Mehrere Ermittler aus den Bereichen Blockchain und Cybersicherheit erklären, dass der mutmaßliche Binance-Hack, bei dem Berichten zufolge Verluste von rund 6,3 Milliarden US-Dollar entstanden, mit der nordkoreanischen Gruppe TraderTraitor in Verbindung steht. Die Zuordnung durch TRM Labs, Chainalysis und den unabhängigen On-Chain-Forscher ZachXBT baut auf früheren Verdachtsmomenten zu nordkoreanischen Vorgehensweisen auf und bringt den Vorfall mit früheren großen Diebstählen in Verbindung, die demselben Akteur zugeschrieben werden.

Auch wenn die genauen Verlustangaben je nach Analyst leicht variieren, ist die wichtigste neue Entwicklung das Zusammentreffen unabhängiger Erkenntnisse: TRM Labs verweist auf On-Chain- und Off-Chain-Informationen, ZachXBT zeigt auf Geldflüsse auf Wallet-Ebene bei zwei getrennten Vorfällen, und die Führung von Chainalysis bezeichnet den Binance-Diebstahl als typisch für ein umfassenderes Muster im Zusammenhang mit TraderTraitor.

Die wichtigsten Erkenntnisse

• TRM Labs schrieb den Binance-Hack mit „hoher Sicherheit“ TraderTraitor aus Nordkorea zu und verwies dabei auf On-Chain- und Off-Chain-Informationen.

• ZachXBT erklärte, Gelder aus dem Binance-Hack und dem früheren Bitget-Exploit seien nach dem Transfer über THORChain an derselben Adresse zusammengeführt worden, was auf einen gemeinsamen Betreiber hindeute.

• Chainalysis bezifferte den Schaden durch den Binance-Hack auf rund 6,4 Milliarden Dollar und kam zu dem Schluss, dass wahrscheinlich TraderTraitor dahintersteckte, da Verbindungen zu früheren Hacks bestünden.

• US-Behörden haben TraderTraitor bereits zuvor mit Kryptodiebstählen großen Ausmaßes in Verbindung gebracht und dabei eine gegen Mitarbeitende gerichtete Social-Engineering-Taktik beschrieben.

Die Zuordnung zu TraderTraitor erhärtet sich

TRM Labs, ein auf Cybersicherheit und Kryptorisiken spezialisiertes Forschungsunternehmen, veröffentlichte eine Analyse, der zufolge TraderTraitor den Binance-Hack verübte. Für die Zuordnung stützte sich TRM Labs auf eine Kombination aus On-Chain-Verhalten und Off-Chain-Informationen und bezeichnete die Schlussfolgerung als sehr sicher.

Diese Einschätzung deckt sich mit den Schlussfolgerungen anderer Ermittler. ZachXBT, bekannt dafür, illegale Geldbewegungen über verschiedene Blockchains und Dienste hinweg nachzuverfolgen, erklärte, dass gestohlene Binance-Gelder später mit Erlösen aus einem früheren Bitget-Exploit zusammengeführt wurden. ZachXBT zufolge liefen beide Geldströme über THORChain und wurden anschließend an derselben Adresse gebündelt. Dieses Muster deute stark darauf hin, dass für beide Vorfälle derselbe Akteur verantwortlich sei.

Auch die Führung von Chainalysis verwies auf TraderTraitor. Jonathan Levin, Mitgründer und CEO von Chainalysis, bezifferte den Schaden durch den Binance-Hack auf rund 6,4 Milliarden Dollar und damit etwas höher als die Schätzung von TRM Labs von etwa 6,3 Milliarden Dollar. Anschließend brachte er den größeren Diebstahl mit derselben nordkoreanischen Gruppe in Verbindung und argumentierte, dass die Überschneidungen mit früheren Hacks TraderTraitor zum wahrscheinlichsten Täter machten.

Wie Geldflüsse Binance und Bitget miteinander verbinden

Das praktisch bedeutsamste technische Element dieser Zuordnungen ist die gemeldete Verbindung zwischen mehreren Diebstählen durch gemeinsame Geldwäschepraktiken.

ZachXBT erklärte, dass die gestohlenen Gelder nach dem Binance-Hack nicht getrennt blieben. Stattdessen seien sie später mit Geldern aus dem Bitget-Exploit zusammengeführt worden. Er fügte hinzu, die Zusammenführung sei nach dem Transfer über THORChain erfolgt. Dass die Gelder an derselben Adresse gebündelt wurden, deute auf koordinierte Aktivitäten und nicht auf zufällige Ähnlichkeiten hin.

