Das US-Justizministerium (DOJ) hat eine gerichtliche Genehmigung erhalten, um mehr als 1,2 Mrd. USD an Kryptowährungen, die von nordkoreanischen Militärhackern von Binance gestohlen wurden, zu beschlagnahmen oder einzufrieren. Die am 12. November angekündigte Vollstreckungsmaßnahme richtet sich gegen Gelder, die offiziellen Angaben zufolge mit einem Cyberangriff im Wert von 6,3 Mrd. USD in Verbindung stehen, und ist Teil einer umfassenderen Strategie zur Störung der Krypto-Diebstahlsoperationen des Regimes (Ankündigung des Justizministeriums).

Seit dem Angriff am 29. Oktober haben die US-Regierung und ihre Partner mehr als 2,7 Mrd. USD der gestohlenen Kryptowährung eingefroren. Der durch die Gerichtsanordnung des DOJ erfasste Betrag macht fast die Hälfte der eingefrorenen gestohlenen Gelder aus; die Ermittlungen zur Rückverfolgung des Restes laufen noch. Die Reaktion verlief zügig: Der Angriff erfolgte am 29. Oktober, das FBI veröffentlichte seine Zuordnungs-Warnung am 31. Oktober, und die gerichtlich genehmigte Maßnahme folgte am 12. November. Das FBI schreibt den Angriff TraderTraitor zu (Cyber-Warnung des FBI).

Die Maßnahme vom 12. November richtet sich auch gegen ein zweites mit Nordkorea verbundenes Schema namens FaceStealer, das über 18 Monate mehr als 400 Mio. USD an Kryptowährung durch vorab aufgezeichnete Videos und Deepfake-Technologie gestohlen hat.

Justizministerium zielt auf nordkoreanischen Krypto-Diebstahl

Das DOJ erklärt, dass die DPRK Krypto-Diebstahl als Mittel zur Geldbeschaffung für ihre Regierung und illegale Waffensysteme nutzt. An den jüngsten Maßnahmen waren mehrere Behörden beteiligt, darunter die National Security Division, die Criminal Division, das FBI, der US Secret Service und die IRS Criminal Investigation.

The US Department of Justice seized infrastructure linked to North Korea's $400 million FaceStealer crypto theft scheme and froze over $1.2 billion in cryptocurrency stolen from Binance. #Crypto #Binance — Lego (@Doctor_Stefan) November 12, 2026

Quelle: X-Beitrag

Die Mitwirkung von Dienstleistern für virtuelle Vermögenswerte ermöglichte es den Behörden, Milliarden einzufrieren, bevor das Geld ihre Jurisdiktion verließ. Für die Krypto-Branche zeigt dieses Detail, wie Vollstreckungsergebnisse von der Kooperation der Dienstleister abhängen können: Gelder, die auf einer Börse oder Verwahrplattform gehalten werden, können stillgelegt werden, bevor sie verteilt werden. Der stellvertretende Generalstaatsanwalt A. Tysen Duva erklärte, dass die Criminal Division und ihre Kollegen schnell handelten, um rund die Hälfte des umfangreichen Binance-Hacks zu stoppen.

Das Gericht ordnete an, dass die Regierung mehr als 1,2 Mrd. USD der eingefrorenen 2,7 Mrd. USD beschlagnahmen oder einfrieren darf. Dieser Unterschied ist wichtig: Das Einfrieren von Kryptowährung bedeutet, die Bewegung des Geldes zu verhindern, während das "Restraining" bedeutet, das Recht zu erwerben, die Gelder zu beschlagnahmen.

TraderTraitor bewegt gestohlene Binance-Mittel durch Krypto-Netzwerke

Das FBI teilte mit, dass Militärangehörige der Demokratischen Volksrepublik Korea hinter dem Angriff auf Binance am 29. Oktober steckten und das Alias "TraderTraitor" verwendeten. In einer am 31. Oktober veröffentlichten Cyber-Warnung berichtete das FBI, dass die Angreifer die Vermögenswerte auf Konten übertrugen, auf denen die gestohlenen Gelder in Ether (ETH) umgewandelt wurden.

Das FBI sagte, die Angreifer würden Dezentral-Finanz-(DeFi)-Anwendungen und Soforttausch-Dienste nutzen, um die Kryptowährungen in andere Formen von Geldmitteln umzuwandeln. Dies würde die Rückverfolgung der Transaktionen für Ermittler erschweren, da das Geld über mehrere Blockchain-Netzwerke und digitale Assets bewegt wird.

Das FBI hat Kryptobörsen-Betreiber, DeFi-Dienste, Blockchain-Analysefirmen und Infrastrukturanbieter aufgerufen, alle Transaktionen im Zusammenhang mit den veröffentlichten Wallet-Adressen zur Geldwäsche zu blockieren.

