Nordkoreanische Gruppe TraderTraitor mit Rekord-Crypto-Diebstahl von 6,43 Milliarden Dollar bei Binance in Verbindung gebracht

Das Federal Bureau of Investigation (FBI) hat offiziell TraderTraitor identifiziert, eine mit Nordkorea verbundene Hackergruppe, als Urheber des Diebstahls von virtuellen Assets im Wert von über 6 Milliarden Dollar von Binance. Diese Attribution, gemeinsam mit dem U.S. Secret Service und der Criminal Investigation Division der IRS veröffentlicht, markiert den größten Krypto-Raubüberfall in der Geschichte und übertrifft frühere Rekorde deutlich.

Was passiert ist

Der Einbruch führte zum Verlust von 6,43 Milliarden Dollar auf 11 verschiedenen Blockchains, wobei sich 82 % der gestohlenen Gelder auf den Ethereum- und Bitcoin-Netzwerken befanden. Das Blockchain-Analyseunternehmen Elliptic stellte fest, dass dieser einzelne Vorfall den Gesamtwert der vom Regime zuvor gestohlenen Kryptoassets fast verdoppelt. Als Reaktion auf den Diebstahl haben große Stablecoin- und Infrastruktur-Anbieter wie Tether, Circle, Ripple, Arbitrum und Optimism erfolgreich 2,85 Milliarden Dollar der illegalen Assets on-chain eingefroren.

Nach dem Vorfall pausierte Binance Auszahlungen, um Sicherheitsbewertungen durchzuführen und die Plattform zu schützen. Der Börsenbetreiber kündigte an, dass Phase eins der Auszahlungen zwischen 6 und 9 Uhr UTC wieder aufgenommen wurde, während die Einzahlungsdienste während des gesamten Vorfalls nicht beeinträchtigt blieben. Das FBI beobachtete, dass die Angreifer die gestohlenen Gelder hauptsächlich in Ethereum umwandeln, vermutlich um sie über DeFi-Protokolle und Instant-Swap-Dienste zu waschen.

TraderTraitor, auch unter Aliassen wie Jade Sleet, Pressure Chollima und UNC4899 bekannt, ist seit mindestens 2020 aktiv. Die Gruppe ist für eine Reihe hochkarätiger Angriffe auf Web3-Entitäten verantwortlich, darunter DMM Bitcoin, Bybit, KelpDAO und Bitget. Diese letzte Operation stellt eine erhebliche Eskalation in Maßstab und Raffinesse für den staatlich unterstützten Akteur dar.

Wie es funktioniert

Der Angriffsvektor basierte darauf, vertrauenswürdige Entwickler-Workflows zu kompromittieren, anstatt direkte Schwachstellen in der Infrastruktur auszunutzen. Berichte von SentinelOne, Zscaler ThreatLabz und Microsoft zeigen, dass TraderTraitor Malware über trojanisierte Terraform-Provider verbreitete. Terraform ist ein weit verbreitetes Infrastructure-as-Code-Tool, was seine Provider zu einem lohnenden Ziel für Supply-Chain-Angriffe macht. Wenn Entwickler den vergifteten Provider installierten, führte er einen Bash-Loader aus, der das Betriebssystem des Opfers erkannte und maßgeschneiderte Malware herunterlud.

Die Payload enthielt eine plattformübergreifende Implantat-Komponente namens FLATROOF, die einen Python-basierten Information Stealer nutzte, um sensible Daten von kompromittierten Maschinen abzuziehen. Dieser erste Zugriff ermöglichte es den Angreifern, eine Backdoor der zweiten Stufe namens ROOFDECK zu platzieren, die ihnen die vollständige Fernsteuerung über die Umgebung des Opfers gab. Diese Methode ermöglichte es der Gruppe, lateral innerhalb von Organisationen zu navigieren und kritische administrative Zugangsdaten zu erhalten.

Um diese Payloads zuzustellen, setzte die Gruppe auf ausgefeilte Social-Engineering-Kampagnen, die durch künstliche Intelligenz unterstützt wurden. Sie erstellten gefälschte Personas und Briefkastenfirmen, die sich als Recruiter eines KI-gestützten Blockchain-Intelligence-Unternehmens ausgaben. Durch die Nutzung branchenspezifischen Wissens und maßgeschneiderter Domains überzeugten sie Software-Ingenieure und Cybersicherheits-Fachkräfte, an fingierten Interviews teilzunehmen, und brachten sie schließlich dazu, bösartigen Code auszuführen, der als routinemäßige technische Bewertung getarnt war.

Wichtige Details

• Der gesamte gestohlene Betrag beläuft sich auf 6,43 Milliarden Dollar, was ihn zum größten Krypto-Diebstahl der Geschichte macht.
• 2,85 Milliarden Dollar der Assets wurden von Tether, Circle, Ripple, Arbitrum und Optimism eingefroren.
• Die primäre Methode zur Verbreitung der Malware waren trojanisierte Terraform-Provider, die DevOps-Workflows ins Visier nahmen.
• Die Angriffskette umfasste einen Bash-Loader, das FLATROOF-Implantat und die ROOFDECK-Backdoor.
• KI wurde genutzt, um überzeugende Köder, gefälschte Personas und branchenspezifische Recruiting-Inhalte zu generieren.
• Gestohlene Gelder werden hauptsächlich in Ethereum umgewandelt, um sie über DeFi-Dienste zu waschen.

Warum das wichtig ist

Für Software-Ingenieure und DevOps-Teams unterstreicht dieser Vorfall die schweren Risiken, die in der Open-Source-Supply-Chain inherent sind. Das Vertrauen in Drittanbieter-Provider ohne rigorose Verifizierung kann zu katastrophalen Sicherheitsverletzungen führen. Die Nutzung von Terraform-Providern als Liefermechanismus zeigt, dass Angreifer die Tools ins Visier nehmen, auf die Builders täglich angewiesen sind, nicht nur die Anwendungen, die sie erstellen. Dies verlagert die Sicherheitsperimeter von reinen Produktionsumgebungen hin zu lokalen Entwicklungsmaschinen und CI/CD-Pipelines.

Die Integration von KI in Social Engineering macht traditionelle Wachsamkeit unzureichend. Angreifer können nun hochgradig glaubwürdige Jobangebote und technische Diskussionen generieren, die legitime Brancheninteraktionen imitieren. Für technische Gründer und Hiring Manager bedeutet dies, dass Standard-Rekrutierungsprozesse nun potenzielle Angriffsvektoren sind. Die Überprüfung der Identität von Kandidaten und die Integrität von geteiltem Code oder Tools ist zu einer kritischen Sicherheitsanforderung geworden, nicht nur zu einer HR-Formalität.

Was Sie tun können

• Überprüfen Sie die Checksummen und Signaturen aller Terraform-Provider vor der Installation in Ihrer Umgebung.
• Implementieren Sie strenge Isolation für Entwicklungsumgebungen, um laterale Bewegungen zu begrenzen, falls eine Maschine kompromittiert wird.
• Fordern Sie Multi-Faktor-Authentifizierung und Hardware-Keys für alle administrativen Zugriffe auf Cloud-Infrastruktur.
• Etablieren Sie Out-of-Band-Verifizierungsprozesse für neue Mitarbeiter und externe Collaborator, die Code teilen.
• Überwachen Sie Dependency Trees auf unerwartete Änderungen oder unverifizierte Updates in Infrastructure-as-Code-Modulen.
• Schulen Sie Teammitglieder in KI-verstärkten Social-Engineering-Taktiken und Recruiting-bezogenen Ködern.