Mutmaßliche nordkoreanische Hacker entlasten letzten Woche 6,3 Milliarden US-Dollar von Binance – der größte Krypto-Diebstahl der Geschichte. Die dahinterstehenden Techniken spiegeln ein breites, sich ständig weiterentwickelndes Vorgehen wider: das Eindringen in Unternehmen über gefälschte Identitäten, die Vergiftung weit verbreiteter Code-Bibliotheken, die Kompromittierung von Wallet-Infrastruktur und zunehmend den Einsatz künstlicher Intelligenz, um jeden Schritt überzeugender zu gestalten.

Das Ausmaß der Bedrohung ist erheblich. einer Schätzung zufolge gehen 60 % aller Krypto-Verluste des vergangenen Jahres auf Gruppen mit Verbindung zur Demokratischen Volksrepublik Korea (DPRK) zurück. Diese Akteure nutzen gleichzeitig mehrere Angriffsvektoren, was es schwieriger macht, sie auf frischer Tat zu ertappen.

Letzte Woche brauchten die mutmaßlichen nordkoreanischen Angreifer nur 20 Minuten, um 6,3 Milliarden US-Dollar von Binance abzuzweigen – der größte Krypto-Hack der Geschichte. Laut dem Exchange kompromittierten sie den Arbeitscomputer eines Binance-Ingenieurs über ein gefälschtes Vorstellungsgespräch, nutzten ein internes KI-Werkzeug, um die Computer anderer Ingenieure zu kontrollieren, und kaperten anschließend mit gestohlenen Zugangsdaten einen internen Wallet-Signaturdienst.

— Binance (@binance) November 3, 2026

Bekanntermaßen ließen sich nordkoreanische Hacker in der Vergangenheit unter gefälschten Identitäten bei Krypto-Firmen anstellen, griffen über Drittanbieter-Infrastruktur an und vergifteten häufig genutzte Code-Bibliotheken. Zunehmend setzen sie nun KI ein, um all dies glaubwürdiger zu machen. Hier sind die Methoden, die ihnen bei Krypto-Angriffen nachgewiesen werden.

Gefälschte Mitarbeiter

Binance-Sicherheitschef Jimmy Su sagte gegenüber Decrypt im August 2025, dass der Exchange täglich mutmaßlich nordkoreanische Lebensläufe aussortiere und dass „fast alle großen DPRK-Hacks“ seinerzeit einen gefälschten Mitarbeiter beinhalteten, der den Angriff erleichterte.

Su sagte, es gebe deutliche Hinweise in Lebensläufen, die darauf hindeuteten, dass ein Bewerber aus Nordkorea stammte, doch der Exchange war nicht bereit, die Einzelheiten dieser Warnsignale preiszugeben. Manchmal schaffen es bösartige Akteure bis zur Interviewphase, wo sie Deepfakes nutzen, um Gesicht und Stimme zu verändern.

„Die einzige wirklich gute Erkennungsmethode ist, dass sie fast immer eine langsame Internetverbindung haben“, sagte er gegenüber Decrypt. „Während des Anrufs laufen die Übersetzung und der Stimmwandler … deshalb verzögern sie sich immer.“

Wer tatsächlich eingestellt wird, ist verdächtig gut im Job. Su sagte, nordkoreanische Arbeitskräfte zählten oft zu den leistungsstärksten Mitarbeitern eines Unternehmens – vermutlich weil sich mehrere Personen zeitzonenübergreifend eine Rolle teilen.

Die Bedrohung lässt nicht nach. Binance teilte mit, dass sein Sicherheitsteam 2026 57 mutmaßliche Cyber-Bedrohungsfälle mit Nordkorea-Bezug erkannt und verhindert habe – mit Techniken von betrügerischen Vorstellungsgesprächen bis hin zu gefälschten Videokonferenz-Apps.

Gefälschte Vorstellungsgespräche

Die Angreifer drehen den Betrug auch um und geben sich als Recruiter aus, um Personen anzugreifen, die bereits bei renommierten Krypto-Firmen arbeiten. Oft behauptet der Angreifer, es gebe während des Interviews ein Video- oder Audioproblem, und schickt dem Opfer einen Link zum Update von Zoom, der das Gerät mit Malware infiziert.