Die Ermittlungen laufen weiterhin, da nordkoreanische Hacker versuchen, die gestohlenen Gelder mittels Krypto-Bridges, Mixern und Börsen zu bewegen.

FaceStealer nutzt Deepfakes, um mehr als 400 Mio. USD zu stehlen

Neben der Binance-bezogenen Maßnahme kündigte das Justizministerium die Beschlagnahme der Cloud-basierten Infrastruktur an, die in der FaceStealer-Kampagne verwendet wurde. Nach Angaben des FBI ergab die Ermittlung, dass die Täter Personen im Bereich Kryptowährung, Web3 und Open-Source-Softwareentwicklung kompromittierten und über 18 Monate mehr als 400 Mio. USD an Kryptowährung stahlen.

Die Videokonferenzen wurden über kompromittierte Konten vereinbart. Die Hacker zeigten in den Anrufen vorab aufgezeichnete Aufnahmen von Personen, die den Opfern bekannt waren, und verwendeten außerdem KI-generierte Videos, um einflussreiche Persönlichkeiten des Krypto- und Web3-Bereichs zu imitieren.

Während der Videoanrufe behaupteten die Angreifer falsche technische Probleme – etwa dass sie das Opfer nicht hören könnten – und stellten dann Links oder Anweisungen zur Behebung bereit, die zur Installation von Malware auf den Geräten der Opfer führten und Zugriff auf Kryptowährung und andere Informationen gewährten.

Die Angreifer warteten monate- oder sogar jahrelang nach der anfänglichen Infizierung eines Computers, bevor sie Diebstähle durchführten oder Kommunikationskonten übernahmen. Sie nutzten die kompromittierten Computer auch, um auf Kontakte, Social-Media-Konten und Nachrichten der Opfer zuzugreifen, um weitere Ziele zu identifizieren.

FBI-Agenten beschlagnahmten mehr als 900 Webcam-Aufnahmen mithilfe eines von einem Bundesgericht ausgestellten Durchsuchungsbeschlusses, störten die in der Kampagne genutzten Cloud-Computing-Ressourcen und veröffentlichten einen technischen Bericht (gemeinsamer Cybersicherheitshinweis), der erläutert, wie die Operation durchgeführt wurde.

DOJ-Maßnahme hebt Risiken für Krypto- und Softwareentwickler hervor

FaceStealer richtete sich gegen Entwickler von Open-Source-Software. Die Kampagne zielte darauf ab, die Konten von Personen zu hacken, die für die Entwicklung und Wartung von Software verantwortlich sind, um Lieferkettenangriffe auf Anwendungen anderer Organisationen durchzuführen. Bei einem Lieferkettenangriff ist die Kompromittierung eines vertrauenswürdigen Entwicklers oder einer Abhängigkeit deshalb so folgenreich, weil jede nachgelagerte Anwendung, die auf diesen Code angewiesen ist, die Schwachstelle erbt.

Die Auswirkungen erstrecken sich daher über Krypto-Inhaber hinaus. Hacker können nicht nur Personen schaden, die mit Kryptowährungen arbeiten, sondern auch Softwareunternehmen und deren Produkte. Das bedeutet, dass Unternehmen, die mit Open-Source-Software arbeiten, gefährdet sein könnten, selbst wenn sie nicht mit Kryptowährungen handeln.

Patrick Grandy, Assistant Director des FBI-Feldbüros Los Angeles, erklärte, die Operation könne sogar technische Experten täuschen, indem sie vertrauenswürdige Kontakte und zuverlässige Videokonferenz-Tools ausnutze. Personen, die nicht geglaubt hätten, von solchen Angriffen getäuscht werden zu können, hätten möglicherweise nicht alle denkbaren Wege bedacht, so Grandy.

Für Krypto-Unternehmen unterstreichen die Entwicklungen die Bedeutung, Einladungen zu Besprechungen zu prüfen, Identitäten über separate Kommunikationskanäle zu verifizieren und unbekannte Software-Installationsanweisungen zu vermeiden. Auch Wallet-Überwachung und schnelle Reaktion auf Benachrichtigungen von Strafverfolgungsbehörden sind für Börsen und Infrastrukturanbieter mittlerweile entscheidend.

Nach Angaben des Justizministeriums laufen Rückverfolgung, Einfrieren, Beschlagnahme und Einziehung der Binance-bezogenen Vermögenswerte weiter. Die Ermittlungen zu beiden Operationen – TraderTraitor und FaceStealer – sind noch im Gange, und die Behörden haben Anfragen zu Verdachtsmeldeberichten gestellt. Künftig kommt es vor allem auf das Verfahren an: ob die Sperrmaßnahmen in eine endgültige Einziehung übergehen und ob weitere Beschlagnahmen folgen, während die Ermittler die restlichen gestohlenen Gelder zurückverfolgen.