Lazarus-Gruppe wieder aktiv – neues Opfer bei $3,1-Mio.-Tron-Hack vermutet

ZachXBT, der beliebte Krypto-Ermittler, berichtete, dass ein Opfer auf Tron gehackt wurde, was zu einem Verlust von etwa 3,19 Mio. USDT führte. Das gestohlene USDT wurde auf Ethereum übertragen, bevor das ETH auf 10 Adressen aufgeteilt und in Tornado Cash eingezahlt wurde. ZachXBT führt diesen Hack auf die berüchtigte nordkoreanische Lazarus-Gruppe zurück.

Onchain Lens gab das Team dass ZachXBT einen weiteren bösartigen Angriff eines Hackers aufgedeckt hatte, der zum Verlust von etwa 3,19 Mio. USDT bei einem unbekannten Opfer führte. Laut TronScan wurde das USDT auf die Ethereum-Blockchain übertragen, wo es in ETH getauscht und dann auf 10 Adressen aufgeteilt wurde, bevor es in Tornado Cash eingezahlt wurde (96 x 10 ETH, 4 x 100 ETH, 78 x 1 ETH, 5 x 0,1 ETH). 

ZachXBT wies darauf hin, dass der Hacker eine Diebesadresse aus dem Hack von Michael Kong (CEO von Fantom/Sonic) im Oktober 2023 wiederverwendete, die in einem im März 2024 von der UN veröffentlichten Bericht bereits der Lazarus-Gruppe im Rahmen einer „Spear-Phishing-Kampagne“ zugeschrieben worden war.

Am 22. Februar enthüllte ZachXBT auch, dass die Lazarus-Gruppe den Bybit-Hack direkt on-chain mit dem Phemex-Hack verbunden hatte, indem sie die Mittel aus der ursprünglichen Diebesadresse für beide Vorfälle „vermischte“. 

Lazarus-Gruppe fügt unbekannten Opfer der langen Liste der Krypto-Diebstähle hinzu

Zach (@zachxbt) berichtete, dass ein Benutzer auf Tron von der Lazarus-Gruppe um etwa 3,2 Mio. $USDT betrogen wurde.

Die gestohlenen Mittel wurden von #Tron auf #Ethereum übertragen. Das $ETH wurde dann auf 10 Adressen aufgeteilt und wie folgt in Tornado Cash eingezahlt: 96 x 10 ETH, 4 x 100 ETH,… pic.twitter.com/JRQ03rtflA

— Onchain Lens (@OnchainLens) März 1, 2025

Laut ZachXBT wird vermutet, dass die Lazarus-Gruppe erneut zugeschlagen hat, diesmal mit einem unbekannten Opfer auf Tron, von dem sie über 3,19 Mio. USDT stahl. Die Beute wurde dann schnell auf die Ethereum-Chain übertragen, in ETH getauscht und auf zehn Adressen aufgeteilt, bevor sie in Tornado Cash eingezahlt wurde. Daten von TronScan zeigten, dass der/die Hacker(s) zwei Adressen, TYQ3455gFNeqyw und 0xcced1276382f4d, nutzte/n, um 3.199.779 USDT von einem Opfer mit der Adresse TDNaLds1A1g6vYRU abzuzweigen.

Der bösartige Angriff, der der nordkoreanischen Hackergruppe mit vermuteten staatlichen Verbindungen zugeschrieben wird, erfolgte nach einem kürzlichen Raubzug, bei dem die Gruppe angeblich über 1 Milliarde Dollar von der Börse Bybit stahl. Bybit war das Opfer eines rekordverdächtigen Ethereum-Hacks in Höhe von etwa 1,5 Milliarden Dollar. Nordkoreas Lazarus-Gruppe war der Hauptverdächtige bei einem ausgeklügelten Angriff, bei dem die Hacker in die Cold Wallet von Bybit eindrangen und über 400.000 ETH stahlen. 

Die Forschung von Elliptic behauptet, dass die Bybit-Raub wohl der größte Krypto-Diebstahl in der Geschichte ist. Es wird vermutet, dass die Lazarus-Gruppe seit 2017 Krypto-Assets im Wert von über 6 Milliarden Dollar gestohlen hat. Die Erlöse wurden angeblich für Nordkoreas Ballistikraketensprogramm ausgegeben.

Elliptic folgt den Mustern der Lazarus-Gruppe 

Laut der Forschung von Elliptic folgte die Lazarus-Gruppe einem charakteristischen Muster, um gestohlene Krypto-Token zu waschen. Der erste Schritt bestand darin, alle gestohlenen Token in eine „native“ Blockchain-Asset wie Ether zu tauschen. Berichten zufolge entschied sich die Gruppe für diese Methode, weil Token Emittenten haben, die in einigen Fällen Wallets mit gestohlenen Assets „einfrieren“ können, aber keine zentrale Partei kann Ether oder Bitcoin einfrieren. 

Genau das geschah in den Minuten nach dem Diebstahl bei Bybit und dem neuesten Hack auf Tron, der ein unbekanntes Opfer betraf. Hunderte Millionen Dollar an gestohlenen Token wurden in ETH getauscht. Sie nutzten dezentrale Börsen (DEXs), um jegliche Einfrierungen von Assets zu vermeiden, die auftreten könnten, wenn sie zentrale Börsen (CEXs) nutzen, um gestohlene Mittel zu waschen. 

Laut dem Bericht von Elliptic bestand der zweite Schritt des Wäscheprozesses darin, die Transaktionskette durch „Layering“ der gestohlenen Mittel zu verschleiern. Diese Layering-Taktiken können den Rückverfolgungsprozess erschweren und den Wäschern wertvolle Zeit verschaffen, um die Assets auszuzahlen. Der Layering-Prozess umfasst das Senden von Mitteln durch eine große Anzahl von Krypto-Wallets und das Verschieben von Mitteln auf andere Blockchains unter Verwendung von Cross-Chain-Bridges oder Börsen. Dazu gehören auch andere Taktiken wie das Wechseln zwischen verschiedenen Krypto-Assets über DEXs, Coin-Swap-Dienste oder Börsen sowie die Nutzung von „Mixern“ wie Tornado Cash oder Cryptomixer. eXch hat sich ebenfalls als großer und williger Vermittler dieses Wäscheprozesses herauskristallisiert.