Während gewöhnliche Hacker Daten stehlen wollen, gehen die Ziele der Lazarus Group (Lazarus-Gruppe) längst über die Grenzen traditioneller Cyberkriminalität hinaus.
Seit über einem Jahrzehnt greift diese Hackergruppe, die von der US-Regierung mit Nordkorea in Verbindung gebracht wird, weltweit Banken, Finanzinstitute, Technologieunternehmen und Kryptowährungsprojekte an. Vom Angriff auf Sony Pictures über den Diebstahl von 81 Millionen US-Dollar bei der Zentralbank von Bangladesch bis hin zu den Verlusten der Ronin-Cross-Chain-Bridge, des Harmony-Netzwerks und dem Diebstahl von Vermögenswerten im Wert von fast 1,5 Milliarden US-Dollar bei Bybit im Jahr 2025 – Lazarus-nahe Operationen verändern immer wieder die weltweite Einschätzung der Cybersicherheitsrisiken in der Finanzbranche.
Sie greifen nicht nur Schwachstellen in Systemen an, sondern auch das Vertrauen zwischen Menschen, interne Unternehmensberechtigungen und die Sicherheitsgrenzen der gesamten Finanzinfrastruktur.
I. Was genau ist die Lazarus Group?
Lazarus Group, auch als Lazarus-Gruppe bezeichnet, ist eine Sammelbezeichnung aus der Cybersicherheitsbranche für eine Reihe von Cyberangriffen mit Bezug zu Nordkorea.
Das US-Finanzministerium verhängte 2019 offiziell Sanktionen gegen die Lazarus Group und erklärte, dass sie mit dem nordkoreanischen Aufklärungsbüro in Verbindung stehe.
Zu den damit verbundenen Angriffen zählen das Eindringen in Finanzinstitute, der Diebstahl von Geschäftsgeheimnissen, Ransomware, der Diebstahl von Kryptowährungen und die Zerstörung von Netzwerkinfrastrukturen. In der Cybersicherheitsforschung tauchen außerdem häufig Bezeichnungen wie APT38, TraderTraitor und Bluenoroff auf, die für bestimmte Angriffskampagnen oder damit verbundene Bedrohungscluster stehen. Das bedeutet jedoch nicht, dass alle Aktionen von derselben Gruppe ausgeführt werden.
Die US-Regierung betrachtet Cyberkriminalität mit Bezug zu Nordkorea als wichtigen Weg, um illegale Gelder zu beschaffen. Ein Teil dieser Gelder könnte zur Unterstützung des nordkoreanischen Regimes und seiner Waffenprogramme verwendet werden.
II. Eine Angriffsgeschichte von mehr als zehn Jahren: Ereignisse, die die Welt erschütterten
2014: Angriff auf Sony Pictures
Im November 2014 wurde Sony Pictures Opfer eines groß angelegten Cyberangriffs. Die Angreifer drangen in das interne Unternehmensnetzwerk ein, stahlen eine große Menge vertraulicher Daten und löschten mithilfe zerstörerischer Schadsoftware Daten. Dadurch wurde der Geschäftsbetrieb erheblich beeinträchtigt.
Zu den offengelegten Daten gehörten interne E-Mails von Führungskräften, persönliche Informationen von Mitarbeitenden, unveröffentlichte Filminhalte, Finanzdaten des Unternehmens und Geschäftsgeheimnisse.
Der Vorfall machte Unternehmen weltweit bewusst, dass Cyberangriffe nicht nur Informationen stehlen, sondern auch den regulären Geschäftsbetrieb unmittelbar stören können. Die US-Regierung brachte den Angriff später mit Cyberaktivitäten mit Bezug zu Nordkorea in Verbindung.
2016: 81 Millionen US-Dollar von der Zentralbank von Bangladesch gestohlen
Dies ist einer der bekanntesten Vorfälle in der Geschichte der mit Lazarus verbundenen Finanzangriffe.
