TheMEXC › Artikel

Nordkorea Lazarus Group Krypto-Hacks: Zeitleiste 2026

Marcus Yeo · Aktualisiert 2026-09-29 · Unabhängiger Test — mit keiner Börse verbunden

Die Zeitleiste der Nordkorea-Lazarus-Group-Krypto-Börsen-Hacks 2026 beschreibt das chronologische Muster von Börsen-Breaches, die US-amerikanische und internationale Ermittler formell oder informell mit staatlich unterstützten nordkoreanischen Hacking-Einheiten in Verbindung bringen – allen voran der als Lazarus bekannten Gruppe, die auch unter verwandten Namen wie APT38 und TraderTraitor geführt wird. Nicht jeder große Börsen-Hack trägt diese Zuordnung. Einige der größten Verluste der Branche, darunter Mt. Gox und Coincheck, wurden von keiner glaubwürdigen Untersuchung jemals mit Nordkorea in Verbindung gebracht.

Aus meinen eigenen Erfahrungen im Perpetual-Futures-Handel auf gut zwei Dutzend Börsen seit 2019 sticht ein Muster unübersehbar heraus: Die Hacks, die eine formelle staatliche Zuordnung erhalten, zielen fast immer auf dasselbe Stück Infrastruktur – die Systeme, die Auszahlungen aus Cold Storage autorisieren und bewegen. Dieser Beitrag ist kein Ranking nach Dollarbeträgen (das gibt es bereits in unserem Ranking der größten Krypto-Börsen-Hacks). Es geht darum, welche Vorfälle tatsächlich eine Lazarus-Zuordnung tragen, von wem sie stammt und wie belastbar diese Zuordnung wirklich ist.

Was ist die Lazarus Group und warum zielt sie auf Börsen?

Lazarus Group ist der gängigste Name für einen Hacking-Apparat, den US- und UN-Berichte mit der Regierung Nordkoreas in Verbindung bringen. Das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums hat mehrfach Wallet-Adressen sanktioniert, die der Gruppe zugeschrieben werden, und das FBI hat in konkreten Ermittlungen zu Börsen-Hacks öffentlich Lazarus bzw. dessen Sub-Cluster TraderTraitor namentlich genannt. Das Motiv, das aus Berichten des UN-Expertengremiums durchgängig hervorgeht, ist simpel: Gestohlenes Krypto dient als Finanzierungsstrom – Berichten zufolge mit Bezug zu Waffenprogrammen –, der schwerer zu unterbinden ist als klassischer sanktionsumgehender Handel.

Börsen werden gezielt angegriffen, nicht wahllos einzelne Wallets, weil sich dort große gepoolte Guthaben und privilegierte Auszahlungsrechte an einem einzigen Punkt konzentrieren. Ein einziger kompromittierter Signer oder eine manipulierte Multisig-Freigabe kann weit mehr Wert bewegen, als das Phishing einzelner Retail-Wallets je könnte.

Die bestätigten Fälle: Ronin, DMM Bitcoin und Bybit

Drei Vorfälle in dieser Zeitleiste tragen eine formelle, namentlich benannte Regierungszuordnung – und nicht nur eine Vermutung von Forschern.

Der Ronin-Network-Bridge-Hack im März 2022 (nach damaligen Schätzungen von Blockchain-Analysten rund 625 Millionen US-Dollar) wurde innerhalb weniger Wochen vom FBI formell der Lazarus Group zugeordnet, kurz darauf sanktionierte OFAC die zugehörige Wallet-Adresse. Er bleibt bis heute eine der klarsten und schnellsten offiziellen Attributionen bei einem Krypto-Hack.

Der DMM-Bitcoin-Breach im Mai 2024, gemeinsam von japanischen Behörden und dem FBI untersucht, erhielt eine ähnlich formelle Zuordnung zu nordkoreanischen Akteuren unter dem Label TraderTraitor.

Der Cold-Wallet-Hack bei Bybit im Februar 2025 – laut dem oben verlinkten Ranking bis heute der größte einzelne Krypto-Börsen-Hack nach Dollarwert – wurde ebenfalls vom FBI nordkoreanischen, staatlich verbundenen Hackern zugeordnet. Bybits öffentliche Reaktion sowie die anschließenden rechtlichen Schritte gegen Nordkorea werden an anderer Stelle auf dieser Website ausführlich behandelt; für diese Zeitleiste zählt vor allem, dass die FBI-Zuordnung das gleiche formelle Gewicht trug wie bei Ronin.

