Nordkorea soll seit 2019 Kryptowährungen im Wert von rund 9,6 Milliarden Dollar erbeutet haben. Die Zahl stammt von unfolded, einem auf Kryptodaten spezialisierten Konto, das seine Zählung am 30. Oktober 2026 veröffentlicht hat, wie das Journal du Coin berichtet. Der Hackerangriff auf Binance vom 29. Oktober 2026 macht allein zwei Drittel dieser Summe aus. Ohne ihn fallen die Pjöngjang zugeschriebenen Diebstähle auf 3,2 Milliarden Dollar in sechs Jahren zurück.
Binance, die weltweit grösste Handelsplattform für Kryptowährungen, hat nach eigenen Angaben rund 6,3 Milliarden Dollar verloren, wie unser Artikel zum Hackerangriff auf Binance ausführt.
Warum dominiert Binance die nordkoreanische Bilanz?
Ein einziger Diebstahl übertrifft die grössten Hackerangriffe in der Geschichte der Branche zusammengenommen. Laut Journal du Coin summieren sich die neun grössten Krypto-Hacks, von Mt. Gox über Bybit bis FTX, auf 5,4 Milliarden Dollar. Der Diebstahl bei Binance übersteigt diese Summe um rund eine Milliarde.
Der genaue Betrag hängt davon ab, wer zählt. Das Blockchain-Analyseunternehmen Chainalysis geht von 6,4 Milliarden Dollar aus, sein Konkurrent TRM Labs von 6,36 Milliarden und Binance von rund 6,3 Milliarden, ebenfalls laut Journal du Coin. Gemessen an der Gesamtsumme bleibt die Abweichung gering.
Bis Oktober 2026 hielt Bybit, eine andere Handelsplattform, den Rekord. Der Diebstahl vom Februar 2025 hatte dort rund 1,5 Milliarden Dollar erreicht, wie 2clics in seinem Artikel über Binance in Erinnerung rief.
Welche Krypto-Hacks werden Nordkorea seit 2019 zugeschrieben?
Die Übersicht von unfolded stützt sich auf DefiLlama, Chainalysis, das FBI und Sicherheitsfirmen. Das Journal du Coin nennt daraus die wichtigsten Ziele und ihre Beträge.
| Jahr | Ziel | Genannter Betrag | Wer zuschreibt |
|---|---|---|---|
| 2019 | Handelsplattform Upbit | 49 Millionen Dollar | Zählung von unfolded |
| 2022 | Ronin-Bridge des Spiels Axie Infinity | 624 Millionen Dollar | Zählung von unfolded |
| 2025 | Handelsplattform Bybit | 1,4 Milliarden Dollar laut DefiLlama, rund 1,5 Milliarden laut FBI | FBI |
| 2026 | Protokoll Drift | 295 Millionen Dollar | Sicherheitsfirmen |
| 2026 | Protokoll Kelp DAO | 293 Millionen Dollar | Zählung von unfolded |
| 2026 | Handelsplattform Bitget | 387 Millionen Dollar | Sicherheitsfirmen |
| 2026 | Handelsplattform Binance | 6,3 bis 6,4 Milliarden Dollar je nach Schätzung | Sicherheitsfirmen |
Die Liste von unfolded umfasst zudem die Harmony-Bridge im Jahr 2022 und die Wallet Atomic Wallet im Jahr 2023. Das Jahr 2026 markiert eine deutliche Beschleunigung: Drift, Kelp DAO, Bitget und dann Binance sind alle in diesem Jahr gefallen.
Wie gehen die nordkoreanischen Hacker vor?
Bei Binance zielten die Hacker auf die mit dem Internet verbundenen Wallets, die sogenannten Hot Wallets. Diese Wallets dienen den laufenden Auszahlungen an die Kundschaft einer Plattform. Als Einfallstor nennt das Unternehmen den kompromittierten Computer eines DevOps-Ingenieurs, der für den Betrieb der Systeme zuständig ist. Nach seinen Angaben sind keine privaten Schlüssel abgeflossen.
Die Geschwindigkeit gehört zur Methode. Laut TRM Labs, zitiert vom Journal du Coin, war der Grossteil der Beute von Binance in rund zwanzig Minuten weg.