„Die DPRK-Gruppe versucht [auch], Gespräche mit den extern sichtbaren Mitarbeitern zu vereinbaren“, sagte Su gegenüber Decrypt. „Entweder als DeFi-Projekt oder Investmentfirma. Am schlimmsten: Sie rekrutieren sie für eine hochrangige Stelle und zahlen das Doppelte oder Dreifache, nur um sie zu einem Interview zu bringen.“

So begann laut dem Exchange der Angriff auf Binance. Im September wurde ein Binance-Softwareingenieur über eine legitime Jobbörse von jemandem kontaktiert, der sich als Projektdirektor ausgab und zwei Interviews vereinbarte. Im ersten Gespräch baute eine angebliche HR-Vertreterin in einem Live-Videocall Vertrauen auf, indem sie ein Social-Media-Konto voller persönlicher Fotos und Videos teilte – ein Vorgehen, das Binance als „fortgeschrittener und täuschender als bisher gesehen“ bezeichnete.

Im zweiten Interview, das über eine Chat-App stattfand, wurde der Ingenieur angewiesen, eine „Aufgabe“ auf seinen Arbeitscomputer herunterzuladen. Das Code-Repository enthielt zuvor unbekannte Malware, die während der Einrichtung ausgeführt wurde, ein legitimes Entwicklerwerkzeug durch eine bösartige Version ersetzte und sich mit einem von Angreifern kontrollierten Server verband – und dabei Binance-Sicherheitstools umging.

Ähnliche Methoden wurden auch anderweitig in großem Umfang eingesetzt. Eine Gruppe mit Nordkorea-Bezug infizierte zwischen etwa Dezember 2025 und Juli 2026 mindestens 30.000 Geräte in über 100 Ländern, entnahm Gelder oder Zugangsdaten aus mehr als 7.000 Krypto-Wallets und transferierte rund 10,71 Millionen US-Dollar nach Nordkorea.

Die Gruppe, bekannt als WaterPlum oder Contagious Interview, gab sich als KI-, Krypto- oder NFT-Unternehmen aus und stellte Bewerbern technische Interviews oder Programieraufgaben, die das Herunterladen mit Malware verseuchter Dateien erforderten. Einige nutzten bei Interviews KI-Gesichtstausch-Software, unterbrachen dann ihr eigenes Video und baten den Bewerber, dasselbe zu tun – mit der Begründung einer schlechten Verbindung.

Vergiftung von Code-Bibliotheken

Su sagte gegenüber Decrypt auch, dass nordkoreanische Hacker öffentliche Code-Bibliotheken vergiften, und stufte dies als zweithäufigste Angriffsmethode ein – hinter gefälschten Mitarbeitern.

Node-Package-Manager-Pakete (NPM) sind Sammlungen wiederverwendbaren Open-Source-Codes, die Entwickler häufig nutzen. Angreifer können diese Pakete klonen und eine kleine Zeile bösartigen Codes einschleusen, während die ursprüngliche Funktion erhalten bleibt. Das bedeutet, dass ein Opfer eine vergiftete Code-Bibliothek nutzen kann, ohne es zu bemerken, wobei sich der bösartige Code mit der Zeit immer tiefer einbettet, je mehr Software darauf aufgebaut wird.

Im September 2025 fand der Software-Sicherheitsanbieter ReversingLabs zwei NPM-Pakete, die Ethereum-Smart-Contracts zum Herunterladen von Malware nutzten – etwas, das das Unternehmen zuvor noch nicht gesehen hatte. Die Pakete waren mit einem größeren Netzwerk von GitHub-Repositories verknüpft, meist als Krypto-Trading-Bots gekennzeichnet, mit tausenden Commits und Stars, von denen ReversingLabs vermutet, dass sie größtenteils gefälscht waren.

Die Taktik war Teil einer „hochentwickelten Kampagne“ bösartiger Akteure, die versuchten, Nutzer über vergiftete öffentliche Code-Bibliotheken mit Blockchain-Bezug zu hacken – ein Angriffsvektor, den Binance zuvor nordkoreanischen Hackern zugeschrieben hat. Um der Bedrohung zu begegnen, lasse Binance, so Su, Mitarbeiter die NPM-Bibliotheken mit einem feinen Kamm durchgehen.

