DPRK-Hacker waschen 242 Millionen US-Dollar Binance-Gelder über Tron

Innerhalb von 48 Stunden nach dem Diebstahl hatte die nordkoreanische Gruppe TraderTraitor bereits 242 Millionen US-Dollar der von Binance gestohlenen Gelder über die Tron-Blockchain und eine Reihe von Cross-Chain-Bridges verschoben, so der Onchain-Analyst SomaXBT. Das Ausmaß und die Geschwindigkeit der Operation haben ein direktes Eingreifen des FBI ausgelöst und zwingen Compliance-Teams, ihre Exposition gegenüber DeFi-Routing-Infrastruktur und ihre Pflichten nach US-Sanktionsrecht sofort zu überprüfen.

Was geschah: Der Diebstahl und die unmittelbare Geldwäscheroute

Die Angreifer erbeuteten im zugrunde liegenden Vorfall rund 6,3 Milliarden US-Dollar von Binance. Allein auf Tron hielten sie zunächst etwa 628 Millionen US-Dollar. Tether handelte schnell und fror 378,7 Millionen USDT in zwei Angreifer-Wallets ein, wodurch der Gruppe schätzungsweise 249 Millionen US-Dollar verblieben, die sie auf Tron noch bewegen konnte. Davon wurden laut SomaXBTs Onchain-Analyse 242 Millionen US-Dollar innerhalb von zwei Tagen gewaschen.

Wie sich die 242 Millionen US-Dollar aufteilten

Die Aufschlüsselung des Analysten der 242 Millionen US-Dollar zeigt drei grobe Ziele. Etwa 194 Millionen US-Dollar verließen Tron vollständig über Bridges und Swap-Dienste. Ungefähr 26 Millionen US-Dollar verblieben zum Zeitpunkt der Berichterstattung im Tron-Netzwerk. Die restlichen 22 Millionen US-Dollar wurden durch Gebühren, Slippage und ungünstige Preisbewegungen während der Ausführung verbraucht.

Vier Cross-Chain-Dienste leiteten zusammen etwa 140 Millionen US-Dollar der Abflüsse von Tron weg. Relay wickelte den größten Einzelanteil von 48 Millionen US-Dollar ab und erhielt 37,64 Millionen USDT und 39,28 Millionen TRX in 735 Einzahlungen. THORChain verarbeitete 44 Millionen US-Dollar, wobei die Angreifer 185,1 Millionen TRX und 3,83 Millionen USDT in 2.697 einzelnen Einzahlungen sendeten. Chainflip erhielt 49,47 Millionen USDT in 571 Einzahlungen, obwohl ein großer Teil dieser Swaps fehlschlug und die Gelder an neue Tron-Wallets zurückerstattet und erneut eingereicht wurden. Symbiosis verarbeitete etwa 16 Millionen US-Dollar in 1.367 kleineren TRX-Einzahlungen. Weitere 41,7 Millionen US-Dollar flossen über Bitget Wallet, wobei das endgültige Ziel zum Zeitpunkt der Berichterstattung nicht bestätigt war.

Auf der Empfängerseite der THORChain-Ströme zahlte das Protokoll 17.019 ETH an 170 Ethereum-Adressen und 53,25 BTC an 20 Bitcoin-Adressen aus. Die Hacker trugen Kosten von etwa 12 % für Gebühren und Slippage über diese Transaktionen. Front-End-Schnittstellen verdienten rund 145.800 RUNE, etwa 95.000 US-Dollar, an Affiliate-Gebühren aus denselben Strömen.

Die Hinwendung zu Solana

Unabhängig davon begannen die Angreifer am Sonntag, 970.522 SOL im Wert von etwa 95,9 Millionen US-Dollar über Relay-gestützte Swaps in Bitcoin umzuwandeln. Die Solana-Wallet der Hacker, die einzige Solana-Adresse, die das FBI öffentlich aufführte, bewegte 486.970 SOL in der Stunde vor einem frühen Sonntagmorgen-Beitrag des Blockchain-Überwachungskontos Lookonchain. Die Swaps wurden fortgesetzt, nachdem das FBI die Wallet-Adresse bereits veröffentlicht hatte, ein Signal für das Vertrauen der Gruppe in die Geschwindigkeit ihrer Ausführung gegenüber der Geschwindigkeit jeder Reaktion.

