Das FBI hat den Diebstahl digitaler Vermögenswerte im Wert von mehr als 6 Milliarden US-Dollar von der Kryptowährungsbörse Binance der nordkoreanischen, staatlich unterstützten Hackergruppe TraderTraitor zugeschrieben. Die Behörde erklärte, der Vorfall, der sich um den 29. Oktober 2026 ereignete, sei der bislang größte Diebstahl von Kryptowährungen gewesen.
In einer Sicherheitswarnung identifizierte das FBI TraderTraitor als eine Gruppe, die auch unter den Namen Lazarus Group, Jade Sleet und APT38 bekannt ist. Die Blockchain-Analyseunternehmen TRM Labs und Chainalysis hatten den Diebstahl zuvor mit derselben Operation in Verbindung gebracht.
Binance zufolge erlangten die Angreifer Zugriff, nachdem sie den Laptop eines DevOps-Ingenieurs kompromittiert hatten. Anschließend gelangten sie zu einem Service-Container und reichten nicht autorisierte Abhebungstransaktionen ein. Kryptowährungen im Wert von rund 6,36 Milliarden US-Dollar wurden über zehn Blockchains hinweg transferiert, wobei der größte Teil der Gelder innerhalb von etwa 20 Minuten verschoben wurde.
Das FBI erklärte, TraderTraitor habe die gestohlenen Vermögenswerte hauptsächlich in Ethereum umgewandelt. Die Behörde erwartet, dass die Gruppe die Gelder weiterhin über Plattformen für dezentrale Finanzen und Soforttauschdienste für Kryptowährungen wäscht. US-Behörden fordern Börsen, Blockchain-Betreiber und andere Anbieter von Dienstleistungen für virtuelle Vermögenswerte auf, mit der Geldwäsche verbundene Transaktionen zu blockieren.
Die Behörde veröffentlichte 628 mit dem Diebstahl verbundene Kryptowährungsadressen: 608 Ethereum-Adressen, 19 Bitcoin-Adressen und eine Solana-Adresse.
TraderTraitor wurde mit mehreren anderen Diebstählen von Kryptowährungen in Verbindung gebracht, darunter der Bitget-Diebstahl im Wert von 387,5 Millionen US-Dollar im September 2026, der Drift-Angriff im Wert von 280 Millionen US-Dollar im April 2026, der Bybit-Raub im Wert von 1,5 Milliarden US-Dollar im Februar 2025 und der DMM-Bitcoin-Diebstahl im Wert von 308 Millionen US-Dollar im Mai 2024.
Nordkoreanische Hacker haben außerdem eine als Operation DreamJob bekannte Kampagne eingesetzt, bei der sie sich als Personalvermittler ausgeben und Softwareentwickler oder Beschäftigte im Kryptowährungsbereich mit betrügerischen Stellenangeboten kontaktieren. Auch bei den Vorfällen von DMM Bitcoin und Bybit wurden Computer von Beschäftigten oder Entwicklern kompromittiert, die Zugriff auf die Infrastruktur für Kryptowährungen hatten.
Binance erklärte, die erste Phase der Abhebungen am 1. November zwischen 06:00 und 09:00 Uhr UTC wieder aufnehmen zu wollen, während das Unternehmen weiterhin Dienste wiederherstelle und die gestohlenen Vermögenswerte abdecke. Die Börse erklärte, sie habe rund 95 % des betroffenen Betrags abgedeckt; die verbleibenden 5 % bestünden aus weniger liquiden Token, die sie weiterhin über Markt- und außerbörsliche Kanäle kaufe.
Binance erklärte außerdem, dass die Guthaben von BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD und ZEC vollständig gedeckt seien, während die Einzahlungsdienste nicht beeinträchtigt blieben. Das Unternehmen erklärte, es werde die finanziellen Auswirkungen der gestohlenen Gelder selbst tragen, anstatt die Verluste an die Nutzer weiterzugeben.
Quellen: BleepingComputer.