Pro-israelischer Hacker veröffentlicht Nobitex-Quellcode nach BTC- und XRP-Exploits

Ein pro-israelisches Hackerkollektiv hat sein Versprechen eingehalten, den vollständigen Quellcode von Nobitex, Irans größter Kryptobörse, zu veröffentlichen, nur einen Tag nachdem es einen hochkarätigen Blockchain-Exploit mit mehr als 100 Millionen US-Dollar an digitalen Assets orchestriert hatte. 

Die als Gonjeshke Darande bekannte Gruppe, auch bezeichnet als Predatory Sparrow, veröffentlichte am Donnerstag einen Beitrag auf der Social-Media-Plattform X, der die Freigabe interner Daten von Nobitex bestätigte. 

“Die Zeit ist abgelaufen, der vollständige Quellcode ist unten verlinkt. DIE IN NOBITEX VERBLIEBENEN ASSETS SIND JETZT VOLLSTÄNDIG OFFEN LEGT,” hieß es in dem Beitrag.

Hacker veröffentlicht Blockchain-Skript nach $100-Millionen-Exploit

Der Leak, der in einem X-Thread veröffentlicht wurde, umfasste Komponenten der Infrastruktur der Plattform, wie Blockchain-Skripte, interne Datenschutzkonfigurationen und eine Liste von Servern. Cybersicherheitsexperten sagen, dass die Offenlegung die Back-End-Sicherheit von Nobitex effektiv lahmlegt und alle verbleibenden Assets auf der Börse anfällig für weitere Angriffe macht.

Die Zeit ist abgelaufen – der vollständige Quellcode ist unten verlinkt.

DIE IN NOBITEX VERBLIEBENEN ASSETS SIND JETZT VOLLSTÄNDIG OFFEN LEGT.
Ihre verbleibenden Vermögenswerte bei Nobitex sind nun öffentlich sichtbar und gefährdet.

Aber bevor wir dazu kommen, lassen Sie uns Nobitex von innen kennenlernen:

Einsatz auf der Börse (1/8) pic.twitter.com/jiMfBpNXwd

— Gonjeshke Darande (@GonjeshkeDarand) June 19, 2025

Die Veröffentlichung des Quellcodes folgt auf Drohungen, die einen Tag zuvor geäußert wurden, als die Gruppe die Verantwortung für einen koordinierten Angriff auf mehrere Blockchain-Netzwerke übernahm. 

Laut der Erklärung ergab sich die Motivation der Gruppe aus der angeblichen Rolle von Nobitex bei der Unterstützung der iranischen Regierung beim Umgehen internationaler Sanktionen. Sie bezeichneten die Börse als „das Lieblingsinstrument des Regimes Sanktionen zur Verletzung von Sanktionen.“

Predatory Sparrow hat in den letzten Tagen die Verantwortung für andere Cyberangriffe übernommen, darunter einen Angriff auf die staatliche iranische Bank Sepah. 

$100M an Krypto verbrannt, nicht gestohlen

Am Mittwoch berichteten Blockchain-Analysefirmen wie Chainalysis und Elliptic Ajna dass Krypto-Assets im Wert von etwa 100 Millionen US-Dollar, darunter Bitcoin, Ethereum, XRP, Dogecoin, Solana, Tron und Toncoin, bei dem Diebstahl betroffen waren. 

Andrew Fierman, Leiter der nationalen Sicherheitsaufklärung bei Chainalysis, erklärte, die gestohlenen Assets seien in Burner-Wallets gesendet worden, kryptografische Adressen, auf die die Angreifer keinen Zugriff haben. 

Analysten glauben, dass die Mittel nicht gestohlenen zum Profit gestohlen, sondern stattdessen zerstört wurden, um eine politische Botschaft zu senden. „Die Motivation für den Diebstahl der über 90 Millionen US-Dollar an Mitteln ist etwas anderes als finanzieller Gewinn,” erklärte Fierman und nannte die Tat symbolisch und zerstörerisch.

Elliptics Analyse unterstützt diese Interpretation ebenfalls und weist darauf hin, dass provokativ benannte Vanity-Wallets wie „1FuckiRGCTerroristsNoBiTEXXXaAovLX“ und „DFuckiRGCTerroristsNoBiTEXXXWLW65t“ verwendet wurden. Diese Adressen scheinen mit Brute-Force-Generatoren erstellt worden zu sein und verfügen über keine wiederherstellbaren privaten Schlüssel, was wahrscheinlich eine bewusste Bemühung war, die Mittel unrettbar zu machen.

Yehor Rudytsia, ein Sicherheitsforscher bei der Blockchain-Firma Hacken, sagte, die Wahl der bei dem Angriff verwendeten Wallet-Adressen sei eher „politisch“ als eine typische finanzielle Diebstahlaktion. 

“Die Wallet-Namen und das Verhalten deuten auf eine politische Aussage hin, anstatt auf einen finanziell motivierten Diebstahl,” sagte Rudytsia.

Er fügte hinzu, dass die meisten Assets, über 20 verschiedene Token auf EVM-kompatiblen Chains, an saubere Burner-Adressen gesendet wurden. „Die einzige Möglichkeit einer teilweisen Wiederherstellung liegt bei Tether, das die gestohlenen 55 Millionen US-Dollar an USDT neu ausstellen könnte,” erklärte er.

Nobitex reagierte am Donnerstag auf die Entwicklungen und sagte, dass nach dem Datenleck keine weiteren Verluste entstanden seien. Die Börse kündigte Pläne an, die Dienste innerhalb von fünf Tagen wiederherzustellen, obwohl anhaltende Internetunterbrechungen im Iran die Wiederherstellungsarbeiten verlangsamen könnten.

Börse mit iranischem Militär und militanten Gruppen verbunden

Der Hacker hat behauptet, Nobitex sei mit dem iranischen Islamischen Revolutionsgardekorps (IRGC) verbunden, einer militärischen Organisation, die von den Vereinigten Staaten, dem Vereinigten Königreich, der Europäischen Union und Kanada als terroristische Vereinigung eingestuft wird. 

Forschungen von Elliptic haben Nobitex zuvor mit Ransomware-Operativen in Verbindung gebracht, die wegen ihrer Verbindungen zum IRGC sanktioniert wurden, sowie mit Personen, die enge Verbindungen zum Obersten Führer Irans, Ayatollah Ali Khamenei, haben.

Blockchain-Daten zeigen auch transaktionale Aktivitäten zwischen Nobitex-Wallets und Konten, die mit Gruppen wie Hamas, Palästinensischer Islamischer Dschihad und der Huthi-Bewegung im Jemen verbunden sind.