Die beiden größten Krypto-Raubzüge der Geschichte wurden von derselben Gruppe verübt: FBI bringt Binance-Diebstahl mit TraderTraitor in Verbindung

Die Kryptowährungsbranche steht vor einer bedeutenden sicherheitspolitischen Entwicklung: Berichten zufolge werden die beiden größten Diebstähle in der Geschichte der Kryptowährungen derselben nordkoreanisch unterstützten Hackergruppe zugeschrieben.

Das Federal Bureau of Investigation (FBI) hat TraderTraitor als die Gruppe identifiziert, die für den Diebstahl von digitalen Vermögenswerten im Wert von mehr als 6,3 Milliarden US-Dollar von Binance verantwortlich sein soll. Diese Zuordnung verbindet den Vorfall bei Binance mit dem Bybit-Hack im Februar 2025, bei dem Vermögenswerte im Wert von etwa 1,5 Milliarden US-Dollar entwendet wurden und den das FBI zuvor ebenfalls derselben Gruppe zugeschrieben hatte.

Sollten die abschließenden forensischen und juristischen Untersuchungen diese Einschätzung bestätigen, handelt es sich bei den Fällen um weit mehr als zwei voneinander unabhängige Angriffe auf Kryptobörsen. Zusammengenommen zeigen sie, wie staatlich unterstützte Cyberkriminelle soziale Manipulation, Schadsoftware, Angriffe auf Wallet-Infrastrukturen und ausgefeilte Geldwäschetechniken auf der Blockchain in einem bislang beispiellosen Ausmaß kombinieren.

Ein neuer Rekord beim Kryptodiebstahl

Der Vorfall bei Binance soll den Bybit-Angriff als größten jemals verzeichneten Diebstahl von Kryptowährungen übertroffen haben. Auch wenn sich die Schätzungen noch ändern können, während die Ermittler weitere Wallets verfolgen und die betroffenen Vermögenswerte identifizieren, wird der gemeldete Schaden in Milliardenhöhe beziffert.

Die Zuordnung durch das FBI ist besonders bedeutsam, weil sie mit früheren Analysen von Blockchain-Intelligence-Unternehmen übereinstimmt. Forscher von Organisationen wie TRM Labs und Chainalysis sollen Ähnlichkeiten zwischen den Angriffen auf Binance und Bybit festgestellt haben, darunter:

• Vergleichbare Vorgehensweisen
• Wiederholte Nutzung von Zwischen-Wallets
• Schnelle Verteilung gestohlener Gelder über mehrere Blockchains
• Einsatz dezentraler Dienste und kettenübergreifender Konvertierungen
• Überschneidungen bei der Geldwäsche-Infrastruktur
• Kleine Testüberweisungen zur Vorbereitung späterer Transaktionen

Blockchain-Transaktionen sind grundsätzlich öffentlich einsehbar. Das bedeutet jedoch nicht automatisch, dass sich die Gelder leicht zurückholen lassen. Angreifer können Vermögenswerte auf Tausende von Überweisungen aufteilen, über mehrere Netzwerke verschieben, Token tauschen und datenschutzorientierte Dienste nutzen, um die Zuordnung zu erschweren.

Wer ist TraderTraitor?

TraderTraitor gilt weithin als operativer Kernbereich des größeren nordkoreanischen Cybercrime-Ökosystems, das häufig mit der Lazarus Group in Verbindung gebracht wird.

Der Name der Gruppe verweist auf eine wiederkehrende Taktik: Im Visier stehen Personen und Organisationen, die im Kryptowährungshandel, in der Blockchain-Entwicklung, der Verwahrung digitaler Vermögenswerte und der Finanzinfrastruktur tätig sind. Zu den Vorgehensweisen der Gruppe gehörten gefälschte Bewerbungskampagnen, schädliche Anwendungen, Identitätsvortäuschung sowie Angriffe auf Mitarbeiter mit Zugriff auf Signatursysteme oder Wallet-Software.

