ByBit Hack: Nordkoreas größter Krypto-Diebstahl erklärt

Stell dir vor, du schließt dein Haus ab, verriegelst die Fenster und aktivierst die Alarmanlage. Du gehst davon aus, dass alles sicher ist. Dann kommst du zurück und feststellst, dass nicht nur das Geld weg ist, sondern auch der Tresor im Keller aufgebrochen wurde - ohne dass ein einziger Alarm losging. Genau so fühlt sich der ByBit-Hack vom Februar 2025 an. Es war kein gewöhnlicher Fehler in einer Software oder ein Phishing-Link, den ein Mitarbeiter übersehen hat. Es war der größte einzelne Krypto-Diebstahl in der Geschichte, begangen von staatlich organisierten Hackern aus Nordkorea.

Am 21. Februar 2025 verschwanden etwa 1,5 Milliarden US-Dollar in Form von Ethereum-Tokens von der Plattform ByBit. Das FBI hat schnell ermittelt: Hinter dieser Operation steckt eine spezialisierte Einheit namens "TraderTraitor", die unter dem Dach des nordkoreanischen Aufklärungsbüros (Reconnaissance General Bureau) operiert. Warum ist das relevant für dich? Weil es zeigt, dass selbst die als am sichersten geltenden Systeme - sogenannte Cold Wallets - angreifbar sind, wenn ein Staat mit unbegrenzten Ressourcen hinter dem Angriff steht.

Was genau passiert ist: Der Einbruch in den "Safe"

Um zu verstehen, wie so viel Geld verschwinden konnte, müssen wir kurz einen Blick auf die Technik werfen. Krypto-Börsen lagern Kundenvermögen meist in zwei Arten von Speicherorten: Hot Wallets (online, für schnelle Transaktionen) und Cold Wallets (offline, für langfristige Lagerung). Cold Wallets gelten als unangreifbar, weil die privaten Schlüssel nie mit dem Internet verbunden sind.

Die Hacker umgingen diese Barriere jedoch durch einen raffinierten Trick. Laut TRM Labs, einem führenden Blockchain-Analyseunternehmen, handelte es sich wahrscheinlich um eine Kompromittierung der Lieferkette (Supply Chain Attack) oder einen Insider-Threat. Das bedeutet: Die Angreifer haben nicht direkt den Safe geknackt, sondern sie haben die Werkzeuge manipuliert, die zum Öffnen des Safes benutzt werden. Sie konnten die Multi-Signatur-Sicherheitsmaßnahmen von ByBit umgehen. Multi-Signatur heißt normalerweise, dass mehrere Parteien zustimmen müssen, bevor Geld bewegt wird. Hier scheinen die Angreifer aber so tief in die Infrastruktur eingedrungen zu sein, dass sie diese Zustimmung fälschlich simulieren oder die Schlüssel an einem Punkt kompromittieren konnten, bevor sie wirklich "offline" waren.

Wer ist "TraderTraitor"?

Du hast vielleicht schon vom "Lazarus Group" gehört. Das ist der Oberbegriff für verschiedene nordkoreanische Cyber-Einheiten. Aber TraderTraitor ist etwas anderes. Diese Gruppe ist seit mindestens 2022 aktiv und hat sich auf hochkomplexe Angriffe spezialisiert, die über einfaches Phishing hinausgehen.

TraderTraitor ist eine Unterabteilung des 3. Büros des nordkoreanischen Reconnaissance General Bureau. Im Gegensatz zu früheren Taktiken konzentriert sich diese Gruppe auf die Kompromittierung von Cloud-Diensten und Software-Entwicklungsplattformen. Sie nutzen fortgeschrittene Methoden wie Supply-Chain-Angriffe, um legitime Krypto-Transaktionen abzuzweigen.

Ein gutes Beispiel für ihre Methodik ist der JumpCloud-Angriff, der ebenfalls mit ihnen in Verbindung gebracht wird. Statt zu warten, bis ein Benutzer seine Passwörter eingibt, greifen sie die Dienste an, die viele Unternehmen gleichzeitig nutzen. Wenn ein Dienstleister gehackt wird, sind oft hunderte Kunden betroffen. TraderTraitor nutzt diese Hebelwirkung perfekt aus.

