Staatliche Hacker auf BeutezugKryptodiebstähle sind Nordkoreas wichtigste Devisenquelle
Von Max Borowski
ntv bei Google bevorzugenDie Spur vom bislang größten Kryptowährungsraub aller Zeiten führt nach Pjöngjang. Ganze Einheiten des nordkoreanischen Geheimdienstes sind auf Cyberangriffe spezialisiert, deren Einnahmen die legalen Exporte des Landes um ein Vielfaches übertreffen.
2025 war ein erfolgreiches Jahr für den nordkoreanischen Außenhandel. Um rund 30 Prozent legten die Ausfuhren der offiziellen Statistik zufolge zu. Trotz dieses starken Anstiegs beliefen sich die Exporterlöse des mit internationalen Finanz- und Handelssanktionen belegten Landes auf gerade einmal 470 Millionen Dollar. Das ist nicht nur im internationalen Vergleich eine winzige Zahl - Südkorea etwa exportiert fast 2000-mal so viel. Es ist auch nicht annähernd ausreichend, um den Devisenbedarf für Nordkoreas dringend benötigte Importe - etwa Energierohstoffe und Nahrungsmittel - zu decken, ganz zu schweigen vom international sanktionierten Raketen- und Atomprogramm des Regimes. Viel wichtiger als der offizielle Handel mit Waren und Dienstleistungen ist für Diktator Kim Jong-un inzwischen eine andere Branche, die in keiner offiziellen Statistik auftaucht: Online-Betrug, Hacking und insbesondere der Diebstahl von Kryptowährungen.
Allein im Jahr 2025 erbeuteten Hacker im Dienste des nordkoreanischen Staates nach einer Schätzung des internationalen Gremiums zur Überwachung der Sanktionen gegen das Regime Kryptowährungen im Wert von mehr als zwei Milliarden Dollar. Dazu kommen weitere Hacking- und Betrugsaktivitäten, die Hunderte Millionen Dollar eingebracht haben dürften.
Der auf die Analyse von Blockchain-Daten spezialisierten Firma TRM zufolge haben nordkoreanische Hacker seit 2017 Kryptowährungen im Wert von mehr als sechs Milliarden Dollar erbeutet. Mit dem jüngsten Angriff auf die Kryptobörse Binance konnte Pjöngjang seine Bilanz damit wohl fast verdoppeln. In der Vergangenheit hat Nordkorea entsprechende Vorwürfe als "absurd" und als "Verleumdung" durch seine Feinde zurückgewiesen. Im aktuellen Fall des Binance-Hacks beantwortete Nordkorea Anfragen unter anderem durch die Nachrichtenagentur Reuters über die Botschaft in der Schweiz bislang nicht.
Da gestohlene Kryptowährungen wie Einnahmen aus anderen illegalen Aktivitäten auch über Umwege gewaschen werden müssen und gestohlene Digitalwerte teilweise eingefroren werden können, dürfte der Erlös für das Regime geringer sein als der nominale Wert der Beute. In jedem Fall aber übertreffen die Einnahmen von Nordkoreas Hackern und Online-Betrügern die der regulären Exporteure um ein Vielfaches.
Nordkorea steht seit Langem im Verdacht, Hacker einzusetzen, um seine Deviseneinnahmen aufzubessern. Spektakulär war etwa 2016 der Diebstahl von mehr als 80 Millionen Dollar von einem Konto der Zentralbank von Bangladesch. 2017 konnten nordkoreanische Hacker als Urheber der Erpressungssoftware WannaCry identifiziert werden, der Hunderttausende Computer weltweit zum Opfer fielen.
Seit Jahren gelingt es Nordkorea auch regelmäßig, seine Hacker mithilfe falscher Identitäten als angebliche IT-Mitarbeiter im Homeoffice in Unternehmen in aller Welt einzuschleusen. Damit erzielt das Regime nicht nur Einnahmen, da die Gehälter an den Staat fließen, sondern bekommt auch Zugang zu teils sensiblen Informationen. US-Ermittler haben mehrere Fälle solcher nordkoreanischen Spione als Mitarbeiter in amerikanischen Rüstungsunternehmen aufgedeckt.
Von all diesen Aktivitäten dürften die Kryptodiebstähle im Hinblick auf die erbeuteten Summen inzwischen die mit Abstand bedeutendste und die am schnellsten wachsende sein. 2024 schätzte die auf die Analyse von Blockchain-Daten spezialisierte Firma TRM den Wert von Nordkoreas Kryptobeute auf rund eine Milliarde Dollar, 2025 waren es demnach bereits mehr als zwei Milliarden Dollar. 2026 hatten die Hacker mutmaßlich schon vor der Attacke auf Binance in mehreren großen Diebstählen jeweils mehrere Hundert Millionen Dollar entwendet.
Dominierende Bedrohung für Kryptoplattformen
Als zentralen Akteur hinter vielen der nordkoreanischen Beutezüge vermuten Experten dieselbe Gruppe, die laut TRM auch hinter dem Rekord-Hack bei Binance stecken dürfte. Amerikanische und japanische Ermittler gaben ihr 2022 den Namen TraderTraitor. Die zu Google gehörende Cybersicherheitsfirma Mandiant führt die Gruppe unter der Bezeichnung UNC4899, auch der Name Jade Sleet wird gelegentlich verwendet.
Als gesichert gilt, dass TraderTraitor zum Generalbüro für Aufklärung des Militärgeheimdiensts gehört. Dessen Einheit Büro 121 soll mehrere international agierende Hackergruppen mit jeweils teils mehreren Hundert Mitgliedern umfassen, die Spionage und Beutezüge aus finanziellen Gründen miteinander verbinden.
Ihre Attacken bereiten die Hacker mit hohem Aufwand vor. Um die hohen Sicherheitshürden bei ihren Angriffszielen zu überwinden, setzen sie auf sogenanntes "Social Engineering": Um ihre Opfer dazu zu bringen, Schadsoftware auf deren Computern zu installieren oder Sicherheitsvorkehrungen auszuhebeln, haben die Täter in einigen Fällen über Monate vermeintliche Geschäftsbeziehungen aufgebaut und gepflegt. Nordkoreanische Geheimdienstangehörige sollen dazu Berichten zufolge nicht nur von Pjöngjang aus arbeiten, sondern als Mitarbeiter von Tarnfirmen in anderen Ländern arbeiten.
Nordkoreas Hacker haben ihr Vorgehen gegen Kryptoplattformen so perfektioniert, dass sie in diesem Bereich inzwischen die absolut dominierende Bedrohung sind. Laut TRM war Nordkorea Anfang dieses Jahrzehnts noch für etwa zehn Prozent der weltweiten Schäden durch Krypto-Hacks verantwortlich. Im vergangenen Jahr lag dieser Anteil bereits bei knapp zwei Dritteln und 2026, vor dem Binance-Hack, bei über 75 Prozent.