Gemeinsam mit dem US Secret Service (USSS) und der Steuerfahndung IRS-CI beobachtete das FBI, wie die Angreifer die erbeuteten Werte überwiegend in Ethereum (ETH) umtauschten. „Es wird erwartet, dass diese Vermögenswerte anschließend weiter gewaschen werden, indem sie über DeFi- und Instant-Swap-Dienste umgetauscht werden, während sie für weitere Waschstufen vorbereitet werden", erklärte das FBI. Die Behörde veröffentlichte zudem eine Liste von Wallet-Adressen, die die Täter zur Geldwäsche nutzen sollen.
Die Beute wurde über elf Blockchains hinweg entwendet, 82 Prozent davon auf Ethereum und Bitcoin. Von den 6,43 Milliarden US-Dollar wurden 2,85 Milliarden US-Dollar on-chain durch Tether, Circle, Ripple, Arbitrum und Optimism eingefroren. Der Vorfall übertrifft den Diebstahl von 1,46 Milliarden US-Dollar bei Bybit im Februar 2025 deutlich. „Dieser eine Vorfall verdoppelt die Gesamtsumme der vom Regime gestohlenen Kryptowerte nahezu", erklärte das Blockchain-Analyseunternehmen Elliptic. Akteuren mit Verbindung zu Nordkorea, offiziell Demokratische Volksrepublik Korea (DPRK), werden in den vergangenen Jahren Diebstähle von über 6,5 Milliarden US-Dollar an Kryptowerten zugerechnet.
Binance hat nach eigenen Angaben die erste Phase der Auszahlungen wieder aufgenommen, die nach dem Vorfall pausiert worden waren – mit Beginn an diesem Tag zwischen 6 und 9 Uhr UTC. „Seit dem Vorfall haben unsere Teams Vorsichtsmaßnahmen zum Schutz der Plattform ergriffen, Sicherheitsbewertungen durchgeführt und die Einsatzbereitschaft der betroffenen Dienste überprüft", teilte das Unternehmen mit. „Wir wollen die Auszahlungen schrittweise wiederherstellen, während wir die Sicherheits- und Bereitschaftsprüfungen abschließen. Einzahlungsdienste bleiben geöffnet und sind vom Vorfall nicht betroffen."
TraderTraitor ist seit mindestens 2020 aktiv und für Kryptodiebstähle gegen die Web3.0-Branche bekannt, bei denen Opfer dazu gebracht werden, mit Schadsoftware versehene Anwendungen herunterzuladen. Der Gruppe werden in den vergangenen Jahren unter anderem Angriffe auf DMM Bitcoin, Bybit, KelpDAO und Bitget zugeschrieben.
Analysen von SentinelOne, Zscaler ThreatLabz und Microsoft zeigen, dass die Gruppe ihr Vorgehen weiter verfeinert. Als Verbreitungsweg für Schadsoftware dienen trojanisierte Terraform-Provider; zudem setzen die Angreifer Tarnfirmen ein, um Personen aus den Bereichen Cybersicherheit, KI, Blockchain sowie Personalvermittler mit jobbezogenen Ködern anzusprechen.
Der vergiftete Terraform-Provider liefert einen Bash-Loader aus, der passend zum Betriebssystem des Opfers Schadsoftware auswählt und herunterlädt. Dazu zählt ein plattformübergreifendes Implantat namens FLATROOF, das über einen Python-basierten Infostealer sensible Daten abzieht und schließlich die Backdoor ROOFDECK nachlädt, um vollständige Fernsteuerung zu erlangen. Damit missbrauchen nordkoreanische Akteure erneut vertraute Entwickler-Workflows, um plattformübergreifende Schadsoftware auf macOS-, Linux- und Windows-Systeme zu bringen und dauerhaften Zugang zu erhalten.
Das Vorgehen ähnelt anderen nordkoreanischen Kampagnen wie der Operation Dream Job der Lazarus Group und Contagious Interview von Famous Chollima: Rekrutierungsköder dienen als Vorwand, damit Opfer Schadcode ausführen. Die Social-Engineering-Phase wird durch künstliche Intelligenz verstärkt, um überzeugende Köder und gefälschte Personas zu erstellen und einer Erkennung zu entgehen.
„Der Akteur nutzte maßgeschneiderte Domains, Social-Media-Profile und branchenspezifisches Wissen, um sich als Recruiter eines gefälschten, KI-gestützten Blockchain-Intelligence-Unternehmens auszugeben, und nahm über Stellenangebote für Softwareentwickler Kontakt auf, um Gespräche mit denjenigen zu vereinbaren, die auf die Ansprache reagierten", erklärte Microsoft. „Innerhalb dieses kurzen Zeitraums führte Jade Sleet vergleichbares jobbezogenes Targeting über zwei weitere Tarnfirmen durch, gestützt auf ähnliche Infrastruktur und einschlägiges Fachwissen."