Chainalysis hat über 14,3 Millionen US-Dollar an Kryptoverlusten aus den vergangenen 18 Monaten nordkoreanischen Scheinbewerbungen zugeschrieben, die später auch gegen Binance eingesetzt wurden. Laut den Ergebnissen des Blockchain-Analyseunternehmens dienten die kleineren Diebstähle als Generalprobe für den 6,3-Milliarden-Dollar-Diebstahl von der Börse.

Die Verluste gehen auf mit der DPRK in Verbindung gebrachte Scheininterviews und Schadsoftware-Schemata zurück; die Ziele reichten von einzelnen Krypto-Inhabern und privaten Wallets bis zu Protokollen und dezentralen autonomen Organisationen (DAOs).

Dutzende Scheinbewerbungen führten zu kompromittierten Wallets

„Wir haben Dutzende weitere kompromittierte Bewerbungsgespräche identifiziert, die zu kompromittierten Wallets geführt haben“, sagte Tom McLouth, Senior Intelligence Analyst bei Chainalysis, mit Blick auf die Ebene einzelner Nutzer. Die individuellen Verluste reichten von Zehntausenden bis zu Millionen US-Dollar.

Nordkoreanische Gruppen hätten bei diesen Angriffen ihre Methodik „perfektioniert und weiterentwickelt“, fügte er hinzu. „So endet man mit dem größten Raub der Geschichte“, sagte McLouth.

Nach Einschätzung von Chainalysis könnte der Angriff auf Binance der Höhepunkt von Monaten oder sogar Jahren der Übung sein. Cryptopolitan berichtete zuvor, dass Binance den Vorfall auf eine Bewerbungseinladung zurückführte, die im September an einen Ingenieur erging. Nach zwei Runden mit einem Scheinunternehmen lud der Ingenieur eine Bewerbungsaufgabe herunter, die mit Schadcode versehen war.

Alec Zebrick, Senior Manager of Global Services bei Chainalysis, bezeichnet diese Taktik als „contagious interviews“ (ansteckende Interviews). Sie zielen auf Mitarbeiter mit privilegiertem Zugriff ab, damit ihre Zugangsdaten gegen den Arbeitgeber verwendet werden können.

Chainalysis wies zudem auf Fälle hin, in denen private Schlüssel nach einem bösartigen Interview aus der Cloud gestohlen wurden. Einige Opfer erklärten, ihre Seed-Phrasen seien nie auf dem infizierten Gerät gespeichert gewesen, was laut dem Unternehmen auf gestohlene Cloud-Logins oder gekaperte Browser-Sitzungen hindeuten könnte. Dieses Detail zeigt, warum Wallet-Sicherheit heute über ein einzelnes Gerät hinausreicht: Die Cloud-Konten und Browser-Sitzungen, in denen Zugangsdaten gespeichert oder synchronisiert werden, können selbst zum Einbruchspunkt werden.

Im März dokumentierte Microsoft, dass sein Defender-Experts-Team eine „Contagious Interview“-Kampagne verfolgt, die mindestens seit Dezember 2022 aktiv ist. In dieser Operation überzeugen Scheinrecruiter, die als Mitarbeiter von Krypto-Handelsfirmen oder KI-unternehmen auftreten, Bewerber davon, bösartige Codepakete auszuführen. Microsoft zufolge sucht die Schadsoftware im Inneren nach Wallet-Mnemonics, KeePass- und 1Password-Speichern sowie kryptografischen Schlüsseln. Da Scheinrecruiter Arbeitgeber sowohl im Krypto- als auch im KI-Bereich imitieren, ist der Bewerbungsprozess selbstEffective zu einer Angriffsfläche geworden.

Blockchain Dead Drops stiegen innerhalb eines Jahres um das Fünffache

Chainalysis berichtet außerdem, dass blockchain-basierte Cyberangriffe in den vergangenen zwölf Monaten um das Fünffache zugenommen haben. Das Unternehmen nennt die Technik Blockchain Dead Drops und führt den Anstieg auf staatliche Akteure und die mögliche Nutzung von Open-Weight-KI-Modellen zurück.

Nordkoreanische Akteure begannen Anfang 2025, den als „Etherhiding“ bekannten Ansatz zu nutzen. Er verbindet über Scheinbewerbungen infizierte Maschinen mit den Command-and-Control-Servern der Angreifer, da ein Blockchain-Eintrag für Strafverfolgungsbehörden schwerer zu beschlagnahmen ist als zentral gehostete Infrastruktur.

Ein DPRK-Aufbau verteilte die Anweisungen zwischen TRON und Aptos. Beide Chains enthalten Verweise auf eine auf BSC gehostete Payload, und infizierte Geräte werden dorthin umgeleitet, wobei Aptos als Fallback dient, falls TRON ausfällt. Eine neuere „Null-Receiver“-Variante bettet die Anweisung in eine speziell konstruierte Adresse ein, die nicht kontrolliert wird und nicht zur Aufbewahrung von Krypto gedacht ist; infizierte Maschinen interpretieren die Adresse als Befehl. Das so bald nach Etherhidings Debüt Anfang 2025 erscheinene neuere Varianten deutet auf ein Playbook hin, das noch aktiv verfeinert wird.

Im September machten das FBI, die japanische Nationalpolizei sowie Behörden in Australien und Deutschland eine nordkoreanische Gruppe namens WaterPlum für einen Krypto-Raub von rund 10,71 Millionen US-Dollar öffentlich verantwortlich. WaterPlum wird auch als „Contagious Interview“-Gruppe bezeichnet; ihre Operationen betrafen sensible Daten von rund 7.000 Krypto-Konten. Die gemeinsame Zuschreibung durch Behörden aus vier Ländern zeigt das Ausmaß der internationalen Reaktion auf diese Taktik.

Das FBI schrieb den Binance-Coup der nordkoreanischen Gruppe TraderTraitor zu, was Pjöngjang jedoch bestritt. Chainalysis erwartet, dass die gestohlenen Gelder in den kommenden Tagen weiter bewegt werden.