Die US-Regierung hat wiederholt davor gewarnt, dass mit Nordkorea verbundene Cyberakteure durch den Diebstahl von Kryptowährungen Einnahmen für das Regime generieren. Die offiziellen Cybercrime-Ressourcen des FBI und die Warnungen der CISA liefern weiterführende Informationen zu staatlich unterstützten Cyberoperationen und Bedrohungen für digitale Vermögenswerte.

Die Bedeutung von TraderTraitor liegt nicht nur im Wert der gestohlenen Vermögenswerte, sondern auch in der Fähigkeit der Gruppe, die menschlichen und organisatorischen Ebenen rund um Blockchain-Systeme anzugreifen.

Ein Muster bei großen Krypto-Raubzügen

Die Vorfälle bei Binance und Bybit sind Teil einer größeren Angriffserie, die TraderTraitor oder demselben nordkoreanisch unterstützten Netzwerk zugerechnet wird.

DMM Bitcoin: Etwa 308 Millionen US-Dollar

Im Mai 2024 erlitt die in Japan ansässige Kryptobörse DMM Bitcoin einen Verlust von etwa 308 Millionen US-Dollar, was zu diesem Zeitpunkt rund 4.502,9 BTC entsprach.

Ermittler führten den Vorfall auf eine Social-Engineering-Kampagne zurück, bei der ein Angreifer über LinkedIn eine gefälschte Bewerbung nutzte, um einen Mitarbeiter von Ginco ins Visier zu nehmen – einem Unternehmen, das im Bereich Wallet-Software tätig ist. Der Mitarbeiter soll dazu gebracht worden sein, schädlichen Code auszuführen. Dadurch erhielten die Angreifer die Möglichkeit, in die Betriebsumgebung des Unternehmens einzugreifen.

Der Fall verdeutlichte eine zentrale Erkenntnis der IT-Sicherheit: Ein Angreifer muss nicht zwangsläufig die Blockchain selbst kompromittieren. Es kann ausreichen, Zugriff auf einen Entwickler, Administrator oder einen Transaktionsfreigabeprozess zu erlangen, um eine verheerende Überweisung zu autorisieren.

Bybit: Etwa 1,5 Milliarden US-Dollar

Der Angriff auf Bybit im Februar 2025 wurde mit einem geschätzten Schaden von rund 1,5 Milliarden US-Dollar zeitweise zum größten bekannten Kryptodiebstahl.

Das FBI schrieb den Vorfall öffentlich TraderTraitor zu. Der Angriff lenkte außerdem die Aufmerksamkeit auf die Risiken von Transaktionsfreigabesystemen, Multisignatur-Strukturen und Benutzeroberflächen zur Prüfung komplexer Überweisungen digitaler Vermögenswerte.

Ein Multisignatur-Wallet kann das Risiko eines einzelnen kompromittierten Schlüssels verringern, stellt jedoch keine vollständige Lösung dar. Werden mehrere Unterzeichner getäuscht, zeigt die Signaturoberfläche irreführende Informationen an oder kompromittiert ein Angreifer die umgebende Infrastruktur, kann auch ein Multisignatur-Prozess ausgenutzt werden.

KelpDAO: Etwa 292 Millionen US-Dollar

Im April 2026 erlitt KelpDAO Berichten zufolge einen Verlust von etwa 292 Millionen US-Dollar.

Sicherheitsforscher stellten mehrere Merkmale fest, die mit früheren Aktivitäten von TraderTraitor übereinzustimmen schienen. Dazu gehörten kleine anfängliche Überweisungen im Zusammenhang mit Tornado Cash, die Vorbereitung von signaturbezogenen Transaktionen sowie sorgfältig inszenierte Geldbewegungen vor dem eigentlichen Exploit.

Die Zuordnung solcher Fälle erfolgt häufig nicht sofort und mit absoluter Gewissheit, sondern auf Grundlage von Wahrscheinlichkeiten. Analysten vergleichen das Transaktionsverhalten, die erneute Nutzung bestimmter Infrastrukturen, Wallet-Beziehungen, Malware-Muster und den zeitlichen Ablauf der Überweisungen, bevor sie zu einem Ergebnis kommen.

