Nordkoreanische Hacker: Warum die Welt sie immer noch nicht festnehmen kann. Cyber-Raubzüge in Milliardenhöhe.

Wie die Lazarus-Gruppe und andere mit Nordkorea verbundene Cyberakteure globale Finanzinstitute und Kryptowährungsplattformen ins Visier nahmen und warum es den internationalen Strafverfolgungsbehörden schwerfällt, sie zur Rechenschaft zu ziehen.
Ich habe mich mit der Geschichte nordkoreanischer Cyberangriffe beschäftigt, insbesondere mit ihrer Beteiligung am Diebstahl von Kryptowährungen, und mir stellt sich immer wieder eine Frage.
Wie kann eine Hackergruppe Finanzinstituten und Kryptowährungsbörsen, die in mehreren Ländern tätig sind, Milliarden von Dollar stehlen und dennoch für internationale Strafverfolgungsbehörden so schwer physisch festzunehmen sein?
Wir sprechen nicht von einem einzelnen Vorfall oder einer kleinen Gruppe unerfahrener Cyberkrimineller. Wir sehen ein über zehn Jahre hinweg erkennbares Muster von Operationen, an denen Banken, Zahlungsnetzwerke, Kryptowährungsbörsen, Blockchain-Bridges, Softwareentwickler und einzelne Anleger beteiligt waren.
Der Name, der in diesen Ermittlungen immer wieder auftaucht, ist Lazarus Group, eine mit Nordkorea verbundene Hackerorganisation.
Im Laufe der Jahre haben sich die Methoden weiterentwickelt. Was mit Angriffen auf die traditionelle Bankinfrastruktur begann, weitete sich nach und nach auf Kryptowährungsbörsen, DeFi-Plattformen und Blockchain-Ökosysteme aus.
Der interessanteste Teil dieser Geschichte ist jedoch nicht einfach, wie viel Geld gestohlen wurde. Es geht darum, wie schwierig es geworden ist, diese Operationen zu stoppen, die tatsächlich dahinterstehenden Personen zu identifizieren und sie vor Gericht zu bringen.
Betrachten wir die Beweise.
1. Ein Jahrzehnt voller Cyberangriffe: von traditionellen Banken bis zu Kryptowährungen
Bankraub bei der Bangladesh Bank 2016
Durch betrügerische SWIFT-Zahlungsanweisungen wurden der Bangladesh Bank erfolgreich ungefähr 81 Millionen US-Dollar gestohlen. Ermittler brachten die Operation mit nordkoreanischen Hackern in Verbindung.
Die Angreifer versuchten, ungefähr 951 Millionen US-Dollar zu überweisen, doch die meisten dieser Überweisungsversuche wurden gestoppt.
WannaCry-Ransomware 2017
Ein globaler Ransomware-Angriff betraf Hunderttausende Computer. Die Opfer wurden von ihren Dateien ausgesperrt und sollten Bitcoin zahlen, um wieder Zugriff zu erhalten.
Der britische National Health Service gehörte zu den betroffenen Organisationen. Das US-Justizministerium brachte die Operation später mit nordkoreanischen Hackern in Verbindung.
BankIslami Pakistan 2018
Dieser Vorfall ist für Pakistan besonders relevant.
Laut dem US-Justizministerium wurden der BankIslami Pakistan bei einer koordinierten Bargeldabhebung an Geldautomaten namens FASTCash ungefähr 6,1 Millionen US-Dollar gestohlen.
Der Vorfall zeigt, dass sich diese Operationen nicht auf westliche Finanzinstitute beschränkten.
Ronin Network 2022
Dem Ronin Network, das mit Axie Infinity verbunden ist, wurden Kryptowährungen im Wert von ungefähr 625 Millionen US-Dollar gestohlen.
Das FBI führte den Angriff auf Lazarus Group und APT38 zurück.
Harmony Horizon Bridge 2022
Der Horizon Bridge von Harmony wurden weitere ungefähr 100 Millionen US-Dollar gestohlen. Das FBI führte den Angriff später auf Lazarus Group zurück.