Die Geldwäscherei folgt unmittelbar. Das FBI, die US-Bundespolizei, hat sie in seiner öffentlichen Mitteilung vom 26. Februar 2025 zu Bybit beschrieben. Die Hacker tauschten dort einen Teil der Gelder in Bitcoin und andere virtuelle Vermögenswerte um. Anschliessend verteilten sie diese auf Tausende Adressen auf mehreren Blockchains. Das FBI rechnete mit einem abschliessenden Umtausch in herkömmliche Währung.
Das Szenario bei Binance folgt laut Journal du Coin demselben Muster:
- Hunderte Millionen USDT, auf der dezentralen Plattform Uniswap in Ether umgetauscht;
- rund 19’760 Ether, auf dem Kreditprotokoll Aave geliehen;
- 18’270 Bitcoin, in aufeinanderfolgende kleine Beträge aufgeteilt, eine Technik namens Peel Chain;
- die ersten Gelder, über das Protokoll THORChain geschleust, das bereits nach Bybit zum Einsatz kam.
Der Präzedenzfall Bybit zeigt den Zeitrahmen. Die Hacker hatten rund zehn Tage gebraucht, um den Grossteil der gestohlenen Ether zu waschen, grösstenteils über THORChain, wie das Journal du Coin in Erinnerung ruft.
Wer schreibt diese Diebstähle Pjöngjang zu?
Im Fall Bybit ist die Zuschreibung offiziell. In seiner Mitteilung vom 26. Februar 2025 erklärt das FBI Nordkorea für den Diebstahl von rund 1,5 Milliarden Dollar verantwortlich, verübt um den 21. Februar 2025. Es bezeichnet diese Aktivität als TraderTraitor. Es ruft Handelsplattformen, Bridges, Dienste der dezentralen Finanzwelt und Analyseunternehmen dazu auf, Transaktionen im Zusammenhang mit den Adressen der Hacker zu blockieren.
Im Fall Binance haben sich nur private Firmen geäussert. Chainalysis schreibt den Angriff TraderTraitor zu, einer nordkoreanischen Zelle, die mit der Gruppe Lazarus verbunden ist. Ihr Argument: Bei Bitget und bei Binance gestohlene Gelder haben sich auf einer gemeinsamen Adresse vermischt. TRM Labs kommt laut Journal du Coin «mit hoher Zuversicht» zum gleichen Schluss.
Elliptic, ein weiteres Analyseunternehmen, zeigt sich vorsichtiger. Es hält die Zuschreibung für «wahrscheinlich», da sich die Überschneidung nur auf 39’000 Dollar an Geldern von Binance bezieht. Keine Regierung hat dies bestätigt, und das FBI hat sich nicht geäussert. Unfolded hält selbst fest, dass die Zuschreibung bei Binance, Bitget und Drift von den Sicherheitsfirmen stammt. Drift könnte auf eine nordkoreanische Einheit zurückgehen, die nicht zu Lazarus gehört.
Welcher Teil der Beute konnte blockiert werden?
Die Herausgeber von Stablecoins haben laut Journal du Coin einen erheblichen Teil der Gelder von Binance eingefroren:
- Tether: rund 1,77 Milliarden USDT;
- Circle: 823 Millionen USDC;
- Ripple: 40,5 Millionen RLUSD;
- World Liberty Financial: 27,8 Millionen USD1;
- der Sicherheitsrat des Netzwerks Arbitrum: 8’426 Ether.
Elliptic zählt 2,84 Milliarden Dollar an eingefrorenen Geldern, also 44 % der Beute. Binance spricht von 3 Milliarden. Elliptic schätzt zudem, dass 3,3 Milliarden Dollar ausser Reichweite sind, verteilt auf rund vierzig Adressen. Eine Sperre ist keine Rückerstattung: Die blockierten Gelder müssen erst noch in einem separaten Vorgang zurückgegeben werden.
Sicherheit der Börsen: Was verlangt die Schweiz von Krypto-Dienstleistern?
In der Schweiz regeln mehrere bestehende Vorschriften die Tätigkeit von Krypto-Dienstleistern. Sie betreffen die Verwahrung, die Rückverfolgbarkeit von Überweisungen und die Sanktionen.
Am 12. Januar 2026 hat die Eidgenössische Finanzmarktaufsicht (FINMA) ihre Aufsichtsmitteilung 01/2026 veröffentlicht, die präzisiert, wie sie die Verwahrung von kryptobasierten Vermögenswerten beurteilt. Sie beschreibt darin die Risiken bei der Verwahrung von Bitcoin oder Ether, die auf verteilten Registern beruhen. Deren Beherrschung erfordert laut FINMA «spezifische Kenntnisse und eine robuste technische Infrastruktur».