FBI-Zuordnung und die BlockList-Anfrage

Das FBI schrieb den Diebstahl am Samstag offiziell TraderTraitor zu, in einer gemeinsam mit dem U.S. Secret Service und der IRS Criminal Investigation herausgegebenen Warnung. Die Warnung beschreibt TraderTraitor als eine staatlich geförderte nordkoreanische Gruppe, die mindestens seit 2020 aktiv ist und Kryptowährungen stiehlt und wäscht, um das nordkoreanische Regime zu finanzieren. Die Cybersecurity-Branche verfolgt die Gruppe unter mehreren Bezeichnungen, darunter Lazarus Group, APT38 und BlueNoroff. Das FBI hatte bereits den 1,5-Milliarden-US-Dollar-Hack von Bybit im Februar 2025 derselben Gruppe zugeschrieben.

Was das FBI veröffentlichte und wen es anvisierte

Das FBI veröffentlichte eine Liste mit 608 Ethereum-Adressen, 19 Bitcoin-Adressen und einer Solana-Adresse, die mit dem Angriff in Verbindung stehen. Bemerkenswert ist, dass keine Tron-Adressen auf der Liste erschienen, obwohl Tron die primäre Geldwäschekette war. Die Behörde forderte THORChain-Betreiber von THORNode, RPC-Node-Betreiber, Instant-Exchanges, DeFi-Dienste und andere Anbieter auf, Transaktionen mit diesen Adressen sofort zu blockieren. Daten von Mempool.space bestätigten, dass alle 18.270 BTC zum Zeitpunkt der Veröffentlichung noch in den 19 Bitcoin-Adressen auf der FBI-Liste lagen.

Der technische Mitbegründer von THORChain, Chad Barraford, reagierte am Samstagabend und bestätigte, dass THORNode-Betreiber keine Informationen über das hinaus hatten, was bereits öffentlich on-chain verfügbar war. Er äußerte sich nicht dazu, ob Node-Betreiber der Blockierungsanfrage des FBI nachkommen würden. Ein unabhängiger Ethereum-Reorg am Samstag hatte bereits eine Notfallpause bei THORChain ausgelöst, nachdem es zu einer doppelten Rückerstattung einer Einzahlung von 10 ETH gekommen war. Diese Pause stoppte beiläufig den Handel auf 10 der 13 verbundenen Chains des Protokolls, darunter Tron, Ethereum und Bitcoin, was bedeutete, dass die Hacker vorübergehend zusammen mit allen anderen Nutzern ausgesperrt waren. Der Handel von Tron war seit etwa Samstagmittag ausgesetzt und blieb bis Sonntagnachmittag ausgesetzt.

Die Mechanik der Operation

Die Blockchain-Analysefirma Elliptic lieferte einige der klarsten strukturellen Analysen zur Durchführung der Geldwäsche. Die Hauptverteilungswallet der Hacker auf Tron zahlte 31 Stunden lang jede Stunde aus und pausierte nie länger als 46 Minuten. Dieselben Swap-Beträge wiederholten sich wiederholt bei THORChain-Einzahlungen, wobei ein bestimmter Betrag 19 Mal erschien. Wenn eine Bridge eine Einzahlung ablehnte, sandten automatisierte Skripte die Gelder sofort von neuen Wallets an dieselbe Zieladresse erneut.

Elliptics Mitbegründer Tom Robinson kam zu dem Schluss, dass die Aktivität offenbar keine KI-Agenten umfasst. Er beschrieb das Muster als „repetitiv und statisch: die gleichen Größen, der gleiche Rhythmus, die gleichen Routen, Stunde für Stunde“, und schrieb es menschlichen Operatoren zu, die Skripte für die repetitive Ausführungsebene verwendeten. Testtransaktionen und runde Aufstockungsbeträge deuteten auf menschliche Entscheidungen über der Automatisierung hin. Dies ist eine bedeutende Unterscheidung für Compliance-Teams, die das Bedrohungsmodell bewerten: Die Raffinesse liegt in der Vorbereitung und dem Volumen, nicht in neuartiger KI-gesteuerter Verschleierung.