Die Flucht: Wie man 1,5 Milliarden Dollar wäscht

Nachdem die Ethereum-Token gestohlen waren, begann ein Wettlauf gegen die Zeit. Die Hacker wussten, dass jede Sekunde zählt, bevor die Börsen und Behörden reagieren. Hier kam eine Strategie zum Einsatz, die Experten als "Flood the Zone" bezeichnen. Anstatt die Coins langsam zu bewegen, schickten sie riesige Mengen an Transaktionen über verschiedene Blockchains hinweg.

• Cross-Chain Bridges: Die Assets wurden über Brücken zwischen Ethereum, Binance Smart Chain und Solana hin- und hergeschoben. Jede Überquerung macht die Verfolgung schwieriger.
• Automatisierte Skripte: Die Bewegung erfolgte maschinell und extrem schnell, was menschliche Analysten überfordert.
• Konvertierung in Bitcoin: Am Ende wurde der Großteil der gestohlenen Ether in Bitcoin umgewandelt. Warum? Bitcoin ist weniger transparent als Ethereum, was die Rückverfolgung erschwert.

TRM Labs erstellte sofort eine Tracking-Entität namens "Bybit Exploiter Feb 2025", um die Bewegungen in Echtzeit zu überwachen. Interessanterweise blieben die meisten konvertierten Bitcoins nach der anfänglichen Wäsche weitgehend still. Das deutet darauf hin, dass die Nordkoreaner nicht sofort verkaufen wollten. Vielleicht warteten sie auf bessere Kurse oder nutzten Over-the-Counter (OTC)-Netzwerke, um große Mengen diskret zu liquidieren, ohne den Markt zu beeinflussen.

Warum Nordkorea Krypto jagt

Es geht hier nicht nur um Gier. Für Pjöngjang ist Krypto-Raub eine strategische Notwendigkeit. Schätzungen zufolge stammen etwa 50 % der ausländischen Deviseneinnahmen Nordkoreas aus Cyberkriminalität. Ein Bericht der Vereinten Nationen bestätigt, dass die Waffenprogramme des Landes stark von diesen Einnahmen abhängen.

Der ByBit-Hack allein verdoppelte fast den gesamten Betrag, den Nordkorea im Vorjahr gestohlen hatte. Das zeigt eine massive Eskalation. Früher waren es oft kleine Summen, verteilt auf viele Konten. Jetzt zielen sie auf die ganz großen Fische. Und sie treffen immer öfter auf zentralisierte Börsen, weil diese im Vergleich zu traditionellen Banken noch immer weniger strenge Sicherheitsauflagen haben, aber enorme Werte halten.

Auswirkungen für die Branche und Nutzer

Wenn du Kryptowährungen besitzt, stellt sich die Frage: Ist mein Geld noch sicher? Der ByBit-Vorfall hat gezeigt, dass "Cold Storage" kein Allheilmittel ist, wenn die Prozesse dahinter fehlerhaft sind. Börsen müssen ihre Annahmen über Sicherheit grundlegend überdenken.

Das FBI reagierte ungewöhnlich schnell. Normalerweise dauert die Zuordnung solcher Angriffe Monate. Hier gab es innerhalb kürzester Zeit öffentliche Warnungen mit spezifischen Ethereum-Adressen, die blockiert werden sollten. RPC-Node-Betreiber, Börsen und DeFi-Dienste wurden aufgefordert, Transaktionen von diesen Adressen zu stoppen. Das ist ein Zeichen dafür, wie ernst die Bedrohung genommen wird.

Für normale Anleger bedeutet das: Diversifikation ist wichtiger denn je. Leg nicht alle Eier in einen Korb - und schon gar nicht in eine einzige zentrale Börse. Hardware-Wallets bleiben die beste Option für Selbstverwahrung, aber auch dort muss man vorsichtig sein, welche Software man installiert und welche Berechtigungen man vergibt.

Zukunftsausblick: Wird es schlimmer?

Experten wie Nick Carlsen von TRM Labs warnen, dass wir uns auf weitere solche Vorfälle einstellen müssen. Die Professionalisierung der nordkoreanischen Hacker nimmt zu. Sie lernen aus ihren Erfolgen und passen ihre Taktiken an, sobald neue Abwehrmechanismen eingeführt werden.

Da die internationale Gemeinschaft die Sanktionen gegen Nordkorea verschärft, bleibt der Druck auf das Regime hoch. Krypto bietet einen relativ einfachen Weg, um diese Sanktionen zu umgehen. Solange die Gewinne hoch und die Risiken überschaubar sind, wird TraderTraitor weitermachen. Die Frage ist nicht, ob es den nächsten großen Hack gibt, sondern wann und wen er trifft.