Atomic Wallet, CoinsPaid und Alphapo 2023
Bei diesen Vorfällen ging es um ungefähr:
 Atomic Wallet: 100 Millionen US-Dollar.
 CoinsPaid: 37 Millionen US-Dollar.
 Alphapo: 60 Millionen US-Dollar.
Das FBI brachte mit Nordkorea verbundene Akteure mit diesen Vorfällen in Verbindung.
WazirX, DMM Bitcoin und weitere Angriffe 2024
Mehrere große Kryptowährungsplattformen und -projekte erlitten erhebliche Verluste:
 DMM Bitcoin: ungefähr 308 Millionen US-Dollar.
 WazirX: ungefähr 235 Millionen US-Dollar.
 Upbit: ungefähr 50 Millionen US-Dollar.
 Radiant Capital: ungefähr 50 Millionen US-Dollar.
 Rain Management: ungefähr 16,13 Millionen US-Dollar.
Die Regierungen der Vereinigten Staaten, Japans und Südkoreas führten mehrere dieser Angriffe auf nordkoreanische Akteure zurück.
Bybit-Börsen-Hack 2025
Dies war ein weiterer bedeutender Wendepunkt.
Am 21. Februar 2025 wurden Bybit virtuelle Vermögenswerte im Wert von ungefähr 1,5 Milliarden US-Dollar gestohlen.
Am 26. Februar führte das FBI den Angriff offiziell auf Nordkorea zurück und bezeichnete die Aktivität als TraderTraitor.
Ermittler beobachteten, wie die gestohlenen Vermögenswerte über Tausende Wallet-Adressen und mehrere Blockchain-Netzwerke hinweg verschoben wurden.
Vorfall bei Binance 2026: 6,3 Milliarden US-Dollar
Der jüngste gemeldete Vorfall hat den Einsatz erheblich erhöht.
Am 29. Oktober 2026 wurde Binance Berichten zufolge Kryptowährung im Wert von mehr als 6 Milliarden US-Dollar gestohlen.
Am 31. Oktober führte das FBI den Diebstahl offiziell auf Nordkorea zurück und bezeichnete die Operation als TraderTraitor.
Laut FBI wandelten die Angreifer die gestohlenen Vermögenswerte hauptsächlich in Ethereum um. Eine weitere Geldwäsche über DeFi-Plattformen und Soforttauschdienste für Kryptowährungen wird erwartet.
Binance erklärte außerdem, es habe ungefähr 6,34 Milliarden US-Dollar zur Deckung der gemeldeten Verluste bereitgestellt und arbeite mit Branchenpartnern daran, betroffene Vermögenswerte einzufrieren.
Dies ist nicht einfach ein weiterer Sicherheitsvorfall bei einer Börse. Er zeigt, wie groß das finanzielle Risiko sein kann, wenn hochentwickelte Angreifer kritische Infrastruktur für digitale Vermögenswerte kompromittieren.
👉 Wie gehen diese Hacker eigentlich vor?
Besonders beunruhigend finde ich, dass diese Operationen nicht immer mit einem direkten Angriff auf die Wallet-Infrastruktur einer Börse beginnen.
Manchmal ist ein gewöhnlicher Mitarbeiter der Einstiegspunkt.
Zu den gemeldeten Methoden gehören:
Social Engineering: Angreifer geben sich als Personalvermittler, Arbeitgeber, Geschäftspartner oder vertrauenswürdige Kontakte aus, um Zugriff auf Mitarbeiter und deren Geräte zu erlangen.
Verbreitung von Malware: Schadsoftware und Programmieraufgaben können Computer kompromittieren und sensible Zugangsdaten offenlegen.
Angriffe auf Mitarbeiter: Personen mit Zugriff auf interne Systeme, Wallet-Verwaltung und Transaktionsfreigaben werden zu wertvollen Zielen.