Für Ermittler und Marktteilnehmer ist das wichtig, denn eine Zuordnung, die allein auf dem „Stil“ beruht, kann mehrdeutig sein. Belege aus Geldflüssen sind meist belastbarer – insbesondere dann, wenn sie Vorfälle anhand konkreter Adressen und Transaktionswege miteinander verbinden. Sie helfen Compliance-Teams außerdem dabei, präzisere Risikoregeln zu erstellen, vor allem bei der Überwachung von Wallets, Gegenparteien oder Ein- und Auszahlungsverhalten, das wiederholt in zusammenhängenden Kampagnen auftritt.

Frühere Verdachtsmomente und ihre Bedeutung

Die Zuordnung zu TraderTraitor erfolgte nach früheren Einschätzungen anderer Sicherheitsanalysten. In einer früheren Berichterstattung wies Cointelegraph darauf hin, dass die offenbar hohe technische Raffinesse des Binance-Angriffs und die Art, wie die Angreifer On-Chain-Aktivitäten vorbereiteten, Taktiken ähnelten, die mit nordkoreanischen Gruppen in Verbindung gebracht werden.

Diese frühere Einschätzung ist ein wichtiger Kontext: Sie ordnet die aktuellen Zuordnungen als nächsten Schritt nach dem Erkennen von Mustern ein. Anders gesagt: Die neuen Berichte behaupten nicht bloß, „es sieht nach Nordkorea aus“, sondern versuchen, diese Einschätzung zu untermauern, indem sie den Binance-Diebstahl mit einer bestimmten, bekannten Gruppe von Akteuren und Verhaltensweisen verknüpfen.

Dennoch müssen einige Details noch präzisiert werden. Verschiedene Berichte nennen leicht unterschiedliche Schadenssummen, und auch die Formulierungen zur Zuordnung variieren je nach Organisation – von „hoher Sicherheit“ (TRM Labs) bis hin zu allgemeineren Einschätzungen, die Verbindungen zu früheren Hacks betonen (Chainalysis). Für Leserinnen und Leser ist der entscheidende gemeinsame Nenner der wachsende Konsens über dieselbe Gruppe, nicht die genaue Gesamtsumme in Dollar.

Warum sich Aufsichtsbehörden und Ermittler immer wieder mit TraderTraitor befassen

US-Behörden haben TraderTraitor bereits zuvor mit Kryptodiebstählen großen Ausmaßes in Verbindung gebracht. Das FBI erklärte, die Gruppe nehme Mitarbeitende von Unternehmen durch Social Engineering ins Visier. Dadurch könne sie sich zunächst Zugang verschaffen, den die Angreifer anschließend nutzen, um Gelder zu transferieren.

In einem aufsehenerregenden Fall, der DMM Bitcoin betraf, machten US-amerikanische und japanische Ermittler nordkoreanische Akteure für den Diebstahl von mehr als 300 Millionen Dollar verantwortlich. Den Ermittlern zufolge gab sich ein Angreifer als Personalvermittler aus und schickte einem Mitarbeiter des Wallet-Anbieters Ginco einen bösartigen Programmiertest. Der so erlangte Zugang wurde Berichten zufolge genutzt, um eine legitime Transaktionsanfrage zu manipulieren und Gelder auf von den Angreifern kontrollierte Wallets umzuleiten.

Diese Beschreibungen stützen ein umfassenderes Muster: Statt sich ausschließlich auf die technische Ausnutzung von Protokollen oder Systemen zu verlassen, kombinieren mit TraderTraitor verbundene Kampagnen häufig Angriffsvektoren, die auf Menschen abzielen, mit anschließender operativer Kontrolle über den Geldfluss. Diese Kombination ist für Börsen und Verwahrstellen besonders relevant, da sie den Fokus nicht mehr nur auf technische Abwehrmaßnahmen richtet, sondern auch auf Identitätsprüfungen, Sicherheitsschulungen für Mitarbeitende sowie strenge Kontrollen externer Kommunikation und der Vergabe von Aufgaben.

Worauf es als Nächstes zu achten gilt

Da mehrere unabhängige Ermittler zu derselben Einschätzung hinsichtlich TraderTraitor gelangen, dürfte sich die nächste Phase auf die operativen Folgemaßnahmen konzentrieren: Können Analyseunternehmen und Strafverfolgungsbehörden weitere Verbindungen zu Geldwäsche nachverfolgen, zusätzliche mit den gestohlenen Geldern verbundene Zieladressen identifizieren und diese Zuordnungen in strengere Überwachungs- und Reaktionsmaßnahmen bei Börsen, Verwahrstellen und Wallet-Anbietern umsetzen?

Dieser Artikel wurde ursprünglich unter dem Titel „Nordkoreas TraderTraitor mit Binance-Hack im Wert von 6,3 Milliarden Dollar in Verbindung gebracht“ bei Crypto Breaking News veröffentlicht – Ihrer vertrauenswürdigen Quelle für Kryptonachrichten, Bitcoin-News und Blockchain-Updates.