Manipulierte Entwicklerwerkzeuge spielten auch beim Binance-Hack eine Rolle. Im Juni lud ein Mitglied des DevOps-Teams für Wallets bei Binance eine manipulierte Installation von Homebrew, einem beliebten Software-Installer, herunter, als er versuchte, ein KI-Programmierwerkzeug zu installieren, das er über eine Suchmaschine gefunden hatte, teilte der Exchange mit. Das Sicherheitsteam entdeckte das Problem, ersetzte das Gerät und rotierte seine Zugangsdaten, doch der Vorfall setzte den Ingenieur und seine Kollegen im Wallet-Infrastrukturteam den Angreifern aus.

Infrastrukturangriffe

Vor Binance hielt Bybit den unliebsamen Rekord für den größten Krypto-Hack und verlor im Februar 2025 1,4 Milliarden US-Dollar – weniger als ein Viertel des bei Binance erbeuteten Betrags. Cybersecurity-Firmen offenbarten, dass nordkoreanische Hacker den Angriff durch das Einschleusen bösartigen Codes in die Infrastruktur von Safe durchführten – einem Krypto-Wallet-Anbieter, der vom Exchange genutzt wird.

Die Sicherheitsfirmen sagten, bösartiger JavaScript-Code sei direkt in Safes Online-Infrastruktur injiziert worden, wobei unklar blieb, wie es den Angreifern gelang. Bybits Infrastruktur sei „nicht kompromittiert“ worden, teilte der Exchange gegenüber Decrypt mit – der Hack sei allein darauf zurückzuführen, dass ein Drittanbieter ausgenutzt wurde.

Der Angriff auf Binance zielte dagegen auf die eigenen Systeme des Exchange ab. Am 29. Oktober setzte der Angreifer mit gestohlenen Zugangsdaten einen Container ein – eine isolierte Softwareumgebung zum Betrieb von Diensten innerhalb der eigenen Infrastruktur eines Unternehmens – und erlangte unbefugten Zugriff auf einen internen Wallet-Signaturdienst, der ihm ermöglichte, Transaktionen außerhalb des normalen Auszahlungsprozesses von Binance zu initiieren. Auf Ethereum nutzte er den Signaturdienst, um EIP-7702 auszunutzen – einen Mechanismus, der einem Konto ermöglicht, Ausführungsrechte an einen Smart Contract zu delegieren – und verschaffte einem angreiferkontrollierten Contract teilweise Kontrolle über ein Hot Wallet von Binance, das internetverbundene Wallet, auf das sich Exchanges für Kundenauszahlungen verlassen.

Diese On-Chain-Autorisierungen wirkten weiter, selbst nachdem Binance Auszahlungen ausgesetzt hatte. Da das Hot Wallet Multi-Party-Computation nutzte – ein Verfahren, bei dem die Schlüsselkontrolle auf mehrere Parteien aufgeteilt wird, sodass kein einzelner Teilnehmer den vollständigen Schlüssel besitzt –, gab es keinen einzelnen privaten Schlüssel, mit dem Binance sie schnell widerrufen konnte, teilte der Exchange mit.

KI-gestützte Betrügereien

Jeder einzelne der genannten Angriffsvektoren lässt sich mit Werkzeugen der künstlichen Intelligenz zusätzlich ankurbeln.

Anfang dieses Jahres warnte Google vor einer KI-gestützten Malware-Kampagne aus Nordkorea gegen Krypto-Unternehmen. Auch Binance-Sicherheitschef Su wies darauf hin, dass KI-Werkzeuge zur Steigerung der Wirksamkeit von Angriffen eingesetzt werden können.

Die Sorgen um KI-gestützte Hacks haben in den letzten Monaten zugenommen: Ethereum-Mitgründer Vitalik Buterin sagte im Oktober, es sei „plausibel“, dass KI innerhalb der nächsten zwei Jahre Verschlüsselung brechen könnte. Dies geschah inmitten einer Explosion KI-getriebener Mathematik, wobei OpenAI beanspruchte, ein 90 Jahre altes mathematisches Problem binnen Tagen gelöst zu haben, und Experten forderten die Branche auf, sich auf KI-gestützte Angriffe auf Verschlüsselung vorzubereiten.

Es gibt keine bestätigten Berichte darüber, dass nordkoreanische Hacker KI zum Brechen von Verschlüsselung einsetzen. Angesichts der Geschwindigkeit, mit der sie KI anderweitig übernommen haben, muss sich die Branche aber möglicherweise als Nächstes darauf vorbereiten.