Lazarus-Gruppe schlägt erneut zu bei $3.2M Solana-Heist

Krypto-Ermittler geben Alarm, nachdem am 16. Mai 2025 3,2 Millionen US-Dollar aus mehreren Solana-Wallets abgezogen wurden, was ihrer Aussage nach die Merkmale der nordkoreanisch verbundenen Lazarus-Gruppe aufweist. Die gestohlenen Vermögenswerte wurden schnell on-Chain verkauft und über eine Bridge nach Ethereum übertragen, bevor ein Teil davon über Tornado Cash gewaschen wurde..

Am 16. Mai wurden die Solana-Adressen des Opfers von Token geleert, und die Vermögenswerte wurden anschließend über eine Bridge in Ethereum umgewandelt, bevor ein Teil davon in Tornado Cash eingezahlt wurde.

Blockchain-Forscher ZachXBT hat den Exploit öffentlich gekennzeichnet und Parallelen zu früheren Aktivitäten der Lazarus-Gruppe gezogen.

Hacker überführten die gestohlenen Gelder

Blockchain-Ermittler gaben zuerst den Alarm, nachdem sie große Überweisungen von der Adresse „C4WY…e525“ auf Solana beobachtet hatten.

Diese Transaktionen, die mit der berüchtigten Lazarus-Gruppe in Verbindung stehen, beinhalteten die Bewegung der gestohlenen Token durch eine Bridge und deren Umwandlung in Ethereum. ZachXBT markierte den Angriff, indem er die Aktivität der Bridge überwachte und Gelder zurückverfolgte, die schließlich in einem Netzwerk von Wallets auf Ethereum endeten.

Am 25. und erneut am 27. Juni wurden 400 ETH in zwei separaten Einzahlungen an Tornado Cash gesendet. Diese 800-ETH-Transaktionen, die insgesamt etwa 1,6 Millionen US-Dollar ausmachen, stimmen mit den gut dokumentierten Wäschetaktiken der Lazarus-Gruppe überein.

Nach hochkarätigen Hacks wie dem von Bybit, bei dem im Februar 2025 1,5 Milliarden US-Dollar gestohlen wurden, und dem Diebstahl von 100 Millionen US-Dollar von Harmonys Horizon-Bridge im Jahr 2022 sowie anderen bemerkenswerten Hacks hat Lazarus wiederholt Tornado Cash sowie dezentrale Börsen und Cross-Chain-Bridges verwendet, um Gelder zu waschen, indem die Transaktionsverläufe verschleiert wurden.

Ungefähr 1,25 Millionen US-Dollar befinden sich noch in einer Wallet-Adresse, die als „0xa5…d528“ auf Ethereum identifiziert wurde, gehalten in einer Kombination aus DAI und ETH. Analysten spekulieren, dass diese Gelder entweder für zukünftige Wäschen bereitgehalten werden oder absichtlich inaktiv sind, um das Entdeckungsrisiko zu minimieren.

Die Lazarus-Gruppe ist seit 2017 aktiv

Die Lazarus-Gruppe hat sich den Ruf erworben, die produktivste staatlich verbundene Cyberkriminalitätsorganisation zu sein, wobei nordkoreanische Sanktionen sie als Advanced Persistent Threat (fortgeschrittene anhaltende Bedrohung) in Verbindung mit Pyongyangs Elitemilitärnachrichtendiensten ausweisen. Im Laufe der Jahre haben sie seit 2017 Milliarden an Krypto gestohlen.

Ihre Modus Operandi beginnt oft mit Phishing oder Malware-basierter Infiltration von Schlüsselpersonal, wobei Schwachstellen in Smart Contracts oder Wallets ausgenutzt werden. Sobald Gelder erlangt wurden, werden sie schnell in liquide Vermögenswerte umgewandelt, auf mehrere Wallets aufgeteilt und über Ketten hinweg mit Mixern wie Tornado Cash und Diensten gewaschen, die sofortige Swaps ohne Know Your Customer (KYC)-Anforderungen bieten.

Tornado Cash bleibt zentral für Lazarus’s Wäschestrategie. Obwohl US-Sanktionen im Jahr 2022 verhängt wurden, haben dezentrales Hosting und Unveränderbarkeit es dem Dienst ermöglicht, eine dauerhafte Abschaltung zu umgehen. Im Januar 2025 hob ein US-Berufungsgericht diese Sanktionen auf und verwies dabei auf die Meinungsfreiheit, trotz wachsender Beweise, die Lazarus mit der fortgesetzten Nutzung des Mixers in Verbindung bringen.

Aufseher und Börsen könnten nun Schritte unternehmen, um die markierten Adressen als verdächtig zu kennzeichnen. Angesichts der Geschwindigkeit und Komplexität von Lazarus’s Wäsche-Pipeline erweisen sich Mixing-Dienste jedoch weiterhin als ausreichend, um die Bewegung ihrer gestohlenen Gelder zu verschleiern.