Zunächst drangen die Angreifer in die internen Systeme der Zentralbank von Bangladesch ein und erlangten die erforderlichen Zugangsdaten für die Bankkommunikation. Anschließend nutzten sie das internationale Finanznachrichtensystem SWIFT, um gefälschte Überweisungsaufträge zu senden.
Die Angreifer versuchten, rund 951 Millionen US-Dollar zu transferieren. Einige Transaktionen konnten rechtzeitig gestoppt werden, doch letztlich wurden rund 81 Millionen US-Dollar erfolgreich überwiesen.
Der Vorfall legte erhebliche Risiken traditioneller Finanzsysteme offen: Selbst wenn eine Bank über ein ausgereiftes internationales Zahlungssystem verfügt, kann ein Angriff auf interne Endgeräte, Zugangsdaten und Arbeitsabläufe dennoch enorme Verluste verursachen.
2017: Die WannaCry-Ransomware breitet sich weltweit aus
Im Mai 2017 breitete sich die WannaCry-Ransomware rasch in mindestens 150 Ländern aus und infizierte rund 300.000 Computer.
Die Schadsoftware nutzte eine Schwachstelle in Windows aus, um sich zu verbreiten. Nach der Infektion verschlüsselte sie Dateien und verlangte von den Opfern ein Lösegeld in Bitcoin.
Der britische National Health Service (NHS) war schwer betroffen: Termine, medizinische Dienste und interne Systeme wurden beeinträchtigt, und mehr als 19.000 Termine mussten abgesagt werden.
Die USA, das Vereinigte Königreich und weitere Länder ordneten den WannaCry-Angriff später öffentlich Cyberaktivitäten mit Bezug zu Nordkorea zu. Der Vorfall zeigte, dass die Folgen von Cyberangriffen nicht mehr auf finanzielle Verluste beschränkt sind, sondern sogar medizinische Dienste und öffentliche Infrastruktur beeinträchtigen können.
2022: Beim Ronin Bridge werden rund 625 Millionen US-Dollar gestohlen
Im März 2022 wurde das Ronin-Netzwerk angegriffen, auf dem das Blockchain-Spiel Axie Infinity basiert.
Durch Social Engineering gegen Personen mit Bezug zu Sky Mavis erlangten die Angreifer die für die Kontrolle der Validatoren erforderlichen Berechtigungen und übernahmen schließlich die Kontrolle über genügend Validatoren.
Anschließend transferierten die Angreifer rund 173.600 ETH und 25,5 Millionen USDC von der Ronin Bridge. Nach den damaligen Marktpreisen belief sich der Verlust auf rund 625 Millionen US-Dollar.
Erst einige Tage später bemerkte das Projektteam die ungewöhnlichen Aktivitäten. Im April 2022 ordnete das FBI den Angriff offiziell der Lazarus Group und damit verbundenen Cyberaktivitäten aus Nordkorea zu.
Der Vorfall offenbarte ein zentrales Risiko von Cross-Chain-Bridges: Die Blockchain selbst kann ordnungsgemäß funktionieren. Versagt jedoch der Mechanismus, der Transfers von Vermögenswerten zwischen Blockchains kontrolliert, kann das gesamte Bridge-System zum Angriffsziel werden.
2022: Bei der Harmony Horizon Bridge werden 100 Millionen US-Dollar gestohlen
Im Juni 2022 wurde die Horizon-Cross-Chain-Bridge des Harmony-Projekts angegriffen. Dabei wurden Kryptowährungen im Wert von rund 100 Millionen US-Dollar gestohlen.
Das FBI bestätigte im Januar 2023 offiziell, dass die Lazarus Group für den Diebstahl verantwortlich war. Anschließend transferierten die Angreifer die Gelder über verschiedene Adressen und mithilfe von Datenschutzprotokollen.
Das FBI gab außerdem bekannt, dass die Beteiligten Datenschutzprotokolle wie RAILGUN nutzten, um einen Teil der gestohlenen ETH zu verschleiern.
Das zeigt: Der Diebstahl von Vermögenswerten ist nur ein Teil des Angriffs. Auch der Transfer, die Aufteilung und die Verschleierung der gestohlenen Gelder sind wichtige Bestandteile der gesamten kriminellen Aktivität.