Gefälschte IT-Stellenangebote: Berichten zufolge haben mit Nordkorea verbundene Operative falsche Identitäten verwendet, um bei internationalen Unternehmen aus der Ferne angestellt zu werden.
Geldwäsche mit Kryptowährungen: Gestohlene Vermögenswerte werden über mehrere Wallets, Tauschdienste und Blockchain-Netzwerke verschoben, um Ermittlungen zu erschweren.
Ein gemeinsamer Cybersicherheitshinweis vom September 2026 beschrieb die WaterPlum-Kampagne, bei der IT-Fachkräfte mit gefälschten Jobangeboten ins Visier genommen wurden.
Laut dem Hinweis wurden zwischen Dezember 2025 und Juli 2026 mindestens 30.000 kompromittierte Geräte in mehr als 100 Ländern, über 7.000 betroffene Kryptowährungs-Wallets und gestohlene Kryptowährungen im Wert von ungefähr 10,71 Millionen US-Dollar gemeldet.
Denken Sie einen Moment darüber nach.
Ein Entwickler, der nach einem Remote-Job sucht, könnte unwissentlich zum Einstiegspunkt in die umfassendere technologische Infrastruktur eines Unternehmens werden.
👉 Die wichtigste Frage: Warum können internationale Behörden diese Hacker nicht verhaften?
An diesem Punkt wird die Geschichte deutlich komplizierter.
Es gibt Behörden wie das FBI, Interpol, nationale Polizeikräfte, Nachrichtendienste und spezialisierte Unternehmen für Blockchain-Ermittlungen.
Sie können Angriffe untersuchen, verdächtige Wallet-Bewegungen identifizieren, Warnhinweise veröffentlichen, Sanktionen verhängen und sogar Strafanklagen erwirken.
Doch keine dieser Maßnahmen führt automatisch dazu, dass ein Verdächtiger in Handschellen gelegt wird.
Dafür gibt es mehrere Gründe.
@ Die Hacker befinden sich möglicherweise physisch außerhalb der Zuständigkeit des ermittelnden Landes
Laut der Anklageschrift des US-Justizministeriums von 2021 waren drei mit dem nordkoreanischen Militär verbundene Hacker an Operationen beteiligt, die mit Lazarus Group und APT38 in Verbindung standen.
In der Anklageschrift wurde behauptet, einige dieser Operativen seien in Ländern wie China und Russland stationiert gewesen.
Dadurch entsteht ein erhebliches Zuständigkeitsproblem.
Ein amerikanischer Ermittler mag Beweise gegen einen Verdächtigen haben. Befindet sich diese Person jedoch physisch in einem anderen Land, kann das FBI nicht einfach in dieses Land einreisen und sie festnehmen.
Die ermittelnde Behörde benötigt die Zusammenarbeit des Landes, in dem sich der Verdächtige aufhält.
Ohne diese Zusammenarbeit kann ein Haftbefehl jahrelang unausgeführt bleiben.
@ Nordkorea ist für die internationale Strafverfolgung ein äußerst schwieriger Zuständigkeitsbereich
Betrachten wir die praktische Situation.
Wenn Ermittler einen Verdächtigen identifizieren, von dem angenommen wird, dass er von Nordkorea aus operiert, wie können sie diese Person dann physisch erreichen?
Sie können nicht einfach ein Festnahmeteam nach Nordkorea schicken.
Sie benötigen internationale Rechtshilfe, Zugang zum Verdächtigen und ein durchsetzbares rechtliches Verfahren.
Politische Beziehungen, Sanktionen, diplomatische Beschränkungen und fehlende praktische Zusammenarbeit können solche Fälle außerordentlich schwierig machen.
Deshalb bedeutet die Identifizierung eines mit Nordkorea verbundenen Hackers nicht zwangsläufig, dass diese Person verhaftet werden kann.
@ Eine Zuschreibung ist nicht dasselbe wie der Nachweis individueller strafrechtlicher Verantwortung
Es gibt noch einen weiteren wichtigen Unterschied.
