Nordkoreanische Hacker stehlen Millionen in Kryptowährung durch raffinierte Angriffe

LONDON (IT BOLTWISE) – In einer beunruhigenden Entwicklung haben nordkoreanische Hacker, bekannt als UNC4899, erneut zugeschlagen und Millionen von Dollar in Kryptowährung gestohlen. Diese Angriffe, die auf die Nutzung von Jobangeboten und Cloud-Konten setzen, zeigen die zunehmende Raffinesse und Hartnäckigkeit der Hackergruppe.

Die nordkoreanische Hackergruppe UNC4899, auch bekannt unter den Namen Jade Sleet, PUKCHONG, Slow Pisces und TraderTraitor, hat erneut ihre Fähigkeiten unter Beweis gestellt, indem sie Millionen von Dollar in Kryptowährung gestohlen hat. Diese Gruppe, die seit mindestens 2020 aktiv ist, hat sich auf die Kryptowährungs- und Blockchain-Industrie spezialisiert und nutzt dabei ausgeklügelte Techniken, um ihre Ziele zu erreichen.

In den jüngsten Angriffen hat UNC4899 Mitarbeiter von zwei verschiedenen Organisationen über LinkedIn und Telegram kontaktiert. Unter dem Vorwand von freiberuflichen Softwareentwicklungsangeboten gelang es ihnen, die Mitarbeiter dazu zu bringen, bösartige Docker-Container auf ihren Arbeitsstationen auszuführen. Diese Social-Engineering-Methoden zeigen die Raffinesse der Gruppe, die es versteht, menschliche Schwächen auszunutzen.

Besonders bemerkenswert ist die Beteiligung der Gruppe an bedeutenden Kryptowährungsdiebstählen, darunter der Axie Infinity-Hack im März 2022, bei dem 625 Millionen Dollar gestohlen wurden, sowie der Angriff auf DMM Bitcoin im Mai 2024 mit einem Schaden von 308 Millionen Dollar. Der jüngste Angriff auf Bybit im Februar 2025 führte zu einem Verlust von 1,4 Milliarden Dollar.

Die Hackergruppe hat zudem die Infrastruktur von JumpCloud ausgenutzt, um Kunden im Kryptowährungssektor anzugreifen. Laut DTEX ist TraderTraitor mit dem Dritten Büro des nordkoreanischen Generalbüros für Aufklärung verbunden und gilt als die produktivste Gruppe in Bezug auf Kryptowährungsdiebstahl.

Die Angriffe umfassen das Hochladen bösartiger npm-Pakete und das Ansprechen von Mitarbeitern mit lukrativen Angeboten oder der Bitte um Zusammenarbeit an GitHub-Projekten, die zur Ausführung der schädlichen Bibliotheken führen. Diese Taktiken zeigen das anhaltende Interesse der Gruppe an cloud-zentrierten Angriffen, wobei das Ziel oft die Kompromittierung von Unternehmen ist, die Kunden von Cloud-Plattformen sind.

In einem Fall nutzten die Angreifer gestohlene Anmeldedaten, um über ein anonymes VPN auf die Google Cloud CLI zuzugreifen und umfangreiche Erkundungs- und Anmeldeinformationsdiebstähle durchzuführen. Trotz der Multi-Faktor-Authentifizierung (MFA) gelang es ihnen, die MFA-Anforderungen zu deaktivieren und nach dem Zugriff auf die Ressourcen wieder zu aktivieren, um eine Entdeckung zu vermeiden.

Ein ähnliches Vorgehen wurde bei einem Angriff auf eine AWS-Umgebung beobachtet, bei dem die Angreifer langfristige Zugriffsschlüssel aus einer AWS-Anmeldedatei nutzten. Obwohl sie auf Zugangskontrollbarrieren stießen, die sie daran hinderten, sensible Aktionen durchzuführen, fanden sie Hinweise auf den Diebstahl von Sitzungscookies, die zur Identifizierung relevanter CloudFront-Konfigurationen und S3-Buckets verwendet wurden.

UNC4899 nutzte die administrativen Berechtigungen, um vorhandene JavaScript-Dateien durch solche mit bösartigem Code zu ersetzen, die darauf ausgelegt waren, Kryptowährungsfunktionen zu manipulieren und Transaktionen mit der Kryptowährungs-Wallet der Zielorganisation auszulösen. Diese Angriffe endeten mit dem erfolgreichen Abzug von mehreren Millionen Dollar in Kryptowährung.

Die Entwicklung kommt zu einem Zeitpunkt, an dem Sonatype 234 einzigartige Malware-npm- und PyPI-Pakete, die der nordkoreanischen Lazarus-Gruppe zugeschrieben werden, zwischen Januar und Juli 2025 markiert und blockiert hat. Diese Bibliotheken sind so konfiguriert, dass sie einen bekannten Anmeldeinformationsdieb namens BeaverTail ablegen, der mit einer langjährigen Kampagne namens Contagious Interview in Verbindung steht.

Diese Pakete ahmen beliebte Entwicklerwerkzeuge nach, fungieren jedoch als Spionage-Implantate, die darauf abzielen, Geheimnisse zu stehlen, Hosts zu profilieren und persistente Hintertüren in kritische Infrastrukturen zu öffnen. Der Anstieg der Aktivitäten in der ersten Hälfte des Jahres 2025 zeigt eine strategische Neuausrichtung: Lazarus bettet nun Malware direkt in Open-Source-Paketregister ein, insbesondere in npm und PyPI, und das in alarmierendem Tempo.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!