Nordkoreanische Cyberkriminelle plündern Kryptowährungs-Wallets und erlangen Zugang zu Systemen weltweit – in welchem Umfang, das will jetzt der griechische Sicherheitsforscher Vangelis Stykas herausgefunden haben. Auf der Black-Hat-Konferenz in Las Vegas berichtet er über seine Erkenntnisse, nachdem er sich rund 22 Monate lang Zugang zu Systemen einer nordkoreanischen Gruppe verschaffen konnte.

Gegenüber Wired erklärte Stykas, dass er alleine 1640 betroffene Unternehmen in 57 Ländern identifiziert habe. Bei rund 700 bis 800 von ihnen habe es „richtig schädliche“ Einbrüche gegeben. Die staatlich organisierten Gruppen hätten teilweise Root-Zugriff auf Server und AWS-Konten erlangen können.

Wie genau der griechische Sicherheitsforscher in die nordkoreanischen Systeme vordringen konnte, verrät er nicht. Was ihm die Arbeit erleichterte, war wohl, dass sich die Computer der Cyberkriminellen mit der eigenen Malware infiziert hätten. Dadurch konnte er Einblick in Slack- und Discord-Kommunikation nehmen und habe rund fünf Terabyte an Daten gesichtet.

Staatliche Gruppen erbeuten Milliarden Euro

Nordkoreas staatlich gelenkte Hackergruppen, allen voran der berüchtigte Lazarus-Group-Komplex, haben vor allem im Kryptobereich Rekordsummen erbeutet. Laut Chainalysis-Zahlen erbeuteten DPRK-nahe Akteure alleine 2025 rund 2,02 Milliarden US-Dollar – ein Plus von 51 Prozent gegenüber dem Vorjahr, wodurch sich die kumulierte Beute seit 2017 auf etwa 6,75 Milliarden US-Dollar summiert. Auch 2026 reißt die Serie nicht ab: Nordkoreanische Hacker waren alleine in den ersten vier Monaten des Jahres für 76 Prozent des weltweiten Schadens durch Krypto-Hacks verantwortlich.

Auffällig ist dabei der Wandel der Angriffsmethoden: Setzten die Hacker früher noch überwiegend auf kompromittierte Schlüssel, verlagerten sie sich bis Ende 2024 verstärkt auf Social Engineering – unter dem Vorwand, Fachkräfte einzustellen, verleiten sie Bewerber dazu, eine Software zu installieren, mit der diese angeblich ihre IT-Kenntnisse unter Beweis stellen können. In Wirklichkeit handelt es sich dabei um Malware.

Lange Liste von Betroffenen

Die Gelder fließen dabei nachweislich in die Rüstungsprogramme des Regimes: Laut Behördenangaben dienen die Cyberoperationen dazu, Nordkoreas Nuklear- und Raketenprogramme zu finanzieren und dabei internationale Finanzsanktionen zu umgehen. Die Hackergruppe Andariel wurde 2024 von internationalen Sicherheitsbehörden enttarnt, nachdem sie gezielt Verteidigungs- und Nuklearunternehmen in mehreren Ländern ausgespäht hatte.

Wie breitgefächert die Cyberkriminellen vorgehen, zeigt sich an der Liste der Betroffenen, die Stykas veröffentlicht hat. Der chinesische Technikhersteller Oppo steht dort genauso drauf wie das Boston Children’s Hospital, Technologieunternehmen aus Japan, Justizbehörden in Italien und Teile der flämischen Regierung in Belgien. Gegenüber Wired betonten diese teilweise, dass das Problem von Vertragskräften ausging und der Schaden überschaubar gewesen sei. Stykas erklärt dazu, dass eine Vielzahl der Betroffenen seine Warnungen gar nicht ernst genommen habe. Er bestätigte einen Fokus auf Vertragsdienstleister, da diese häufig bei mehreren Kunden aktiv sind. Mit einem kompromittierten Gerät erlangten die Cyberkriminellen folglich oftmals Zugang zu mehreren Firmen.

Nordkoreas IT-Kriminalität ist vielfältig: Neben dem Fokus auf den Diebstahl von Kryptowährung entsendet das Land auch tausende IT-Arbeitskräfte, die sich unter falscher Identität in reguläre Jobs einschleusen und die Gehälter ins eigene Land transferieren. Sicherheitsexperten warnen, dass die eingebrochenen Systeme nach einem Kryptodiebstahl auch für Spionageaktivitäten weiterverwendet werden könnten. In den USA haben sich zuletzt fünf Helfer schuldig bekannt, Nordkoreas Netzwerk aus getarnten Remote-Angestellten unterstützt zu haben – allein in diesen Fällen waren mehr als 136 Unternehmen betroffen.

(mki)