Beim Bybit-Hack im Februar 2025 stellte Elliptic fest, dass die Geldwäsche Mustern folgte, die mit menschlichen Arbeitszeiten übereinstimmten. Die Binance-Operation zeigt keinen solchen Rhythmus, mit kontinuierlicher Ausführung rund um die Uhr.

Stablecoin-Einfrierungen und die Grenzen der Eingriffe von Emittenten

Elliptic bestätigte, dass 2,85 Milliarden US-Dollar der gestohlenen Gelder entweder eingefroren oder beschlagnahmt wurden, was etwa 44 % der 6,43 Milliarden US-Dollar entspricht, die es als gestohlen zählt. Von diesem eingefrorenen Betrag entfallen 94 % auf Stablecoins. Die Asymmetrie ist krass: Auf Bitcoin, dem XRP Ledger, Solana oder NEAR wurden keine Gelder eingefroren. Etwa 3,25 Milliarden US-Dollar, darunter 18.327 BTC und 233 Millionen XRP, liegen in Vermögenswerten, bei denen kein zentraler Emittent eine Einfrierbefugnis hat. Chainalysis berichtete separat, dass die Hacker Stablecoins in DeFi-Protokolle auf Tron einzahlten und im Gegenzug Depository-Receipt-Token erhielten, die von einem Emittenten nicht eingefroren werden können, ein bewusster Schritt, um die Reichweite der Stablecoin-Emittenten zu verlassen.

AML-Compliance-Implikationen für Unternehmen und Praktiker

Die Binance-Geldwäscheoperation kristallisiert mehrere Compliance-Pflichten heraus, die DeFi-nahe Unternehmen und ihre Buchhaltungsberater jetzt umsetzen müssen.

OFAC- und FinCEN-Pflichten

Die FBI-Warnung, die mit dem Treasury herausgegeben wurde, löst sofortige Screening-Pflichten für jede US-Person oder jedes Unternehmen mit US-Nexus aus. Die 628 vom FBI veröffentlichten Adressen sind für operative Zwecke eine de-facto-Liste sanktionierter Adressen, noch bevor eine formelle OFAC-Designierung aktualisiert wird. Jedes Unternehmen, dessen Infrastruktur, einschließlich Swap-Router, Bridge-Smart-Contracts oder Verwahrungs-Wallets, Transaktionen von oder zu diesen Adressen verarbeitet hat, sollte seine Pflichten zur Meldung verdächtiger Aktivitäten (Suspicious Activity Report, SAR) nach dem Bank Secrecy Act überprüfen. Die Unterlassung einer Meldung, wenn vernünftige Gründe für den Verdacht auf Erträge aus Straftaten bestehen, einschließlich solcher einer designierten staatlich geförderten Gruppe, ist selbst eine Bundesstraftat.

Die öffentliche Einräumung von Symbiosis, dass sein Screening „Lücken“ für „schnelle, ausgefeilte Versuche“ aufweist, ist ein offenes Eingeständnis, dass viele DeFi-Protokolle nicht mit Transaktionsüberwachung nach BSA-Standard konzipiert wurden. Für Compliance-Teams, die DeFi-Plattformen oder krypto-native Unternehmen beraten, die mit diesen Protokollen interagieren, ist dieses Eingeständnis ein wesentlicher Risikoindikator. Jedes Unternehmen mit Exposition gegenüber Strömen von Symbiosis, Relay, THORChain oder Chainflip während des 48-stündigen Geldwäschefensters sollte unverzüglich eine rückwirkende Prüfung gegen die FBI-Adressliste durchführen.

Buchhaltungs- und Aufzeichnungspflichten

Für Buchhaltungsfirmen und CFOs, die Krypto-Asset-Bücher führen, ist die erste Frage, ob Bilanzpositionen, Forderungen gegenüber Gegenparteien oder verwahrte Vermögenswerte eine Herkunftsverbindung zur Geldwäschekette haben. Mit robuster Krypto-Buchhaltungssoftware, die Onchain-Transaktionsdaten aufnimmt, können Unternehmen Zuflüsse gegen die vom FBI veröffentlichte Adressliste abgleichen und einen Prüfpfad erstellen, der dokumentiert, dass die Überprüfung durchgeführt wurde und zu welchem Ergebnis sie führte. Diese Dokumentation ist wichtig: Im Falle einer regulatorischen Anfrage ist der Nachweis proaktiven Screenings der Unterschied zwischen Kooperation und Schuld.