Eine Behörde kann anhand von Ähnlichkeiten bei Malware, Infrastruktur, Operationsmustern, Wallet-Bewegungen und nachrichtendienstlichen Erkenntnissen zu dem Schluss kommen, dass ein Cyberangriff mit Lazarus Group in Verbindung steht.
Der Nachweis, dass eine bestimmte Person ein konkretes Verbrechen persönlich begangen hat, erfordert jedoch eine andere Beweisqualität.
Ermittler müssen feststellen:
Wer hatte tatsächlich die Kontrolle über die kompromittierten Systeme?
Wer hat die Transaktionen veranlasst oder genehmigt?
Wer hatte die Kontrolle über die Wallets, in denen die gestohlenen Gelder eingingen?
Welche Beweise bringen den Verdächtigen mit der Operation in Verbindung?
 Kann dieser Beweis vor Gericht vorgelegt werden und einer rechtlichen Prüfung standhalten?
Eine Blockchain-Adresse verrät nicht automatisch die Identität ihres Besitzers in der realen Welt.
Eine Zuschreibung kann technisch überzeugend sein und dennoch zusätzliche Beweise für eine Strafverfolgung erfordern.
@ Kryptowährungen bewegen sich schneller als internationale Rechtsverfahren
Dies ist wahrscheinlich eine der größten Herausforderungen.
Wenn gestohlene Kryptowährungen über mehrere Wallets, Börsen, Bridges und dezentrale Anwendungen bewegt werden, müssen Ermittler die Vermögensbewegungen über mehrere Rechtsgebiete hinweg verfolgen.
Möglicherweise müssen sie sich an verschiedene Börsen, Finanzermittlungsstellen, Regulierungsbehörden und Strafverfolgungsbehörden wenden.
Jedes Land hat eigene Gesetze, Verfahren und Anforderungen für das Einfrieren oder Beschlagnahmen von Vermögenswerten.
Wenn ein formeller Antrag eine andere Rechtsordnung erreicht, können die Gelder bereits mehrfach weiterbewegt worden sein.
Eine Blockchain bietet eine dauerhafte Transaktionsaufzeichnung, garantiert aber nicht, dass Ermittler sofort die Personen identifizieren können, die die Wallets kontrollieren.
@ Der Einsatz von Vermittlern erschwert Ermittlungen
An Operationen mit Verbindungen zu Nordkorea waren auch Vermittler und Geldwäscher in Drittstaaten beteiligt.
Diese Vermittler können dabei helfen:
 Kryptowährungen in traditionelle Währungen umzutauschen.
 Börsenkonten unter falscher Identität zu eröffnen.
 Gelder über verschiedene Finanznetzwerke zu bewegen.
 Zugang zu internationalen Finanzdienstleistungen bereitzustellen.
 Die Verbindung zwischen dem ursprünglichen Diebstahl und dem endgültigen Empfänger zu verschleiern.
Dadurch entsteht eine weitere Ebene zwischen den ursprünglichen Hackern und dem Geld.
Ermittler können möglicherweise einen Vermittler erfolgreich identifizieren oder eine Wallet einfrieren, ohne sofort an die Personen heranzukommen, die den ursprünglichen Angriff geplant und ausgeführt haben.
@ Internationale Zusammenarbeit ist nicht immer schnell oder einheitlich
Stellen Sie sich einen Diebstahl vor, bei dem eine Börse in einem Land betroffen ist, ein Hacker von einem anderen Land aus operiert, sich die Server in einem dritten Land befinden und die gestohlene Kryptowährung über Plattformen bewegt wird, die in mehreren anderen Rechtsgebieten registriert sind.
Welches Land leitet die Ermittlungen?
Wer ist befugt, die Vermögenswerte einzufrieren?
Welche Behörde sammelt die Beweise?
Wer verfolgt die Verdächtigen strafrechtlich?
Das sind keine einfachen Fragen.