2023: Die Kryptoindustrie wird wiederholt angegriffen
2023 richteten sich die mit Lazarus verbundenen Cyberangriffe weiterhin gegen die Kryptoindustrie.
Atomic Wallet verlor rund 100 Millionen US-Dollar, Alphapo rund 60 Millionen, CoinsPaid rund 37 Millionen und Stake.com rund 41 Millionen US-Dollar.
Das FBI veröffentlichte nach und nach Informationen zur Zuordnung der Vorfälle und brachte sie mit Cyberangriffen mit Bezug zu Nordkorea in Verbindung.
Die Angriffsziele beschränkten sich nicht mehr auf große Börsen, sondern weiteten sich zunehmend auf Wallet-Anbieter, Zahlungsplattformen und das gesamte Kryptoökosystem aus.
2025: Bei Bybit werden Vermögenswerte im Wert von rund 1,5 Milliarden US-Dollar gestohlen
Dies war einer der größten Vermögensdiebstähle in der Geschichte der Kryptoindustrie.
Am 21. Februar 2025 wurde Bybit angegriffen. Dabei wurden ETH und damit verbundene Vermögenswerte im Wert von rund 1,46 Milliarden US-Dollar transferiert.
Besonders lehrreich an diesem Angriff ist, dass die Angreifer nicht einfach das Passwort der Börse knackten. Stattdessen nutzten sie Vertrauensbeziehungen innerhalb der Lieferkette und des Transaktionssignaturprozesses aus.
Den von Bybit veröffentlichten Untersuchungsergebnissen zufolge drangen die Angreifer in die Zugangsdaten und die Infrastruktur von Safe-Entwicklern ein und manipulierten die Benutzeroberfläche für Transaktionssignaturen. Dadurch unterschied sich der Transaktionsinhalt, den die Unterzeichnenden sahen, von der tatsächlich ausgeführten schädlichen Transaktion.
Letztlich übernahmen die Angreifer die Kontrolle über eine ETH-Cold-Wallet von Bybit und transferierten Vermögenswerte im Wert von rund 1,46 Milliarden US-Dollar.
Am 26. Februar 2025 ordnete das FBI den Angriff offiziell mit Nordkorea verbundenen Cyberakteuren zu und stufte ihn als Teil der Aktivitäten von TraderTraitor ein.
Das FBI gab außerdem bekannt, dass die Angreifer einen Teil der gestohlenen Vermögenswerte rasch in Bitcoin und andere Kryptowährungen umtauschten und auf zahlreiche Blockchain-Adressen verteilten.
Dieser Angriff ist ein Weckruf für die gesamte Branche: Cold Wallets bieten keine absolute Sicherheit, Multisignaturverfahren sind ebenfalls nicht absolut sicher, und auch Hardware-Wallets können nicht jede schädliche Signatur verhindern.
Das eigentliche Problem ist nicht nur, ob ein privater Schlüssel offengelegt wurde, sondern auch, was genau die von dir signierte Transaktion bewirkt.
III. Wie führt Lazarus seine Angriffe durch?
Bei der Untersuchung dieser historischen Vorfälle lassen sich mehrere wiederkehrende Angriffsmuster erkennen.
An erster Stelle stehen Social-Engineering-Angriffe.
Die Angreifer geben sich möglicherweise als Investmentfirmen, Personalvermittler, technische Entwickler, Projektteams oder Geschäftspartner aus und nehmen über X, LinkedIn, Telegram oder E-Mail Kontakt zu ihren Zielen auf. Sobald Vertrauen aufgebaut ist, schicken sie vermeintliche Arbeitsdokumente, Investitionsunterlagen, Code-Tests oder Besprechungseinladungen.
Lädt das Ziel eine schädliche Datei herunter und führt sie aus, können die Angreifer anschließend Zugangsdaten stehlen, Zugriff auf das Gerät erlangen oder sogar in das interne Unternehmensnetzwerk eindringen.