Der Beizug einer ausländischen Verwahrungsstelle entlastet das Schweizer Institut nicht. Die FINMA verlangt angemessen beaufsichtigte Dienstleister, in der Schweiz wie im Ausland, sowie klare Schutzregeln im Konkursfall. Die kryptobasierten Vermögenswerte der Kundschaft dürfen nicht in die Konkursmasse der Verwahrungsstelle fallen. Die Verantwortung liegt stets beim bewilligten Institut.
Die Rückverfolgbarkeit erfolgt über die Travel Rule der FINMA. Ihre Aufsichtsmitteilung 02/2019 unterstellt Kryptoüberweisungen denselben Informationsregeln wie eine Banküberweisung. Ohne System zur Übermittlung auf der Blockchain darf ein beaufsichtigtes Institut Kryptowährungen nur an externe Wallets seiner eigenen, identifizierten Kundschaft senden.
Die erste Ebene bleibt das Geldwäschereigesetz (GwG). Die Bereitstellung von Wallets und der Handel mit virtuellen Währungen unterstehen ihm, mit Anschluss an eine Selbstregulierungsorganisation. Die Entgegennahme kryptobasierter Vermögenswerte vom Publikum kann unter die Fintech-Bewilligung fallen. Die Einzelheiten finden sich auf unserer Seite zur FINMA-Bewilligung für Krypto.
Auch die Sanktionen gegen Nordkorea gelten. Der Bundesrat hat am 25. Oktober 2006 wegen des nordkoreanischen Atomprogramms Zwangsmassnahmen beschlossen. Die Verordnung vom 18. Mai 2016 (SR 946.231.127.6) fasst sie zusammen, so das Staatssekretariat für Wirtschaft (SECO). Sie sieht das Einfrieren von Vermögenswerten und wirtschaftlichen Ressourcen sowie die Pflicht zur Meldung eingefrorener Vermögenswerte vor. Zudem verbietet sie Finanzgeschäfte im Zusammenhang mit den Nuklear- und Raketenprogrammen. Die Seite des SECO erwähnt kryptobasierte Vermögenswerte nicht ausdrücklich.
Was sich für Kundinnen und Kunden in der Schweiz ändert
Der erste Reflex besteht darin, zu prüfen, wer die eigenen Kryptowährungen verwahrt. Binance gibt an, keinen festen Hauptsitz zu haben. Seit Anfang 2026 läuft das weltweite Geschäft vor allem über beaufsichtigte Gesellschaften in Abu Dhabi, wie finews.ch in Erinnerung rief, zitiert von 2clics. Für Kundschaft in der Schweiz handelt es sich also um eine ausländische Plattform.
Ein bewilligtes Institut beseitigt nicht jedes Risiko. Im Konkurs eines Fintech-Instituts sind die Kundengelder weder privilegiert noch durch die Einlagensicherung gedeckt. Die FINMA veröffentlicht zwei Rubriken, die vor einer Kontoeröffnung zu konsultieren sind: «Bewilligte Institute» und «Warnliste». Unser Artikel zur Warnliste der FINMA erklärt, wie man sie nutzt; sie ist weder abschliessend noch immer aktuell.
Ein Rückzahlungsversprechen bleibt eine Erklärung der Plattform. Binance verpflichtet sich, die Verluste mit seinem Reservefonds SAFU und seinen Eigenmitteln zu decken. Kein Dritter garantiert diese Zusage. Der allgemeine Rahmen ist auf unserer Seite FINMA und Kryptowährungen zusammengefasst.
Was noch unklar ist
- Die offizielle Zuschreibung des Diebstahls bei Binance: Das FBI, das für Bybit innert fünf Tagen TraderTraitor benannt hatte, hat sich nicht geäussert.
- Das Schicksal der 3,3 Milliarden Dollar, die laut Elliptic noch ausser Reichweite sind, sowie die Rückgabe der eingefrorenen Gelder an Binance.
Quellen
- Journal du Coin: Krypto-Hacks: Nordkorea hat seit 2019 9,6 Milliarden Dollar gestohlen
- FBI (IC3): North Korea Responsible for $1.5 Billion Bybit Hack, Mitteilung vom 26. Februar 2025
- FINMA: Aufsichtsmitteilung zur Verwahrung kryptobasierter Vermögenswerte, 12. Januar 2026
- SECO: Massnahmen gegenüber Nordkorea