Für jedes Unternehmen, das Gelder erhalten hat, die nun auf die Angreiferadressen zurückverfolgt werden können, auch über Zwischenschritte, stellt sich eine Erfassungsfrage. Diese Vermögenswerte müssen möglicherweise als einem rechtlichen Hold oder einem konstruktiven Trust unterliegend behandelt werden, anstatt frei verfügbar zu sein, bis Rechtsberatung vorliegt. Nach ASC 350 oder IAS 38 kann ein Vermögenswert, dessen Eigentum rechtlich umstritten ist, nicht einfach ohne Offenlegung zum beizulegenden Zeitwert bilanziert werden.

Due Diligence bei DeFi-Protokollen

Die direkte Aufforderung des FBI an Node-Betreiber statt an einen regulierten Intermediär spiegelt die dezentrale Struktur von THORChain wider. Aber diese Struktur schützt Node-Betreiber nicht vor einer Haftungsanalyse. Die DeFi Illicit Finance Risk Assessment des US-Finanzministeriums von 2023 identifizierte DeFi-Protokolle als vorrangigen Vektor für Geldwäsche. Node-Betreiber, die US-Personen sind und nach einer öffentlichen Warnung weiterhin Transaktionen von FBI-gelisteten Adressen verarbeiten, können nach dem International Emergency Economic Powers Act exponiert sein, je nachdem, ob das Treasury die Adressliste in eine OFAC-Designierung formalisiert.

Unternehmen, die THORChain, Relay, Chainflip oder ähnliches Cross-Chain-Routing in ihren Produkten oder Kunden-Workflows nutzen, sollten ihre Nutzungsbedingungen, ihre eigenen OFAC-Compliance-Programme und die Frage überprüfen, ob die Governance-Struktur des Protokolls einen Nexus zu einer US-Person schafft, der das gesamte Protokoll der US-Jurisdiktion unterwirft. Dies ist juristisches Neuland, und die Samstags-Warnung des FBI macht deutlich, dass die Behörde wachsam ist.

Das breitere Muster DPRK-verbundener Krypto-Operationen steht im Einklang mit früheren Maßnahmen des Treasury. Ein Überblick über Treasury-Sanktionen gegen nordkoreanische IT-Arbeiter-Krypto-Schemata zeigt, dass die US-Regierung systematisch ihren Designierungsrahmen erweitert, um das gesamte Geldwäsche-Ökosystem abzudecken, nicht nur die ursprünglichen Diebstahlsakteure.

Was Compliance-Teams diese Woche tun sollten

Das Tempo dieser Operation, 242 Millionen US-Dollar in 48 Stunden über Hunderte von Wallets bewegt, bedeutet, dass rückwirkende Überprüfungsfenster kurz sind, bevor Gelder weiter verschleiert werden. Praktische Schritte für Compliance- und Buchhaltungsteams umfassen Folgendes.

Sofortige Screening-Maßnahmen

Überprüfen Sie alle Transaktionsaufzeichnungen gegen die 628 vom FBI veröffentlichten Adressen. Wenn Ihre Buchhaltungssoftware für digitale Vermögenswerte direkt an Onchain-Daten angebunden ist, führen Sie einen rückwirkenden Abgleich für die letzten 72 Stunden durch und dokumentieren Sie das Ergebnis. Jede Übereinstimmung, direkt oder einen Hop entfernt, sollte an Ihren AML-Beauftragten und Rechtsberater eskaliert werden, bevor die betroffenen Vermögenswerte weiter bewegt werden.

Aktualisieren Sie Ihre interne Blockliste sofort um die vom FBI veröffentlichten Adressen. Warten Sie nicht auf eine formelle OFAC-Designierungsaktualisierung; die Warnung von FBI, Secret Service und IRS-CI ist ausreichende Grundlage für ein vorsorgliches Einfrieren bis zur rechtlichen Prüfung.