An zweiter Stelle stehen Angriffe auf die Lieferkette.
Große Börsen und Blockchain-Projekte verfügen in der Regel über mehrere Sicherheitsebenen. Ein direkter Angriff auf ihre Kernsysteme ist daher schwierig. Angreifer könnten ihre Ziele deshalb auf Entwickler, Drittanbieter, Softwarelieferanten und andere Partner verlagern, die Zugriff auf Systeme haben.
Der Vorfall bei Bybit ist ein typisches Beispiel. Die Angreifer nutzten die Gelegenheit, in eine Entwicklungsumgebung eines Drittanbieters und die Transaktionsoberfläche einzudringen, und beeinflussten so die Einschätzung der Unterzeichnenden zum Inhalt der Transaktion.
An dritter Stelle stehen On-Chain-Transfers.
Nach einem Diebstahl können Angreifer die Gelder auf mehrere Adressen aufteilen und Cross-Chain-Tauschvorgänge, verschiedene Handelsplattformen sowie Datenschutzprotokolle nutzen, um die Nachverfolgung zu erschweren.
Doch Blockchains sind nicht völlig anonym. Jede Transaktion hinterlässt Spuren. Selbst wenn Angreifer ihre Adressen ständig wechseln, können Geldflüsse, Transaktionszeitpunkte, gemeinsame Geldquellen und Verbindungen zwischen Adressen Hinweise für Ermittlungen liefern.
Deshalb können das FBI, Blockchain-Analyseunternehmen und Handelsplattformen einen Teil der gestohlenen Vermögenswerte durch On-Chain-Analysen nachverfolgen.
IV. Welche Auswirkungen haben diese Angriffe auf die globale Kryptoindustrie?
Erstens wird das Vertrauen in die Sicherheit von Finanzinstituten erschüttert. Der Vorfall bei der Zentralbank von Bangladesch zeigt, dass auch die internationalen Zahlungssysteme traditioneller Banken Cyberangriffen ausgesetzt sein können.
Zweitens werden die Sicherheitsrisiken der Krypto-Infrastruktur neu bewertet. Die Vorfälle bei Ronin und Harmony haben die gesamte Branche dazu veranlasst, die Sicherheitskonzepte für Cross-Chain-Bridges, Multisignatur-Wallets, Validatoren und Smart Contracts neu zu überdenken.
Drittens steigen die Betriebskosten von Börsen kontinuierlich. Die Verwaltung von Cold Wallets, die Überprüfung von Signaturen, externe Audits, On-Chain-Überwachung, Notfallmaßnahmen und Versicherungsschutz erfordern allesamt mehr Ressourcen.
Viertens können gestohlene Vermögenswerte in umfassendere illegale Geldströme gelangen. Nach Transfers über mehrere Blockchains, Umtausch und Geldwäsche können sie Handelsplattformen, DeFi-Protokolle und andere Nutzer betreffen.
Besonders bedenklich ist, dass Fragen der nationalen Cybersicherheit mit der Kryptoindustrie zusammenfallen. Es geht längst nicht mehr um gewöhnliche Hackerangriffe einzelner Personen, sondern um ein komplexes Problem, das Finanzinfrastruktur, internationale Sicherheit und die Regulierung digitaler Vermögenswerte betrifft.
V. Wie können sich gewöhnliche Kryptonutzer schützen?
$BNB Gewöhnliche Anleger benötigen keine Fachkenntnisse in Cybersicherheit, sollten sich aber grundlegende Sicherheitsgewohnheiten aneignen.
Bewahre größere Vermögenswerte möglichst in einer separaten Cold Wallet auf.
Lade deine Seed-Phrase und privaten Schlüssel niemals in einen Cloud-Speicher oder eine Chat-App hoch.
Gib niemandem deine Seed-Phrase, privaten Schlüssel oder Signaturfreigaben.
Installiere nicht wahllos Wallet-Erweiterungen, die dir Unbekannte anbieten.
Verwende keine Wallet-Software aus unbekannten Quellen.
