Nordkorea kassierte 2026 zwei Drittel aller Krypto-Hack-Verluste

Die effektivste staatlich gestützte Hackergruppe der Welt bleibt Nordkorea – die diesjährigen Zahlen belegen es erneut.

Was ist passiert

Ein Bericht der in San Francisco ansässigen Blockchain-Analysefirma TRM Labs zeigt: Von den weltweit rund 1,1 Milliarden Dollar, die im ersten Halbjahr 2026 durch Krypto-Hacks gestohlen wurden, entfielen 643 Millionen Dollar auf nordkoreanisch verknüpfte Hacker – ein Anteil von 55 bis 66%, je nach Berechnung; beschränkt auf die ersten vier Monate steigt der Anteil sogar auf 76%.

• Am 1. April wurden 285 Millionen Dollar von Drift abgezogen, einer auf Solana basierenden dezentralen Terminbörse.
• Später im selben Monat wurden weitere 292 Millionen Dollar von KelpDAO gestohlen, einem Ethereum-basierten Kreditprotokoll.
• Allein diese beiden Angriffe machen rund 90% der nordkoreanischen Beute von 643 Millionen Dollar aus – wenige große, präzise Schläge statt vieler kleiner.
• Über alle Krypto-Hacks hinweg stammten 789 Millionen Dollar – 74% der Gesamtverluste – aus gestohlenen privaten Schlüsseln statt aus Code-Schwachstellen; Angreifer zielen zunehmend auf Schlüsselverwaltung und Mitarbeiter mittels Social Engineering.

Die Angriffe werden Lazarus zugeschrieben, der Hackergruppe, die dem nordkoreanischen Aufklärungsgeneralbüro zugeordnet wird, sowie deren Untereinheit TraderTraitor. Nordkorea bestreitet die Zuordnung von TRM Labs öffentlich.

Warum dieses Geld wichtig ist – der Hintergrund

TRM Labs und das US-Finanzministerium gehen übereinstimmend davon aus, dass ein erheblicher Teil der gestohlenen Kryptowerte in Nordkoreas Atom- und Raketenprogramme fließt. Da internationale Sanktionen reguläre Devisenkanäle blockieren, ist Krypto-Diebstahl faktisch zu einem Umgehungsweg geworden. Im vergangenen Jahr sanktionierte das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums Personen und Firmen, die mit Nordkoreas Cyber-Geldwäschenetzwerk verbunden sind – demnach wurden über 3 Milliarden Dollar über Hacks und im Ausland eingesetzte IT-Arbeitskräfte gewaschen.

Die Entwicklung zeigt ein klares Muster: Laut TRM Labs hat Nordkorea seit 2016 kumuliert 6,75 Milliarden Dollar an digitalen Vermögenswerten erbeutet. Bis zum dritten Quartal 2023 lag sein Anteil an den weltweiten Krypto-Hack-Verlusten bei 29,7% (340,4 Millionen Dollar); 2025 wuchs er auf rund 60% eines weltweiten Gesamtvolumens von 2,06 Milliarden Dollar – angetrieben vor allem durch den rund 1,5-Milliarden-Dollar-Diebstahl bei der Börse Bybit im Februar 2025, bis heute der größte einzelne Krypto-Hack überhaupt.

Auch Südkorea hat direkte Erfahrung damit. Die größte Börse des Landes, Upbit, verlor 2019 Ethereum im Wert von 58 Milliarden Won an Lazarus und wurde am 27. November 2025 erneut angegriffen: 24 Arten von Kryptowerten im Wert von 44,5 Milliarden Won – darunter Solana – wurden auf 165 externe Adressen verschoben. Behörden und Sicherheitsforscher sahen beide Male Lazarus als Urheber.

Die Zahlen

Betrachtet man nur die Summe für das erste Halbjahr 2026, ist sie gegenüber dem Vorjahr tatsächlich gesunken.

Ein Großteil des Rückgangs geht darauf zurück, dass es kein einzelnes Großereignis wie den 1,5-Milliarden-Dollar-Hack bei Bybit 2025 gab – nicht darauf, dass es insgesamt weniger Angriffe gab. Der Anteil Nordkoreas am weltweiten Gesamtvolumen bleibt dagegen dominant.

Der Streitpunkt: Schwindet die Bedrohung oder wird sie präziser?

TRM Labs und andere Sicherheitsforscher warnen davor, den Rückgang der Dollarsumme als Zeichen einer schwächeren Bedrohung zu deuten. Mehrere Indizien sprechen fürs Gegenteil: 74% der Gesamtverluste stammten aus Diebstahl privater Schlüssel und Social Engineering statt aus Code-Fehlern, und Forscher fanden Hinweise auf KI-gestützte Aufklärung hinter Angriffen wie Drift und KelpDAO. Die Einschätzung lautet: Die Operationen haben sich von wahllosem Austesten hin zu präzisen Schlägen gegen wenige Ziele entwickelt.

Andere schreiben den Rückgang besseren Abwehrmaßnahmen zu: Börsen haben mehr Bestände in Cold Storage verlagert und Multi-Signatur-Systeme eingeführt, was direkte Einbrüche erschwert – und Angreifer stattdessen zu weniger gehärteten DeFi-Protokollen getrieben hat. Da Nordkorea die Zuordnung von TRM Labs bestreitet, hält sich auch eine andere Debatte: wie sicher sich die internationale Reaktion auf diese Bedrohungsanalysen stützen lässt.

Was als Nächstes zu beobachten ist

Drei Dinge sind beobachtenswert. Erstens, wohin sich die Ziele als Nächstes verschieben – von zentralisierten Börsen zu DeFi und weiter zu welchem am wenigsten geschützten Segment auch immer. Zweitens, wie stark KI-Werkzeuge tatsächlich bei Aufklärung und Social Engineering zum Einsatz kommen – das könnte ein Umdenken bei Erkennung und Abwehr erzwingen. Drittens, ob neue Sanktionen und internationale Koordination die tatsächlich gestohlenen und gewaschenen Summen spürbar senken.

Für Südkorea ist allein die Tatsache, dass Upbit inzwischen zweimal Ziel wurde, eine Warnung. Nutzer inländischer Börsen und DeFi-Dienste sollten Plattformen mit starker Mehrfaktor-Authentifizierung und hohem Cold-Storage-Anteil bevorzugen und bei größeren Ein- und Auszahlungen auf Warnhinweise zu ungewöhnlichen Transaktionen achten. Für Regierung und Branche dürfte die Abwehr von Diebstahl privater Schlüssel und auf Insider zielendem Social Engineering die nächste Verteidigungslinie sein.

Dieser Beitrag ist eine eigene Analyse von nuloq auf Basis des TRM-Labs-Berichts und der unter "Quellen" genannten öffentlichen Berichte, erstellt mit Unterstützung von KI-Werkzeugen. Er dient ausschließlich der Information, nicht als Anlageberatung, und die zugrunde liegenden Zahlen können je nach Forschungsinstitut und Stichtag variieren. Fehler werden bei Bekanntwerden korrigiert.