Bitget: Gemeldete Verluste von 350 bis 387 Millionen US-Dollar

Ein Vorfall bei Bitget im September 2026 wurde von verschiedenen Quellen auf 350 bis 387 Millionen US-Dollar geschätzt.

Analysten sollen Verbindungen zwischen den gestohlenen Geldern und Wallets identifiziert haben, die zuvor mit Aktivitäten im Umfeld von TraderTraitor in Verbindung gebracht worden waren. Zu den vermuteten Überschneidungen gehörten gemeinsame Wege zur Geldwäsche, ähnliche Muster bei der Aufteilung der Gelder sowie Vermögenswerte, die später mit Geldern aus anderen großen Diebstählen vermischt wurden.

Wenn mehrere Diebstähle dieselben Konvertierungsdienste, Bridges oder Zwischenadressen nutzen, können Blockchain-Ermittler mitunter ein größeres operatives Netzwerk erkennen. Die Bewegung von Geldern über eine gemeinsame Infrastruktur beweist jedoch nicht automatisch, dass alle Vorfälle von denselben Personen durchgeführt wurden. Für eine abschließende Zuordnung müssen On-Chain-Beweise mit Informationen aus der realen Welt kombiniert werden.

Binance: Mehr als 6 Milliarden US-Dollar

Der Diebstahl bei Binance soll sich im Oktober 2026 ereignet haben und Verluste von mehr als 6 Milliarden US-Dollar verursacht haben. Durch die Zuordnung des FBI zu TraderTraitor steht die Gruppe nun im Zentrum des größten Kryptoraubs der Geschichte.

Das Ausmaß des Vorfalls ist aus zwei Gründen bemerkenswert. Erstens zeigt es, dass die finanziellen Folgen eines einzigen Sicherheitsvorfalls inzwischen die Größenordnung großer traditioneller Finanzverbrechen erreichen können. Zweitens deutet es darauf hin, dass sich die Methoden der Gruppe von opportunistischem Phishing hin zu langfristigen Kampagnen gegen komplexe Ökosysteme für digitale Vermögenswerte entwickelt haben.

Warum die Fälle Binance und Bybit von Bedeutung sind

Die Verbindung zwischen den beiden größten Diebstählen von Kryptowährungen verändert die Art und Weise, wie die Branche die Sicherheit von Kryptobörsen bewerten sollte.

1. Die Blockchain ist möglicherweise nicht der wichtigste Schwachpunkt

Bei vielen Vorfällen großen Ausmaßes funktioniert das zugrunde liegende Blockchain-Protokoll weiterhin wie vorgesehen. Das Problem entsteht an den Schnittstellen, an denen Menschen und Anwendungen mit der Blockchain interagieren:

• Verwahrungssysteme von Kryptobörsen
• Entwicklungsumgebungen
• Signaturgeräte
• Dashboards zur Transaktionsfreigabe
• Cloud-Infrastrukturen
• Kommunikationskanäle von Mitarbeitern
• Wallet-Software von Drittanbietern
• API-Schlüssel und Zugangsdaten

Deshalb muss Blockchain-Sicherheit als ganzheitliche Disziplin betrachtet werden und nicht nur als Frage des Smart-Contract-Codes.

2. Social Engineering bleibt äußerst wirksam

Gefälschte Jobangebote, Investitionsmöglichkeiten, Partnerschaftsanfragen und technische Dokumente sind nach wie vor wirkungsvolle Angriffsvektoren.

Mitarbeiter von Blockchain-Unternehmen erhalten häufig eine große Zahl unaufgeforderter Nachrichten. Eine schädliche Datei oder Anwendung kann seriös wirken, insbesondere wenn sie in ein realistisches Bewerbungsgespräch oder eine glaubwürdige Geschäftsanbahnung eingebettet ist.

Organisationen sollten daher davon ausgehen, dass auch technisch erfahrene Mitarbeiter zu Zielpersonen werden können. Sicherheitsschulungen müssen nicht nur Passwörter und Phishing-Links abdecken, sondern auch Code-Repositories, Fernzugriffstools, Wallet-Software, Browser-Erweiterungen und Signaturprozesse.

