Nordkoreanische Hacker stahlen per gefälschten Videoanrufen 400 Mio. Dollar in Krypto, sagt das FBI

So funktioniert der Betrug

Das FBI nennt die Operation FaceStealer. Die Hacker verschicken Meeting-Einladungen über Social-Media- und Messaging-Konten, die sie zuvor früheren Opfern abgenommen haben, und locken Ziele dann in Gespräche, die auf gefälschten Versionen von Zoom, Microsoft Teams und Google Meet stattfinden. Sobald ein Ziel beitritt, spielen die Hacker vorab aufgezeichnetes Webcam-Material früherer Opfer ab, die das Ziel kennt, sodass der Anruf echt wirkt – während die eigene Webcam des Ziels heimlich aufgezeichnet wird. Es folgt eine inszenierte technische Störung, und das Ziel wird gebeten, auf einen Link zu klicken, um sie zu „beheben“, was Schadsoftware installiert, teilte das Justizministerium mit. In einigen Fällen warteten die Hacker Monate oder mehr als ein Jahr, bevor sie Gelder abzogen. Der über kompromittierte Geräte erlangte Zugriff legt dann Kontaktlisten und Apps offen, die die nächste Runde von Zielen liefern.

Die meisten Ziele arbeiten im Krypto-Bereich und anderen internetnahen Feldern. Das FBI erklärt, die Hacker hätten zunehmend Open-Source-Softwareentwickler und -Maintainer ins Visier genommen, deren Geräte- und Software-Repository-Konten genutzt werden könnten, um Software-Lieferketten zu kompromittieren. Die Behörde erklärt zudem, die Gruppe habe begonnen, künstliche Intelligenz einzusetzen, um Deepfakes bekannter Persönlichkeiten aus Krypto und Blockchain zu erstellen, was die Identitätstäuschung überzeugender mache. Brett Leatherman, stellvertretender Direktor der Cyber-Abteilung des FBI, beschrieb das Vorgehen als eine Mischung aus Werkzeugen.

„Nordkoreanische Hacker kombinieren zunehmend Cyber-Eindringen, Social Engineering und neue Technologien wie Deepfakes, um ihre Identitätstäuschung überzeugender und skalierbarer zu machen.“

Sicherstellungen und die Binance-Verbindung

Die Behörden erklären, sie hätten die von den Hackern genutzte Cloud-Infrastruktur zerschlagen und im Rahmen eines Bundesdurchsuchungsbefehls mehr als 900 Webcam-Videos von Opfern sichergestellt. Patrick Grandy, Leiter des FBI-Außenbüros in Los Angeles, warnte, jeder könne in die Falle dieses Betrugs geraten.

„Wenn Sie sich kein Szenario vorstellen können, in dem Sie darauf hereinfallen könnten, denken Sie nicht kreativ genug.“

Separat hat sich das Justizministerium nach Angaben von Bloomberg den beiden größten Stablecoin-Emittenten angeschlossen, um fast die Hälfte des beim Binance-Hack erbeuteten Geldes zu sichern. Das Ministerium erhielt eine gerichtliche Genehmigung, 1,2 Milliarden Dollar zu beschlagnahmen oder zu sperren, während US-Behörden und private Firmen insgesamt mehr als 2,7 Milliarden Dollar eingefroren haben. Am 12. November berichtete Bloomberg, Binance habe erklärt, alle 6,3 Milliarden Dollar an Krypto-Vermögenswerten abgedeckt zu haben, die Kunden bei dem Vorfall vom 29. Oktober entzogen wurden.

Gestohlen (AP-Angabe)6,3

Von US-Behörden und privaten Firmen eingefroren2,7

Gerichtlich genehmigte Beschlagnahme oder Sperrung1,2

Gestohlen (AP-Angabe)

6.3 Mrd. USD

Von US-Behörden und privaten Firmen eingefroren

2.7 Mrd. USD

Gerichtlich genehmigte Beschlagnahme oder Sperrung

1.2 Mrd. USD

Daten aus dem Artikeltext

Zuschreibung und Reaktion Pjöngjangs

Das FBI verbindet FaceStealer mit Sapphire Sleet, das es als Ableger der Lazarus-Gruppe beschreibt und das auch als UNC1069, Stardust Chollima, APT38 und BlueNoroff bekannt ist. Der Binance-Diebstahl ist eine separate Angelegenheit: Das FBI schreibt ihn einer Gruppe namens TraderTraitor zu, die nach seinen Angaben am oder um den 29. Oktober mehr als 6 Milliarden Dollar erbeutete. Die Deutsche Welle berichtet, der Binance-Diebstahl werde nordkoreanischen Militärhackern zugeschrieben, die von dem Sapphire-Sleet-Cluster zu unterscheiden seien. Die AP nannte ihn den größten Krypto-Raub aller Zeiten.

Pjöngjang hat die US-Vorwürfe bestritten. Kim Yo Jong, Schwester von Kim Jong-un, wies die Behauptungen Berichten zufolge als absurde Rhetorik zurück, die Nordkorea als Cyberkriminalitätsstaat darstellen solle, und nannte sie eine ernste politische Provokation gegen ihr Land.

Wie es weitergeht

Das FBI erklärt, es werde nordkoreanische Hackeraktivitäten weiter aufdecken und stören und die Kosten dieser Operationen erhöhen. Die Behörde argumentiert, das Regime sei auf Kryptodiebstahl angewiesen, um seine Waffenprogramme zu finanzieren. Bei eingefrorenen Geldern reichen die Behörden üblicherweise eine Einziehungsforderung bei Gericht ein, und ein Richter entscheidet dann, wer einen rechtmäßigen Anspruch auf das wiedererlangte Geld hat.