Chainalysis führt Kryptoverluste von mehr als 14,3 Millionen Dollar in den vergangenen 18 Monaten auf das nordkoreanische Vorgehen mit gefälschten Vorstellungsgesprächen zurück, das später Binance ins Visier nahm.
Das Blockchain-Analyseunternehmen betrachtet diese kleineren Beutezüge als Übung für den Diebstahl von 6,3 Milliarden Dollar.
Dutzende gefälschte Vorstellungsgespräche führten zu kompromittierten Wallets
Die Verluste gingen auf gefälschte Vorstellungsgespräche und Malware-Betrugsmaschen mit Verbindungen zu Nordkorea zurück. Die Ziele reichten von einzelnen Kryptobesitzern und privaten Wallets bis hin zu Protokollen und DAOs.
„Wir haben Dutzende weitere kompromittierte Vorstellungsgespräche identifiziert, die auf individueller Ebene zu kompromittierten Wallets geführt haben“, sagte Tom McLouth, leitender Geheimdienstanalyst bei Chainalysis. Die Verluste Einzelner reichten von Zehntausenden bis zu Millionen Dollar.
Nordkoreanische Gruppen „verfeinerten und entwickelten ihre Vorgehensweise weiter“, sagte er. „So kommt man zum größten Raub der Geschichte“, sagte McLouth.
Der Angriff auf Binance könnte der Höhepunkt monatelanger oder sogar jahrelanger Übung sein, sagt Chainalysis. Cryptopolitan berichtete, dass Binance den eigenen Sicherheitsvorfall auf eine Einladung zu einem Vorstellungsgespräch zurückführte, die im September an einen Ingenieur geschickt worden war.
Der Ingenieur lud eine Aufgabenstellung für das Vorstellungsgespräch herunter, die mit Schadcode präpariert worden war – nachdem er zwei Gesprächsrunden mit einem gefälschten Unternehmen absolviert hatte. Alec Zebrick, Senior Manager of Global Services bei Chainalysis, nennt diese Methode „ansteckende Vorstellungsgespräche“. Sie zielt auf Mitarbeitende mit privilegiertem Zugriff ab, damit deren Zugangsdaten gegen den Arbeitgeber eingesetzt werden können.
Chainalysis hob auch Fälle hervor, in denen private Schlüssel nach einem manipulierten Vorstellungsgespräch aus Cloud-Speichern gestohlen wurden. Einige Opfer sagten, ihre Seed-Phrasen seien nie auf dem infizierten Gerät gewesen. Chainalysis zufolge könnte das auf gestohlene Cloud-Zugangsdaten oder Browser-Sitzungen hindeuten.
Im März dokumentierte Microsoft, dass sein Defender-Experts-Team eine Kampagne namens „Contagious Interview“ verfolgt, die seit mindestens Dezember 2022 aktiv ist.
Bei dieser Kampagne bringen gefälschte Personalvermittler von Krypto-Handelsfirmen oder KI-Unternehmen Bewerber dazu, schädliche Codepakete auszuführen.
Die darin enthaltene Schadsoftware sucht nach Wallet-Mnemonics, KeePass- und 1Password-Datenspeichern sowie kryptografischen Schlüsseln, teilte Microsoft mit.
Blockchain-Dead-Drops haben sich innerhalb eines Jahres verfünffacht
Chainalysis berichtet außerdem, dass Blockchain-gestützte Cyberangriffe in den vergangenen zwölf Monaten um das Fünffache zugenommen haben. Chainalysis nennt diese Methode „Blockchain Dead Drops“. Der Anstieg wird staatlichen Akteuren und dem möglichen Einsatz von KI-Modellen mit offenen Gewichten zugeschrieben.
Nordkoreanische Akteure begannen Anfang 2025 mit dem Einsatz der „Etherhiding“ genannten Technik. Dabei werden über gefälschte Vorstellungsgespräche infizierte Geräte mit den Command-and-Control-Servern der Angreifer verbunden. Ein Blockchain-Eintrag lässt sich von der Polizei schwerer beschlagnahmen als ein zentral gehosteter Server.
Bei einer nordkoreanischen Konfiguration waren die Anweisungen auf TRON und Aptos verteilt. Beide Blockchains verweisen auf die auf BSC gehostete Payload, und infizierte Geräte werden zu ihr weitergeleitet.
Aptos dient als Ausweichlösung, falls TRON ausfällt.
Bei der neueren Methode mit einem „Null-Empfänger“ wird die Anweisung in eine speziell präparierte Adresse eingebettet. Die Adresse wird nicht kontrolliert und ist nicht dafür vorgesehen, Kryptowährungen zu speichern.
Infizierte Geräte interpretieren die Adresse als Befehl.
Im September machten das FBI, die japanische Nationale Polizeibehörde sowie Behörden in Australien und Deutschland öffentlich eine nordkoreanische Gruppe namens WaterPlum für einen Krypto-Raub im Wert von rund 10,71 Millionen US-Dollar verantwortlich.
WaterPlum wird auch „Contagious Interview“ genannt. Die Operation betraf sensible Daten von etwa 7.000 Krypto-Konten.
Das FBI machte die nordkoreanische Gruppe TraderTraitor für den Binance-Raub verantwortlich, doch Pjöngjang bestritt jede Beteiligung. Chainalysis geht davon aus, dass die gestohlenen Gelder in den kommenden Tagen weiter verschoben werden.
Wenn du das hier liest, bist du schon einen Schritt voraus. Bleib es – mit unserem Newsletter.