130-Millionen-Dollar-Hack: Steckt die Lazarus Group aus Nordkorea dahinter?

130 Millionen Dollar wurden bei einem Cyberangriff auf die Kryptobörse Poloniex gestohlen.

130 Millionen Dollar wurden bei einem Cyberangriff auf die Kryptobörse Poloniex gestohlen. Die Spur führt nach Nordkorea, zur berüchtigten Hackergruppe Lazarus.

Am vergangenen Freitag schlugen Sicherheitsfirmen Alarm: Auf die Kryptobörse Poloniex war ein Cyberangriff verübt worden. Nach aktuellen Schätzungen wurden dabei Kryptowährungen im Wert von 130 Millionen Dollar gestohlen. Analysen deuten jetzt, wieder einmal, auf die nordkoreanische Hackergruppe Lazarus. Das berüchtigte Kollektiv hat inzwischen digitale Vermögenswerte im Wert von mehreren Milliarden US-Dollar gestohlen. Geld, das laut den Vereinten Nationen in die Atomwaffenprogramme Nordkoreas fließt.

Die Kryptobranche, vor allem Handelsplattformen, die große Geldsummen verwalten, gilt inzwischen als das lukrativste Ziel. Der Krypto-Forensikexperte Albert Quehenberger von A|Q Forensics hat den typischen Angriff für das deutsche BTC Echo rekonstruiert. Wieder einmal zeigt sich, dass Lazarus eine der größten Bedrohungen für die Kryptobranche ist.

Millionen an Krypto-Assets flossen plötzlich ab, und die ersten Kommentare auf X versuchten, die Lage einzuordnen. Ein paar Tage später fügt sich das Puzzle rund um den Angriff auf Poloniex langsam zusammen. Der Hack lief über eine Hot Wallet der Kryptobörse und ist laut Albert Quehenberger von A|Q Forensics wahrscheinlich "auf ein Leck des privaten Schlüssels zurückzuführen". Der Krypto-Forensikexperte sieht Parallelen zu "einem früheren Hack bei Stake.com". Das Krypto-Casino-Plattform wurde im September von einem Cyberangriff getroffen. Der Schaden belief sich auf rund 40 Millionen Dollar. Das FBI machte Lazarus dafür verantwortlich.

Leck aus den eigenen Reihen?

Die Frage, die sich jetzt stellt: Wie kamen die Hacker an den Private Key? Der Verdacht liegt nahe: Es könnte ein Leck gegeben haben, ein Mitarbeiter, der Lazarus ungewollt Zugang verschafft hat. Das Hacker-Kollektiv setzt immer häufiger auf Taktiken, mit denen gezielt Mitarbeiter eines Unternehmens manipuliert werden, um an sensible Informationen zu kommen. Diese Methode, bekannt als Social Engineering, ist ebenso schwierig wie hinterhältig.

"Die Lazarus Group könnte gezielt Personen innerhalb der Kryptobörse identifizieren, die Zugriff auf wichtige Systeme oder Informationen haben", beschreibt Quehenberger. Der Fokus dürfte auf "ranghohen Mitarbeitern mit Administratorrechten" liegen. Hacker würden sehr genau "umfangreiche Recherchen" durchführen, um "Informationen über den privaten und beruflichen Hintergrund von Mitarbeitern zu sammeln".

Niemand ist sicher

Soziale Medien spielen dabei als öffentlich zugängliche Informationsquelle eine immer wichtigere Rolle. Dazu kommen Phishing-Angriffe, bei denen Hacker Malware einschleusen, Daten abgreifen und sich Schritt für Schritt zu den Schwachstellen vorarbeiten. Hacker werden bei ihrer Vorgehensweise immer raffinierter und passen betrügerische E-Mails an "spezifische Interessen oder Aktivitäten des Ziels" an, erklärt Quehenberger.

Sobald die Angreifer erst einmal im System sind, geht es darum, "Zugriffsrechte auszuweiten und höhere Berechtigungen zu bekommen, um auf kritische Systeme und Informationen zuzugreifen", sagt der Blockchainexperte. Danach geht alles schnell. "Nach einer erfolgreichen Infiltration könnte die Gruppe versuchen, Kryptowährungen abzufangen, zu stehlen oder Transaktionen zu manipulieren." Darüber können wir im Moment allerdings nur spekulieren. Poloniex hat sich bisher noch nicht zu seinem Vorgehen geäußert.

Was passiert mit den Geldern?

Unterdessen versucht Justin Sun, der Poloniex 2019 gekauft hat, Imageschäden zu vermeiden. Einige der "mit den Hacker-Adressen in Verbindung gebrachten Gelder" seien bereits "erfolgreich identifiziert und eingefroren" worden. Laut dem Tron-Gründer waren die Verluste "überschaubar". Systeme seien "wiederhergestellt" worden, und "relevante Beweise" würden jetzt gesichert. Nachdem der Angriff bekannt wurde, bot der Krypto-Unternehmer den Hackern einen Teil des gestohlenen Geldes als Lösegeld an.

Es bleibt abzuwarten, wie hoch der Schaden am Ende wirklich sein wird. Und auch, wer hinter dem Angriff steckt. Vieles spricht aber für Lazarus. Wie schon beim Angriff auf Stake.com wurden "verschiedene Token auf unterschiedlichen Adressen gespeichert, dann auf Zwischenadressen übertragen und schließlich in native Währungen (ETH, TRX) umgewandelt", so Quehenberger.