Was ist TraderTraitor, die Hackergruppe hinter dem 6,3 Milliarden Dollar schweren Binance-Raub

Die führende Kryptowährungsbörse Binance erlitt letzte Woche einen Diebstahl in Höhe von 6,3 Milliarden US-Dollar, welcher die FBI und verschiedene Analyseunternehmen führten zurück auf an eine nordkoreanische Hackergruppe bekannt als TraderTraitor.

Der Diebstahl war der größte in der Geschichte der Kryptowährungen, mehr als das Vierfache des 1,5 Milliarden US-Dollar von Bybit gestohlen im Februar 2025, ein Angriff, den das FBI ebenfalls TraderTraitor zuschrieb.

Der Diebstahl bei Binance hat sich auf einen Schlag etwa verdoppelt mehr als 6 Milliarden US-Dollar TRM Labs schätzte im April, dass nordkoreanische Hacker seit 2017 gestohlen haben.

Die Angriffe von TraderTraitor begannen wiederholt mit Rekrutierungsversuchen oder Kompromittierungen vertrauenswürdiger Softwareanbieter, so Erkenntnisse des FBI und Bybits Untersuchung. Diese Verstöße verschafften den Hackern Zugriff auf die Systeme, die für die Genehmigung von Überweisungen verwendet werden.

„TraderTraitor ist Nordkoreas Eliteeinheit für den Diebstahl von Kryptowährungen“, sagte Ari Redbord, globaler Leiter für Politik und Regierungsangelegenheiten bei TRM Labs, gegenüber CoinDesk. „Lazarus ist der Dachverband für alle Arten von Hackerangriffen des Regimes. TraderTraitor ist das Team innerhalb dieser Struktur, das darauf spezialisiert ist, digitale Vermögenswerte von Börsen und Verwahrern zu entwenden.“

Der Name TraderTraitor tauchte in einem April 2022 Beratung von FBI, Cybersecurity and Infrastructure Security Agency und dem Finanzministerium. Es beschrieb Malware, die in Kryptowährungshandels-Apps versteckt ist, sowie Angriffe auf Börsen, dezentralisierte Finanzprotokolle und Investoren, die mindestens bis ins Jahr 2020 zurückreichen.

Die Gruppe ist auch bekannt als Jade Sleet, UNC4899 und Slow Pisces, innerhalb des breiteren Netzwerks nordkoreanischer Hackeroperationen, das Forscher gemeinhin Lazarus nennen.

US-Behörden geben an, dass der Zweck darin besteht, Geld für Pjöngjang zu beschaffen, und warnten 2022 davor, dass die Hacker weiterhin Kryptowährungsunternehmen angreifen würden, „um Mittel zu generieren und zu waschen, um das nordkoreanische Regime zu unterstützen.“

Die nordkoreanische Regierung hat zumindest in einem Fall versucht, USDT zum Kauf von russischem Öl zu verwenden.

Tom McLouth, ein leitender Nachrichtendienstanalyst bei Chainalysis, erklärte in einem Interview mit CoinDesk, dass TraderTraitor eine „finanziell motivierte nordkoreanische Bedrohungsgruppe (DPRK) ist, die es bevorzugt, kryptowährungsbezogene Organisationen, Institutionen, DAOs, Protokolle und dergleichen anzugreifen.“

Aber dies sind nicht die Hacker, die wir aus Filmen kennen, so außerordentlich geschickt im Code, dass sie die Sicherheit von Krypto-Börsen übertreffen. Sie haben ein anderes Vorgehen, das menschliche Schwächen ausnutzt und nicht den von KI gehärteten Code.

Von der Rekrutierung bis hin zu gestohlenen Geldern

Im März 2024 gab sich jemand als LinkedIn-Recruiter aus kontaktierte einen Mitarbeiter von Ginco, ein japanisches Wallet-Softwareunternehmen. Der Personalvermittler schickte dem Mitarbeiter einen angeblichen Codierungstest, der auf GitHb gehostet wurde, jedoch enthielt dieser bösartigen Code, der letztlich den Computer des Mitarbeiters kompromittierte.

„Es gibt eine Vielzahl unterschiedlicher Ressourcen, Werkzeuge und verschiedener Dritter, die TraderTraitor bei ihren Exploits nutzt“, sagte McLouth.

Während allgemein angenommen wird, dass diese Bedrohungsakteure aus Pjöngjang agieren, erklärte McLouth, dass sie größtenteils außerhalb Nordkoreas operieren, unter Berufung auf Daten von Partnern und rechtliche Maßnahmen

„Eine Erkenntnis, die wir aus der Analyse von IT-Fachkräften mit Bezug zur DVRK gewonnen haben, ist, dass sie in Dutzenden von Ländern weltweit tätig sind und zunehmend dezentraler agieren“, fügte McLouth hinzu.

Das Ziel der Gruppe geht jedoch über die reine Aneignung von Geldern hinaus. „Es geht darum, diese Gelder zu waschen und in einem nutzbaren Format verfügbar zu haben“, sagte er.

Bei früheren Transaktionen sagte er, dass Over-the-Counter-Händler Kryptowährungen in Fiat-Währungen umgewandelt haben, die die nordkoreanische Regierung dann verwenden kann. Dabei handelt es sich häufig um Handelsunternehmen, die in Rechtsgebieten mit wenig bis keiner regulatorischen Aufsicht tätig sind.

Diese Bewegungen hinterlassen weiterhin Transaktionsaufzeichnungen. Ermittler können diese nutzen, um die Erlöse nachzuverfolgen und Dienste zu identifizieren, bei denen Überweisungen oder Umwandlungen unterbrochen werden können, sagte er.

„Sicherheit kann nicht erst beginnen, wenn die Gelder bewegt werden“, sagte McLouth. Die Untersuchung des Eindringens vor dem Diebstahl muss genauso sorgfältig erfolgen wie die Analyse der Geldwäsche danach.