarmee: eine wachsende Bedrohung

Die Lazarus Group und ihre Untergruppen, darunter TraderTraitor, stehen an der Spitze der nordkoreanischen Cyberfähigkeiten. Schätzungen zufolge arbeiten Tausende Personen für diese Gruppen, oft in Schichten, um die Effizienz zu maximieren. Ihre Operationen sind hoch organisiert und verbinden staatliche Ressourcen mit der Flexibilität von Cyberkriminellen.

Nordkoreas Cyberstrategie ist vielschichtig. Neben direkten Diebstählen setzt das Regime im Ausland tätige IT-Fachkräfte ein, um in Technologieunternehmen einzudringen, geistiges Eigentum zu stehlen und Unternehmen zu erpressen. Die Erlöse fließen nach Pjöngjang zurück und unterstützen die mit Sanktionen belegten Waffenprogramme des Landes sowie dessen angeschlagene Wirtschaft.

Chainalysis zufolge waren nordkoreanische Hacker 2024 für 61 Prozent aller gestohlenen Kryptowerte verantwortlich. 2025 könnten sie diesen Anteil noch übertreffen. Ihre Fähigkeit, sich anzupassen und weiterzuentwickeln – indem sie mit KI überzeugende Phishing-E-Mails verfassen, neue Technologien ausnutzen und sowohl große Börsen als auch einzelne Wallets ins Visier nehmen – macht sie zu einer anhaltenden und sich ständig wandelnden Bedrohung.

Frühere spektakuläre Angriffe

Der Hack von Bybit ist nur der jüngste in einer Reihe großer, Nordkorea zugeschriebener Krypto-Diebstähle. Zu den bemerkenswerten Vorfällen zählen:

• Der Angriff auf die Ronin Bridge 2022 (Diebstahl im Wert von 600 Millionen Dollar)
• Der Angriff auf Atomic Wallet 2023 (Diebstahl im Wert von 100 Millionen Dollar)
• Der Hack von UpBit 2019 (Diebstahl im Wert von 41 Millionen Dollar)
• Der Diebstahl bei KuCoin 2020 (Diebstahl im Wert von 275 Millionen Dollar)

Jeder dieser Angriffe zeugte von wachsender technischer Raffinesse und größerem operativem Ausmaß. Der Angriff auf Bybit setzte in beiderlei Hinsicht einen neuen Maßstab.

Herausforderungen für die Strafverfolgung und mögliche Lösungen

Trotz der Transparenz der Blockchain-Technologie, bei der jede Transaktion öffentlich aufgezeichnet wird, stehen Strafverfolgungsbehörden bei der Rückverfolgung und Wiederbeschaffung gestohlener Kryptowährungen vor erheblichen Herausforderungen. Mithilfe von Mixern, Cross-Chain-Bridges und dezentralen Börsen können Hacker Gelder schnell verschieben und verschleiern. Häufig sind sie damit schneller als die Ermittler.

Internationale Zusammenarbeit ist unerlässlich. Das FBI hat Listen mit Wallet-Adressen nordkoreanischer Hacker veröffentlicht und Börsen sowie Dienstleister aufgefordert, Transaktionen von diesen Adressen zu blockieren. Doch nicht alle Kryptounternehmen sind bereit oder in der Lage, dieser Aufforderung nachzukommen. Zudem erschwert die dezentrale Struktur der Branche die Durchsetzung solcher Maßnahmen.

Es wurden gewisse Fortschritte erzielt. Bybits Kopfgeldprogramm und die Zusammenarbeit mit Blockchain-Analyseunternehmen haben dazu geführt, dass gestohlene Vermögenswerte im Wert von mehreren Dutzend Millionen Dollar eingefroren wurden. Experten sind dennoch pessimistisch, was die Wiederbeschaffung des Großteils der Gelder angeht – angesichts der Fachkenntnisse Nordkoreas und der globalen Reichweite seiner Geldwäschenetzwerke.

Lehren für Regulierung und Sicherheit

Der Hack von Bybit hat Forderungen nach folgenden Maßnahmen ausgelöst:

• Strengere Sicherheitsstandards für Kryptobörsen, darunter regelmäßige Audits und Prüfungen von Software Dritter
• Mehr Transparenz und Informationsaustausch zwischen Unternehmen der Branche und Strafverfolgungsbehörden
• Internationale Regulierungsrahmen, die dem grenzüberschreitenden Charakter von Kryptokriminalität Rechnung tragen
• Mehr öffentliche Aufklärung über die Risiken von Social Engineering und Phishing-Angriffen

Vertrauen in das digitale Finanzsystem lässt sich nur durch gemeinsame Anstrengungen der Branche, der Regulierungsbehörden und der Verbraucher aufbauen.

Zusammenfassung

• Beim Hack von Bybit am 21. Februar 2025 wurden Kryptowerte im Wert von 1,5 Milliarden Dollar gestohlen – der größte derartige Beutezug der Geschichte.
• Nordkoreas Lazarus Group und ihre Untergruppe TraderTraitor werden für den Angriff verantwortlich gemacht. Sie kombinierten technische Exploits mit Social Engineering.
• Die gestohlenen Gelder wurden rasch mithilfe von DeFi-Werkzeugen, Cross-Chain-Bridges und Krypto-Mixern gewaschen, was ihre Wiederbeschaffung erschwert.
• Nordkoreas Cyberkriminalität soll die Atom- und Raketenprogramme des Landes finanzieren und stellt eine globale Sicherheitsbedrohung dar.
• Der Vorfall legte erhebliche Schwachstellen in Asiens Krypto-Ökosystem offen und verdeutlichte weltweit den Bedarf an besseren Sicherheitsmaßnahmen und strengeren Vorschriften.
• Branche und Strafverfolgungsbehörden konnten einen Teil der gestohlenen Vermögenswerte einfrieren, der Großteil ist jedoch nicht wiederzubeschaffen.
• Der Hack von Bybit unterstreicht, wie dringend internationale Zusammenarbeit, robuste Sicherheitsstandards und öffentliche Aufklärung nötig sind, um die Zukunft der digitalen Finanzwirtschaft zu schützen.