Nordkoreas Lazarus-Gruppe führt einen Cyberkrieg gegen Krypto – und Entwickler sind das neue Ziel

Die Lazarus-Gruppe, Nordkoreas berüchtigtes Hacking-Team, hat in den letzten Monaten neue Cyberangriffe auf Kryptowährungen durchgeführt, wobei der Fokus zunehmend auf Entwicklern liegt. 

Sicherheitsforscher haben in den letzten Monaten entdeckt, dass die Gruppe bösartige npm-Pakete sabotiert, die Anmeldedaten stehlen, Krypto-Wallet-Daten extrahieren und eine persistente Hintertür in Entwicklungsumgebungen erstellen. Dies markiert eine massive Eskalation in ihrem jahrelangen Cyberkrieg, der bereits einige der größten Krypto-Raubzüge der Geschichte erlebt hat.

Laut einer neuen Untersuchung des Socket Research Team, hat ein Zweig der Lazarus-Gruppe das npm-Repository durchdrungen, eines der beliebtesten Paketmanager für JavaScript-Entwickler. 

Die Hacker nutzten dann Typosquatting-Techniken, um bösartige Versionen beliebter npm-Pakete zu veröffentlichen und ahnungslose Entwickler zum Herunterladen der Programme zu verleiten. Die Pakete umfassen is-buffer-validator, yoojae-validator, event-handle-package, array-empty-validator, react-event-dependency und auth-validator. 

Bei der Ausführung installieren die kompromittierten Pakete die BeaverTail-Malware. Dieses „fortgeschrittene“ Tool kann Anmeldeinformationen stehlen, in Browser-Dateien nach gespeicherten Passwörtern suchen und Dateien aus Krypto-Wallets wie Solana und Exodus extrahieren.

Sicherheitsforscher stellten fest, dass die gestohlenen Daten an den fest codierten Command-and-Control-Server (C2) gesendet wurden, eine gängige Vorgehensweise der Lazarus-Gruppe, um vertrauliche Daten an ihre Akteure weiterzuleiten. 

Sein Zweck ist es, kompromittierte Daten zu stehlen und zu übertragen, ohne entdeckt zu werden, und dies ist insbesondere in der Welt der Entwickler, die Finanz- und Blockchain-Anwendungen erstellen, besonders bedrohlich, sagt Kirill Boychenko, Threat-Intelligence-Analyst bei Socket Security.

Lazarus startete eine Offensive gegen Bybit und stahl fast 1,46 Milliarden US-Dollar

Zusätzlich zu diesen Supply-Chain-Angriffen wird die Lazarus-Gruppe auch mit einem der größten Krypto-Diebstähle in Verbindung gebracht. Der erste Angriff wird auf den 21. Februar 2025 datiert, als von der Gruppe verbundene Hacker Bybit, eine der weltweit größten Krypto-Börsen, überfielen und geschätzte 1,46 Milliarden US-Dollar an Krypto-Assets stahlen.

Der Angriff war extrem ausgefeilt und wurde angeblich von einem kompromittierten Gerät eines Mitarbeiters von Safe{Wallet}, einem Technologiepartner von Bybit, gestartet. Die Hacker nutzten eine Schwachstelle in der Infrastruktur von Bybits Ethereum-Wallet und änderten die Smart-Contract-Logik, um Gelder auf ihre Wallets umzuleiten.

Obwohl Bybit das Problem umgehend behandelte, enthüllte eine Erklärung des CEO Ben Zhou , dass 20 % des gestohlenen Geldes bereits über Mixing-Dienste gewaschen und nicht mehr nachverfolgbar waren.

Diese neueste Serie von Angriffen ist Teil von Nordkoreas breiterer Bemühungen, internationale Sanktionen gegen das Land zu umgehen, indem Kryptowährungen gestohlen und gewaschen werden.

Laut einem Bericht der Vereinten Nationen aus dem Jahr 2024 waren nordkoreanische Cyberkriminelle im vergangenen Jahr für über 35 % der globalen Krypto-Diebstähle verantwortlich und sammelten mehr als 1 Milliarde US-Dollar an gestohlenen Vermögenswerten. Die Lazarus-Gruppe ist nicht nur ein Cyberkriminalitäts-Syndikat, sondern auch eine geopolitische Bedrohung, da das gestohlene Geld Berichten zufolge direkt in die Atomwaffen- und Ballistischen-Raketenprogramme der Nation fließt.

Solche Angriffe der Lazarus-Gruppe haben sich im Laufe der Jahre weiterentwickelt, von direkten Börsenhacks über Supply-Chain-Angriffe bis hin zu Angriffen auf Entwickler und Software-Repositories.

Indem die Gruppe Hintertüren zu Open-Source-Plattformen wie npm, PyPI und GitHub hinzufügt, erweitert sie ihr potenzielles Angriffspektrum auf viele Systeme und eliminiert die Notwendigkeit, direkt in Krypto-Börsen einzubrechen.

Sicherheitsexperten fordern strengere Schutzmaßnahmen für Krypto-Entwickler 

Angesichts dieser wachsenden Risiken drängen Cyberspezialisten auf strengere Sicherheitsvorkehrungen für Entwickler und Krypto-Nutzer sowie auf Schutz vor Hackern. Eine solche bewährte Praxis ist die Überprüfung der Echtheit von npm-Paketen vor der Installation, da Typosquatting weiterhin eine der häufigsten Methoden ist, die Cyberkriminelle verwenden. 

Der Socket AI Scanner verfolgt auch Anomalien in Ihren Software-Abhängigkeiten oder npm-Audits, die Ihnen mitteilen, ob kompromittierte Pakete verwendet werden, und ermöglicht es Ihnen, diese aus Ihrer Anwendung zu entfernen, bevor sie echten Schaden anrichten können.

Der Leitfaden empfiehlt Nutzern und Entwicklern, die Initiative zu ergreifen, um sich zu schützen, indem sie die Multi-Faktor-Authentifizierung (MFA) für Börsen-Wallets, Entwicklerplattformen wie GitHub und andere Konten aktivieren. 

Netzwerküberwachung gilt nun als erste Verteidigungslinie, da das kompromittierte System normalerweise Nachrichten an einen externen Command-and-Control-Server (C2) sendet, der dann die bösartigen Updates auf dem infizierten Computer hochlädt. Das Blockieren illegitimen ausgehenden Verkehrs kann den Zugriff der Hacker auf diese gestohlenen Daten unterbrechen.

Bybit startet Recovery-Bounty, während der Kampf um Krypto-Sicherheit anheizt

Nach dem Bybit-Hack initiierte die Börse auch ein Recovery-Bounty-Programm, das jedem, der hilft, die gestohlenen Assets zu finden, Belohnungen gewährt. Das Programm sieht Belohnungen von bis zu 10 % des zurückgewonnenen Geldes vor.

Gleichzeitig beschäftigt sich das größere Krypto-Ökosystem damit, Sicherheitspraktiken zu verschärfen und Entwickler zu warnen, um sich vor denselben Praktiken zu schützen, die zu diesem bedrohlichen Pfad führen können.

Aber da sich die Taktiken der Lazarus-Gruppe immer schneller weiterentwickeln, sagen Netzwerkverteidiger, dass der Krieg gegen Krypto erst gerade begonnen hat.