3. Transaktionen müssen für Menschen verständlich prüfbar sein

Eine Transaktion kann auf den ersten Blick legitim wirken und dennoch gefährliche Details enthalten. Angreifer können Token-Genehmigungen, Vertragsinteraktionen, Zieladressen oder Transaktionsparameter manipulieren.

Sicherheitsteams sollten unabhängige Verifizierungskanäle nutzen und von den Unterzeichnern verlangen, Folgendes zu bestätigen:

• Die genaue Zieladresse
• Den zu übertragenden Vermögenswert und Betrag
• Die zu erteilenden Vertragsberechtigungen
• Die Kennungen des Netzwerks und der Blockchain
• Den Zweck der Transaktion
• Ob die Transaktion mit einer genehmigten internen Anforderung übereinstimmt

Eine Transaktion blind zu genehmigen, nur weil sie in einer vertrauten Benutzeroberfläche angezeigt wird, gehört zu den gefährlichsten Gewohnheiten im Umgang mit digitalen Vermögenswerten.

4. On-Chain-Tracking ist leistungsfähig, aber nicht sofort wirksam

Öffentliche Ledger ermöglichen es Ermittlern, gestohlene Vermögenswerte nachzuverfolgen – etwas, das bei herkömmlichem Bargeld oft unmöglich ist. Die Rückverfolgung garantiert jedoch nicht, dass die Gelder auch zurückgewonnen werden können.

Angreifer können Folgendes nutzen:

• Cross-Chain-Bridges
• Dezentrale Börsen
• Token-Swaps
• Zahlreiche Zwischen-Wallets
• Datenschutzorientierte Dienste
• Over-the-Counter-Broker
• Inaktive Wallets, die erst nach langen Verzögerungen aktiviert werden

Dadurch entsteht ein andauernder Wettlauf zwischen Ermittlern und Kriminellen. Börsen, Verwahrer, Analyseunternehmen und Strafverfolgungsbehörden müssen Informationen schnell austauschen, denn die ersten Stunden nach einem Vorfall können entscheidend sein.

Was Nutzer und Organisationen jetzt tun können

Die Fälle rund um TraderTraitor liefern sowohl einzelnen Nutzern als auch professionellen Kryptoteams konkrete Lehren.

Langfristige Bestände von aktiv gehandelten Geldern trennen

Vermögenswerte, die nicht für den täglichen Handel benötigt werden, sollten nicht dauerhaft mit Börsenkonten oder internetzugänglichen Anwendungen verbunden sein. Ein modular aufgebautes Verwahrungsmodell kann den Umfang der gefährdeten Vermögenswerte begrenzen, wenn ein Handelskonto, ein API-Schlüssel oder ein Arbeitsplatzrechner kompromittiert wird.

Hardwarebasierte Transaktionsfreigaben nutzen

Eine Hardware-Wallet kann private Schlüssel von herkömmlichen Computern isolieren und die Anfälligkeit gegenüber Schadsoftware verringern. Das Gerät ersetzt jedoch keine sorgfältige Transaktionsprüfung. Nutzer müssen vor der Freigabe einer Überweisung weiterhin Adresse, Netzwerk, Betrag und Vertragsinteraktion kontrollieren.

Unabhängige Backups der Seed-Phrase anlegen

Die Wiederherstellungsphrase einer Wallet sollte offline erzeugt und aufbewahrt werden. Sie darf niemals auf einer Website, in einer Messaging-Anwendung, einem Cloud-Dokument oder unbekannter Software eingegeben werden.

Nutzer sollten außerdem darauf verzichten, die Wiederherstellungsphrase zu fotografieren oder digital zu kopieren. Physische Backups müssen vor unbefugtem Zugriff, Feuer, Wasser und versehentlichem Verlust geschützt werden.

Unaufgeforderte Anfragen zu Bewerbungen als Sicherheitsvorfall behandeln

Für Menschen, die im Web3-Bereich arbeiten, kann ein Jobangebot oder eine Partnerschaftsanfrage ein Angriffsversuch sein. Dateien, Repositories, Videokonferenzanwendungen, Browser-Erweiterungen und Wallet-Tools sollten vor der Installation oder Ausführung über einen separaten Kommunikationskanal überprüft werden.