Überprüfe regelmäßig die Berechtigungen deiner Wallet und widerrufe nicht mehr benötigte Freigaben.
Signiere nicht blind Transaktionen, die du nicht verstehst.
Überprüfe vor dem Signieren die Empfängeradresse, die Vertragsadresse und den Transaktionsinhalt.
Sei bei Token-Freigaben mit unbegrenztem Betrag besonders vorsichtig.
Teste größere Transaktionen zunächst mit einem kleinen Betrag.
Für Börsenkonten solltest du außerdem eine unabhängige Zwei-Faktor-Authentifizierung aktivieren, vorzugsweise eine phishingresistente Methode wie einen Hardware-Sicherheitsschlüssel verwenden, eine Whitelist für Auszahlungsadressen einrichten und Benachrichtigungen über Anmeldungen und Auszahlungen aktivieren.
Besonders wichtig: Eine Hardware-Wallet schützt zwar deine privaten Schlüssel, garantiert aber nicht, dass eine von dir genehmigte Transaktion sicher ist. Signierst du eine schädliche Transaktion, kann auch eine Hardware-Wallet zum Einfallstor für finanzielle Verluste werden.
Börsen, DeFi-Projekte und Entwicklungsteams sollten außerdem private Schlüssel und Geschäftssysteme voneinander trennen, Multisignaturberechtigungen aufteilen, Software von Drittanbietern prüfen lassen, das Prinzip der minimalen Berechtigungen anwenden, ungewöhnliche Transaktionen überwachen und Notfallmechanismen zum Aussetzen von Vorgängen einrichten.
VI. Worauf wir besonders achten sollten: Die Ziele von Cyberangriffen verändern sich
Ein Rückblick auf die Angriffsgeschichte der vergangenen zehn Jahre zeigt eine deutliche Entwicklung.
2014–2017 richteten sich Angriffe vor allem gegen Unternehmenssysteme und dienten dem Datendiebstahl sowie der Verbreitung von Ransomware.
2016–2020 weitete sich das Angriffsfeld auf Bankensysteme, internationale Zahlungssysteme und Finanzinstitute aus.
2018–2021 wurden Kryptowährungsbörsen, Wallets und zugehörige Software zunehmend zu wichtigen Zielen.
2022–2023 weiteten sich die Angriffe weiter auf Cross-Chain-Bridges, DeFi und die Blockchain-Infrastruktur aus.
2025 wurden Lieferketten, Entwicklungsumgebungen von Drittanbietern und Multisignatur-Transaktionsabläufe zu besonders bedenklichen Einfallstoren.
Das bedeutet nicht, dass alle Angriffe von denselben Personen oder mit denselben Techniken ausgeführt werden. Es zeigt vielmehr, dass die mit Lazarus verbundenen Cyberbedrohungen immer mehr Bereiche der Finanzinfrastruktur abdecken.
Für die Kryptoindustrie verschieben sich die Grenzen dessen, was als sicher gilt.
Früher fragte man sich, ob private Schlüssel offengelegt wurden oder ob Smart Contracts Schwachstellen aufwiesen. Heute muss man auch berücksichtigen, ob die Computer der Entwickler sicher sind, ob Software von Drittanbietern vertrauenswürdig ist, ob die Signaturoberfläche manipuliert wurde und ob interne Berechtigungen missbraucht wurden.
Die mehr als zehnjährige Angriffsgeschichte von Lazarus macht eine harte Realität deutlich: Im digitalen Finanzzeitalter liegt das größte Risiko womöglich nicht darin, dass ein System geknackt wird, sondern darin, dass Vertrauen ausgenutzt wird.
Wenn digitale Vermögenswerte im Wert von mehreren Dutzend Milliarden Dollar innerhalb kurzer Zeit transferiert werden können, muss sich die gesamte Branche eine Frage neu stellen:
Bauen wir tatsächlich ein sicheres digitales Finanzsystem auf – oder übertragen wir lediglich die Risiken der traditionellen Finanzwelt auf die Blockchain?$BTC