Nordkoreanische Hacker stahlen zwischen Januar und Oktober schätzungsweise 7,61 Milliarden US-Dollar in 38 Vorfällen – im Durchschnitt rund 200 Millionen US-Dollar pro Vorfall – wie aus einem Bericht hervorgeht, den das Blockchain-Analyseunternehmen BitOK am 6. November veröffentlichte. Dem Unternehmen zufolge erforderten die sechs größten Angriffe kein Aufbrechen von Smart-Contract-Code. Stattdessen übernahmen die Angreifer die Kontrolle über Mitarbeiter, Signaturgeräte und Abhebungssysteme.

BitOK erfasste Diebstähle bei Börsen, dezentralen Finanzplattformen und anderen Krypto-Unternehmen. Von der geschätzten Gesamtsumme wurden 2,86 Milliarden US-Dollar durch Freezes und Beschlagnahmungen erfasst, während 4,75 Milliarden US-Dollar – rund 62 % der geschätzten Gesamtsumme – außer Reichweite blieben. Die Zahlen beschreiben viele separate Vorfälle und nicht eine einzelne Transaktion oder einen koordinierten Angriff.

Signatursysteme wurden zur wichtigsten Angriffsfläche

Der Bericht identifiziert die Systeme, die Abhebungen autorisieren, als Hauptziel. Im Fall von Binance nutzten die Angreifer laut BitOK den Laptop eines DevOps-Ingenieurs und einen Signing-Service-Container. Die daraus resultierenden Transfers trugen gültige Signaturen oder bestanden Standardprüfungen, obwohl die Signaturumgebung kompromittiert war – für die Blockchain ist eine ordnungsgemäß signierte Abhebung gültig, unabhängig davon, wer das Gerät kontrollierte, das sie erzeugt hat.

Weitere Vorfälle betrafen Multisig-Signer bei Drift, einen Bridge-Verifier bei KelpDAO und das Wallet-System von Bitget. BitOK zufolge testeten die Angreifer Routen zunächst mit kleinen Beträgen, bevor sie größere Diebstähle ausführten. Im Binance-Fall war der Angriffsvertrag bereits vier Stunden vor dem größeren Diebstahl öffentlich aktiv.

Der Bericht beschreibt auch eine schnelle Verlagerung von Stablecoins in ETH, ein Asset, das Emittenten nicht einfrieren können. Tether erhielt die erste Freezanfrage 34 Minuten nach der Binance-Abhebung; bis dahin hatten bereits 345 Millionen USDT die ursprüngliche Adresse verlassen. BitOK zufolge wurden 43 % der beim Binance-Angriff gestohlenen Mittel eingefroren oder beschlagnahmt, verglichen mit 6 % bei allen anderen großen Angriffen zusammen.

Gemeinsame Spuren verbinden separate Vorfälle

BitOK zufolge verknüpften gemeinsame Settlement-Adressen fünf Angriffe, vom KelpDAO-Diebstahl im April bis zum Binance-Vorfall im Oktober. Das Unternehmen verfolgte Restguthaben zurück, die in einer Collector-Wallet endeten. Am 31. August leerten sich 150 Adressen innerhalb von 3 Minuten und 36 Sekunden in diese Collector-Wallet und hinterließen 0,27 ETH.

Das Unternehmen deutete die gemeinsame Spur als Hinweis auf einen einzigen Waschbetreiber, räumte jedoch ein, dass verschiedene Teams die Eindringlinge möglicherweise durchgeführt haben. Der Bericht nennt keine Personen, die im Zusammenhang mit den Vorfällen von 2026 angeklagt oder verurteilt wurden, und lässt das Verhältnis zwischen denen, die Zugriff erlangten, und denen, die die Mittel bewegten, offen.

BlockTelegraph berichtete zuvor über Abflüsse bei Binance nach dem Hack, einschließlich der gemeldeten Nettoabflüsse der Börse von 4,7 Milliarden US-Dollar nach Wiederaufnahme der Abhebungen. Ein weiterer Bericht untersuchte die Wallet-Berechtigungen, die mit Binance-Wallets verknüpft sind. Die Berichterstattung über Bitget beleuchtete den Zero-Day im Zusammenhang mit dem Diebstahl.

Wiedererlangung hängt von frühem Eingreifen ab

BitOKs Zahlen zeigen, wie das Timing die Ergebnisse der Wiedererlangung beeinflusste. Stablecoins oder Assets, die bei einem Dienst gehalten wurden, der Transfers blockieren kann, boten eine Chance, die Bewegung zu stoppen. Sobald die Angreifer die Mittel in ETH umwandelten oder über andere Dienste und Chains leiteten, wurde die Wiedererlangung laut Bericht deutlich schwieriger.

Der nächste Sicherheitsfokus des Berichts liegt auf Signaturschlüsseln und den Personen oder Systemen, die sie kontrollieren. Er verweist auf Mitarbeitergeräte, Container und Freigabepfade als Teil der Sicherheitsgrenze, bevor Transaktionen eine Blockchain erreichen. Die Darstellung hebt auch den Wert kleiner Restguthaben hervor: Die 0,27-ETH-Collector-Wallet half, Adressen zu verknüpfen, die mit separaten Angriffen in Verbindung stehen.

BitOKs Schätzung für 2026 umfasst Vorfälle bis Oktober und wurde am 6. November veröffentlicht. Der Bericht präsentiert gemeinsame Waschverbindungen als Möglichkeit, Geldbewegungen zu verknüpfen, und lässt offen, ob die separaten Eindringlinge von einem Team stammten. Seine Darstellung ordnet schnelle Erkennung und Freezanfragen unter die Maßnahmen ein, die bestimmten, was letztlich wiedererlangt werden konnte.