KuCoin 2020: Forensik-gestützte Zuordnung, keine Regierungserklärung

Der KuCoin-Hack vom September 2020 (rund 281 Millionen US-Dollar zum damaligen Zeitpunkt, ein Großteil davon später durch koordiniertes Vorgehen der Börsen zurückgeholt oder eingefroren) fällt in eine etwas andere Kategorie. Blockchain-Forensikfirmen, namentlich Chainalysis und Elliptic, verfolgten die gestohlenen Gelder über Wallet-Cluster und Mixing-Muster, die zuvor bereits Lazarus-verbundenen Adressen zugeordnet worden waren – diese Analyse wird seither breit zitiert. Es handelt sich um einen starken Indizienfall auf Basis von Geldfluss-Tracing, nicht um eine direkte Regierungserklärung mit Nennung Nordkoreas – ein spürbar anderer Beweisstandard als bei Ronin oder Bybit. KuCoin selbst hat über die Bestätigung der Forscherergebnisse hinaus keine eigene formelle Attributionserklärung abgegeben.

Bitget 2026: Ein vermutetes Muster, noch ohne offizielle Bestätigung

Berichte zum Bitget-Vorfall 2026 verweisen auf Ähnlichkeiten zu früheren, Lazarus zugeordneten Breaches – etwa das Routing von Geldern über Mixing-Dienste und das gezielte Angreifen von Auszahlungsfreigabe-Prozessen. Das sollte klar als Vermutung benannt werden, nicht als Fakt: Stand jetzt hat keine Regierungsbehörde eine formelle Attribution mit Nennung Nordkoreas im Zusammenhang mit dem Bitget-Vorfall veröffentlicht. Sollte sich das ändern, muss dieser Zeitleisten-Eintrag aktualisiert werden. Wer Bitget als Plattform bewertet, sollte die eigenen Vorfall-Offenlegungen der Börse direkt prüfen, statt sich allein auf Mustervergleiche zu verlassen.

Welche Börsen-Hacks haben keine Nordkorea-Zuordnung?

Das ist der Teil, der in Muster-Artikeln gern übergangen wird, deshalb sage ich es hier direkt: Mehrere der größten Börsen-Hacks der Branche haben überhaupt keine Nordkorea-Zuordnung – weder bestätigt noch vermutet.

• Mt. Gox (2014) – wird überwiegend mit internem Missmanagement und frühem, schleichendem Diebstahl in Verbindung gebracht; keine staatliche Zuordnung aus irgendeiner Untersuchung.
• Coincheck (2018) – die Angreifer wurden von japanischen Behörden oder unabhängigen Forschern nie öffentlich als staatlich verbunden identifiziert.
• Bitfinex (2016) – die gestohlenen Gelder wurden letztlich zu einem in den USA lebenden Paar zurückverfolgt, das später verhaftet und angeklagt wurde; eine Nordkorea-Verbindung wurde in diesem Fall nirgends berichtet.

Diese Fälle allein aufgrund ihrer Größe mit Lazarus-zugeordneten Hacks in einen Topf zu werfen, ist schlampig – und genau die Art von Mustervergleich ohne Beweise, die es schwerer macht, die tatsächlich bestätigten Fälle ernst zu nehmen.

Attributionsstatus auf einen Blick

Was das Attributionsmuster für Trader und Börsen bedeutet

Legt man die bestätigten und die stark vermuteten Fälle nebeneinander, zeigt sich ein Muster, das nichts mit Börsengröße oder Region zu tun hat: In jedem einzelnen Fall wurden die Systeme kompromittiert, die Auszahlungen aus Cold oder Warm Storage genehmigen und bewegen – nicht die Frontend-Nutzerkonten. Das ist ein völlig anderes Bedrohungsmodell als Phishing oder SIM-Swapping, und genau deshalb betonen Sicherheits-Offenlegungen von Börsen zunehmend die Trennung von Multisig-Signern und hardwaregestützte Freigabeprozesse, statt sich mit einem pauschalen “wir nutzen Cold Storage” zufriedenzugeben.

Für Trader bedeutet das keine Panik gegenüber einer einzelnen Plattform, sondern Disziplin beim Guthaben. Nur so viel auf der Börse zu halten, wie für offene Positionen mit Hebel tatsächlich nötig ist, zu prüfen, ob eine Plattform Proof-of-Reserves veröffentlicht, und Vorfall-Offenlegungen statt Schlagzeilen zu lesen – das sind die unspektakulären Gewohnheiten, auf die es hier wirklich ankommt. Wer noch vergleicht, findet in unseren Rankings großer Börsen und im einzelnen Testbericht zu Bybit einen Überblick, wie jede Plattform Sicherheits-Offenlegung nach einem Vorfall gehandhabt hat, und in der vollständigen Rangliste der Hacks stehen die Dollarbeträge im Vergleich, die dieser Beitrag bewusst ausgespart hat.

Marcus Yeo — Trades perpetual futures full-time and has opened, funded and stress-tested accounts on more than 20 exchanges since 2019. Runs every withdrawal test himself.

Alle Plattformen im Börsen-Ranking 2026.