Nordkorea setzt auf Infiltration und Hacks für Millionengewinne

Neue Untersuchungen zur Hackerattacke auf die dezentrale Börse Drift, bei der 285 Millionen Dollar gestohlen wurden, offenbaren eine beunruhigende Angriffsmethode. Die Hacker begannen nicht am Computer, sondern auf internationalen Krypto-Konferenzen. Dort gaben sie sich ein halbes Jahr lang als professionelles Handelsunternehmen aus und bauten Beziehungen zu Drift-Mitarbeitern auf.

Vom Händedruck zum Hack

Laut dem Blockchain-Analyseunternehmen TRM Labs nahmen die Angreifer auf Konferenzen in verschiedenen Ländern Kontakt zu mehreren Mitarbeitern auf. Was wie normales Netzwerken aussah, entpuppte sich als raffinierte Infiltration. Die Angreifer investierten ein halbes Jahr in den Vertrauensaufbau, bevor sie zuschlugen.

Dieser Ansatz ist neu. Frühere große Hacks in der Kryptobranche verliefen fast ausschließlich digital: durch Phishing, kompromittierte Software oder gefälschte Bewerbungen. Bei Drift erfolgte der erste Kontakt persönlich, sodass die Bedrohung wesentlich schwerer zu erkennen war.

Fake-Token als letztes Mittel

Als das Vertrauen gewonnen war, folgte der technische Angriff. Die Hacker führten ein Fake-Token, den CarbonVote Token, ein und erzeugten künstliches Handelsvolumen, um es vertrauenswürdig erscheinen zu lassen. Das System von Drift akzeptierte den Token als Sicherheit, woraufhin Auszahlungslimits aufgehoben wurden und 285 Millionen Dollar abflossen.

TRM Labs zufolge verlief die Geldwäsche schneller und aggressiver als bei dem 1,4 Milliarden Dollar schweren Bybit-Hack Anfang des Jahres.

Nordkorea baut Infiltrationsnetzwerk auf

Der Angriff fügt sich in ein größeres Muster ein. Nordkoreanische Gruppen kombinieren großangelegte Hacks zunehmend mit langwieriger Infiltration. Sie geben sich als Softwareentwickler aus, bewerben sich bei Technologiefirmen und verdienen mit falschen Identitäten bis zu einer Million Dollar pro Monat. Seit November wurden durch diese Konstruktionen bereits mehr als 3,5 Millionen Dollar eingenommen.

Die Angreifer nutzen Computer in anderen Ländern, um ihre Aktivitäten lokal erscheinen zu lassen. Laut den Vereinten Nationen werden die Erträge zur Finanzierung des nordkoreanischen Waffenprogramms verwendet.

Konferenzen als neue Angriffsfläche

Für die Kryptobranche ist die Lehre klar. Sicherheit umfasst nicht mehr nur Code, Firewalls und Schlüsselverwaltung. Soziale Manipulation und persönlicher Kontakt sind Teil des Waffenarsenals staatlicher Hacker geworden.

Unternehmen müssen ihre Mitarbeiter darin schulen, auch offline wachsam zu sein. Ein professionell wirkender Gesprächspartner auf einer Konferenz kann ebenso gut ein nordkoreanischer Agent wie ein potenzieller Kunde sein. Der Drift-Hack zeigt, dass die Grenze zwischen Netzwerken und Infiltration dünner geworden ist als je zuvor.