Zusätzliche operative Kontrollen für Treasury-Teams einführen

Organisationen, die bedeutende digitale Vermögenswerte verwalten, sollten Folgendes in Betracht ziehen:

• Mehrere unabhängige Freigabestufen
• Allowlists für Adressen und Verzögerungen bei Auszahlungen
• Transaktionssimulationen vor der Signatur
• Getrennte Geräte für Signaturen und Kommunikation
• Strikte rollenbasierte Zugriffskontrollen
• Notfallverfahren zum Pausieren von Transaktionen
• Kontinuierliche Überwachung der Wallet-Aktivitäten
• Regelmäßige Überprüfung von Integrationen mit Drittanbietern
• Übungen zur Reaktion auf Sicherheitsvorfälle

Keine einzelne Maßnahme reicht gegen einen gut finanzierten Angreifer aus. Der stärkste Schutz entsteht durch die Kombination aus technischer Isolation, konsequenter Prozessdisziplin und schneller Erkennung.

Was das für die Zukunft der Kryptosicherheit bedeutet

Die jüngsten Vorfälle bestätigen einen grundlegenden Wandel in der Bedrohungslandschaft. Kryptowährungsdiebstahl beschränkt sich längst nicht mehr auf schlecht gesicherte persönliche Wallets oder leicht erkennbare Schwachstellen in Smart Contracts. Große kriminelle Gruppen nehmen zunehmend die Infrastruktur ins Visier, die Menschen, Anwendungen, Börsen und Blockchains miteinander verbindet.

Die wichtigsten Verbesserungen im Bereich der Sicherheit dürften sich aus folgenden Maßnahmen ergeben:

• Bessere Benutzeroberflächen für Signaturvorgänge
• Verständlichere Transaktionssimulationen
• Stärkere Geräteisolierung
• Verbesserte Sicherheitsschulungen für Mitarbeiter
• Schnellere Zusammenarbeit zwischen Börsen und Ermittlern
• Wirksamere Sanktionen und Verfahren zum Einfrieren von Vermögenswerten
• Automatisierte Erkennung verdächtiger Geldbewegungen
• Mehr Transparenz bei der Architektur von Verwahrungssystemen

Die zentrale Erkenntnis für die Branche ist eindeutig: Die Sicherheit privater Schlüssel ist notwendig, aber sie stellt nur einen Teil des Problems dar. Der Schutz digitaler Vermögenswerte erfordert auch die Absicherung der Geräte, Identitäten, Anwendungen, Freigabeprozesse und Kommunikationskanäle, die jede Transaktion umgeben.

Eine praktische Schutzebene für Privatanwender

Für Personen, die größere Beträge in Kryptowährungen halten, kann eine Hardware-Wallet eine wichtige Schutzebene bieten, indem sie Vorgänge mit privaten Schlüsseln von einem mit dem Internet verbundenen Computer trennt.

OneKey-Hardware-Wallets basieren auf der Offline-Isolierung von Schlüsseln und der Transaktionsfreigabe direkt auf dem Gerät. Dadurch kann das Risiko verringert werden, dass Schadsoftware auf einem Computer private Schlüssel unbemerkt ausliest. Nutzer sollten dennoch jede Transaktion sorgfältig prüfen und sichere Backup-Verfahren befolgen, denn eine hardwarebasierte Verwahrung schützt nicht vor dem Verlust von Geldern, wenn eine Wiederherstellungsphrase offengelegt oder eine schädliche Transaktion genehmigt wird.

Die Fälle Binance und Bybit zeigen, warum Self-Custody als vollständiger Sicherheitsprozess verstanden werden sollte – nicht bloß als der Kauf eines Geräts. Eine sichere Schlüsselerzeugung, Offline-Backups, die Überprüfung von Adressen und disziplinierte Signiergewohnheiten spielen gleichermaßen eine wichtige Rolle beim Schutz vor immer ausgefeilteren Kampagnen zum Diebstahl von Kryptowährungen.