Eine Analyse des Center for Strategic and International Studies aus dem Jahr 2026 hob die Schwierigkeiten hervor, die durch zersplitterte internationale Vorschriften, langsame grenzüberschreitende Zusammenarbeit und das Fehlen eines vollständig koordinierten Systems zur Untersuchung, zum Einfrieren und zur Beschlagnahme von Erträgen aus Kryptowährungsstraftaten entstehen.
Das Problem ist nicht, dass internationale Behörden untätig sind. Das Problem ist, dass ihre Befugnisse und ihre praktische Reichweite über nationale Grenzen hinweg aufgeteilt sind.
👉 Haben internationale Behörden tatsächlich Hacker identifiziert und angeklagt?
Ja. Und das ist ein wichtiger Unterschied.
Im September 2018 erhob das US-Justizministerium Anklage gegen den nordkoreanischen Programmierer Park Jin Hyok im Zusammenhang mit der mutmaßlichen Verschwörung rund um den Diebstahl bei der Bangladesh Bank, WannaCry und den Angriff auf Sony Pictures.
Im Februar 2021 gab das US-Justizministerium weitere Anklagen gegen drei mit dem nordkoreanischen Militär verbundene Programmierer bekannt:
Park Jin Hyok
Jon Chang Hyok
Kim Il
Das FBI hat außerdem eine Fahndungsmitteilung zu Park Jin Hyok veröffentlicht.
Es besteht jedoch ein großer Unterschied zwischen einer Anklage und der tatsächlichen Festnahme einer Person.
In der Fahndungsmitteilung des FBI heißt es, Park halte sich nach letzten Erkenntnissen in Nordkorea auf.
Das veranschaulicht die zentrale Schwierigkeit: Ermittler können Verdächtige identifizieren, Fälle aufbauen, Haftbefehle erwirken und Sanktionen verhängen. Die Verdächtigen tatsächlich festzunehmen, bleibt jedoch eine separate Herausforderung.
Gleichzeitig waren internationale Behörden erfolgreicher darin, Vermittler, betrügerische Netzwerke für IT-Anstellungen und Geldwäsche-Zwischenpersonen zu verfolgen, die sich außerhalb Nordkoreas befinden.
Mit anderen Worten: Die internationale Reaktion beschränkt sich nicht darauf, die Hacker selbst festnehmen zu wollen. Sie zielt auch auf die Finanz- und Operationsnetzwerke ab, die ihnen ihre Aktivitäten ermöglichen.
👉 Warum ist es einfacher, gestohlene Kryptowährungen einzufrieren, als die Verantwortlichen festzunehmen?
Diesen Unterschied sollte jeder Anleger in Kryptowährungen verstehen.
Wenn Ermittler gestohlene Gelder identifizieren, die bei einer zentralisierten Börse liegen, können sie die Börse möglicherweise auffordern, die betreffenden Vermögenswerte einzufrieren.
Werden diese Vermögenswerte jedoch auf Wallets in Eigenverwahrung, dezentrale Protokolle oder Dienste in Rechtsgebieten mit begrenzter Zusammenarbeit übertragen, wird die Lage deutlich schwieriger.
Betrachten wir drei verschiedene Szenarien:
__ Ermittler identifizieren eine Wallet und die Gelder werden auf eine kooperative zentralisierte Börse transferiert. Möglicherweise bietet sich eine Gelegenheit, die Vermögenswerte einzufrieren.
__ Gelder werden über mehrere dezentrale Anwendungen und Cross-Chain-Dienste bewegt. Die Nachverfolgung wird komplizierter.
__ Ermittler identifizieren die Wallet-Bewegungen, können aber nicht feststellen, wer die Zieladressen kontrolliert. Sie können nachvollziehen, wohin das Geld geflossen ist, ohne zu wissen, wer tatsächlich die Kontrolle darüber hat.
Deshalb müssen Blockchain-Analyseunternehmen, Börsen und Strafverfolgungsbehörden immer häufiger zusammenarbeiten.
Der Bybit-Hinweis des FBI vom Februar 2025 und der Binance-Hinweis vom Oktober 2026 zeigen beide, wie wichtig die Zusammenarbeit mit Börsen, Blockchain-Infrastrukturanbietern und DeFi-Diensten ist.
