Nordkoreanische Hackergruppe Lazarus hinter Krypto-Diebstahl bei BitoPro

TAIPEH / LONDON (IT BOLTWISE) – Die taiwanesische Kryptowährungsbörse BitoPro hat die nordkoreanische Hackergruppe Lazarus für einen Cyberangriff verantwortlich gemacht, der am 8. Mai 2025 zum Diebstahl von Kryptowährungen im Wert von 11 Millionen US-Dollar führte.

Die taiwanesische Kryptowährungsbörse BitoPro hat die nordkoreanische Hackergruppe Lazarus für einen Cyberangriff verantwortlich gemacht, der am 8. Mai 2025 zum Diebstahl von Kryptowährungen im Wert von 11 Millionen US-Dollar führte. Laut den internen Untersuchungen von BitoPro weisen die Angriffsmuster und die verwendete Methodik starke Ähnlichkeiten mit früheren Cyberangriffen auf, die der Lazarus-Gruppe zugeschrieben werden.

Die Angriffsmethodik ähnelt Mustern, die bei mehreren internationalen Vorfällen beobachtet wurden, darunter illegale Transfers von globalen Bank-SWIFT-Systemen und Vermögensdiebstähle von großen internationalen Kryptowährungsbörsen. BitoPro, das hauptsächlich taiwanesische Nutzer bedient und Fiat-Einzahlungen und -Abhebungen in TWD sowie eine Auswahl an Krypto-Assets unterstützt, hat über 800.000 registrierte Nutzer und ein tägliches Handelsvolumen von etwa 30 Millionen US-Dollar.

Am 8. Mai 2025 führten Hacker während eines Updates des Hot-Wallet-Systems unautorisierte Abhebungen von einem alten Hot-Wallet über mehrere Blockchains hinweg durch, darunter Ethereum, Tron, Solana und Polygon. Nach dem Diebstahl wurden die gestohlenen Gelder durch DEXs und Mixer wie Tornado Cash, ThorChain und Wasabi Wallet gewaschen.

BitoPro zögerte, den Vorfall zuzugeben, und bestätigte ihn erst am 2. Juni öffentlich, wobei betont wurde, dass alle Operationen unberührt blieben und die betroffenen Hot-Wallets durch verfügbare Reserven aufgefüllt wurden. Die Untersuchung des Hacks ergab, dass es keine interne Beteiligung gab, obwohl die Angreifer einen Social-Engineering-Angriff starteten und Malware auf dem Gerät eines Mitarbeiters installierten, der die Cloud-Operationen verwaltete.

Durch diese Infektion kaperten die Angreifer AWS-Sitzungstoken, um die Multi-Faktor-Authentifizierung (MFA) zu umgehen und die Kontrolle über die Cloud-Infrastruktur von BitoPro zu erlangen. Anschließend lieferte der Command-and-Control (C2)-Server Befehle an das Implantat, das Skripte in den Hot-Wallet-Host injizierte, während der Angriff vorbereitet wurde.

Als das Wallet aktualisiert und Vermögenswerte transferiert wurden, stahlen die Angreifer Kryptowährungen, während sie normales Betriebsverhalten simulierten, um eine sofortige Entdeckung zu vermeiden. Sobald BitoPro den Kompromiss erkannte, schalteten sie das Hot-Wallet-System ab und rotierten die kryptografischen Schlüssel. Dennoch waren bereits Kryptowährungen im Wert von etwa 11 Millionen US-Dollar gestohlen worden.

Das Unternehmen informierte die zuständigen Behörden und engagierte einen externen Cybersicherheitsexperten, um den Vorfall zu untersuchen, ein Prozess, der am 11. Juni abgeschlossen wurde. Die nordkoreanische Lazarus-Gruppe ist berüchtigt dafür, Kryptowährungs- und DeFi-Entitäten ins Visier zu nehmen. Die Hackergruppe wird für rekordverdächtige digitale Vermögensdiebstähle verantwortlich gemacht, zuletzt den Diebstahl von 1,5 Milliarden US-Dollar von Bybit.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!