👉 Was sollten Kryptowährungsbörsen aus diesem Jahrzehnt lernen?
Ich bin der Meinung, dass die Branche über grundlegende Wallet-Sicherheit hinausblicken muss.
Die größten Schwachstellen könnten in den Systemen liegen, die diese Wallets umgeben.
Fünf Bereiche verdienen besondere Aufmerksamkeit:
✅ Unabhängige Transaktionsfreigaben
Große Auszahlungen sollten mehrere unabhängige Freigaben erfordern, statt sich auf ein einziges kompromittiertes System oder einen einzelnen Mitarbeiter zu verlassen.
✅ Sicherheit von Mitarbeitern und Entwicklern
Hintergrundüberprüfungen, Gerätesicherheit, eingeschränkte Berechtigungen und die sorgfältige Prüfung externen Codes sind unverzichtbar.
✅ Transaktionsüberwachung in Echtzeit
Ungewöhnliche Auszahlungsmuster, verdächtige Wallet-Aktivitäten und unerwartete Änderungen des Transaktionsverhaltens sollten sofortige Warnmeldungen auslösen.
✅ Notfallmaßnahmen
Börsen sollten klare Verfahren für die Aussetzung von Auszahlungen, die Koordination mit Blockchain-Betreibern und Anträge auf Einfrieren von Vermögenswerten bereithalten.
✅ Unabhängige Sicherheitsaudits
Sicherheitsprüfungen sollten die gesamte Infrastruktur zur Transaktionssignierung, interne Berechtigungen, Software-Lieferketten und Integrationen von Drittanbietern untersuchen.
✅ Meine abschließende Beobachtung: Die eigentliche Herausforderung ist die Rechenschaftspflicht
Nach der Untersuchung dieser Vorfälle glaube ich nicht, dass die größte Sicherheitsfrage der Kryptowährungsbranche einfach darin besteht, ob eine weitere Börse gehackt wird.
Dieses Risiko wird immer bestehen.
Die wichtigere Frage ist, ob die Branche und internationale Strafverfolgungsbehörden schnell genug zusammenarbeiten können, um die Angreifer zu identifizieren, ihre Finanznetzwerke zu zerschlagen, gestohlene Vermögenswerte wiederzuerlangen und die Verantwortlichen schließlich vor Gericht zu bringen.
Die Ereignisse von der Bangladesh Bank im Jahr 2016 über Bybit im Jahr 2025 bis zum gemeldeten Binance-Vorfall im Oktober 2026 zeigen, wie dramatisch sich die Bedrohungslage verändert hat.
Doch es besteht ein Unterschied zwischen der Nachverfolgung einer Transaktion, der Identifizierung einer Hackergruppe, dem Nachweis der strafrechtlichen Verantwortung einer Einzelperson und der tatsächlichen Festnahme dieser Person.
Das sind vier unterschiedliche Herausforderungen.
Und vielleicht ist das die beunruhigendste Realität der modernen Cyberkriminalität: Die Welt kann beobachten, wie Milliarden von Dollar über eine transparente Blockchain fließen, und dennoch Schwierigkeiten haben, die Verantwortlichen hinter Gitter zu bringen.
Für Anleger in Kryptowährungen sollte dies eine Erinnerung daran sein, dass Transparenz, Dezentralisierung und fortschrittliche Technologie nicht automatisch Sicherheit garantieren.
Die Branche braucht strengere interne Kontrollen, eine bessere internationale Zusammenarbeit und echte Rechenschaftspflicht. Denn gestohlenes Geld zurückzuerlangen ist wichtig, aber den nächsten Angriff zu verhindern ist noch wichtiger.
#BinanceToResumePhaseOneOfWithdrawals #BinanceHadAlreadyCovered$6BofHackLoss #FBIConfirmsNorthKoreaIsResponsibleForBinanceCryptoHack #BinanceSAFUFundTransferCompleted7499BTC #BinanceRecovery90% of stolen assets 