Wenn Ihr Unternehmen ein DeFi-Protokoll oder eine Cross-Chain-Bridge betreibt oder berät, prüfen Sie, ob unter Ihren Node-Betreibern, Entwicklern oder Governance-Token-Inhabern eine US-Person-Exposition besteht. Diese Bewertung wirkt sich direkt darauf aus, ob die OFAC-Jurisdiktion die Verarbeitung dieser Gelder durch Ihr Protokoll erfasst.

Überprüfen Sie Ihre SAR-Meldepflichten. Nach FinCEN-Richtlinien muss ein SAR innerhalb von 30 Tagen nach Erkennung einer verdächtigen Transaktion eingereicht werden, oder innerhalb von 60 Tagen, wenn zusätzliche Zeit zur Identifizierung eines Verdächtigen benötigt wird. Die FBI-Warnung liefert vernünftige Verdachtsgründe. Die Uhr läuft.

Häufig gestellte Fragen

Schafft die FBI-Warnung unmittelbare rechtliche Pflichten für DeFi-Protokolle?

Die Warnung selbst ist keine formelle OFAC-Designierung, aber sie ist eine öffentliche Warnung der Strafverfolgungsbehörden, dass bestimmte Adressen mit einer staatlich geförderten nordkoreanischen Gruppe verbunden sind. Jede US-Person oder jedes Unternehmen mit US-Nexus, das nach Veröffentlichung der Warnung Transaktionen mit diesen Adressen verarbeitet, riskiert eine Exposition nach IEEPA und BSA. Rechtsberatung sollte eingeholt werden, bevor eine Entscheidung getroffen wird, die Verarbeitung fortzusetzen oder zu blockieren.

Tether hat eine große Menge USDT eingefroren. Warum konnte das die Geldwäsche nicht stoppen?

Tether kann USDT einfrieren, die in Wallets gehalten werden, die es identifizieren kann, aber das Einfrieren ist reaktiv. Bis Tether handelte, hatten die Angreifer bereits begonnen, Gelder über Bridges zu bewegen, die USDT in nicht einfrierbare Vermögenswerte wie ETH, BTC und TRX umwandeln. Chainalysis stellte fest, dass die Hacker Stablecoins auch gegen Depository-Receipt-Token auf Tron-basierten DeFi-Protokollen tauschten, speziell um außerhalb der Reichweite eines Emittenten-Einfrierens zu gelangen.

Was sollte ein CFO tun, wenn sein Unternehmen Gelder erhalten hat, die einen Hop von einer Angreiferadresse entfernt sein könnten?

Stoppen, dokumentieren und rechtlichen Rat einholen, bevor die Vermögenswerte bewegt werden. Behandeln Sie sie nicht als frei verfügbar. Nach US-Recht kann wissentliches Handeln mit Erträgen aus dem Diebstahl einer designierten Gruppe zivil- oder strafrechtliche Haftung auslösen. Die buchhalterische Behandlung sollte die rechtliche Unsicherheit widerspiegeln: Prüfen Sie, ob eine Offenlegung einer Eventualverbindlichkeit erforderlich ist und ob der Vermögenswert bis zur Klärung abgesondert werden sollte.

Warum konnte Chainflip die Gelder nicht blockieren, obwohl es zuvor die Bybit-Hacker blockiert hatte?

Die Quellenberichterstattung deutet darauf hin, dass viele Chainflip-Swaps für die Binance-Hack-Gelder fehlschlugen, aber die fehlgeschlagenen Swaps wurden automatisch an neue Tron-Wallets zurückerstattet und erneut eingereicht. Chainflip hatte nach Bybit Blockierungen implementiert, aber die Verwendung neuer Wallets durch die Angreifer bei jeder erneuten Einreichung bedeutete, dass die Blockliste durch die Wallet-Generierung überholt wurde. Dies veranschaulicht eine bekannte Schwäche der adressbasierten Blockierung: Sie erfordert nahezu Echtzeit-Aktualisierungen der Listen, um gegen einen gut ausgestatteten, automatisierten Gegner wirksam zu sein.

Ist das für nicht-US-Unternehmen relevant?

Ja. Die FATF-Travel-Rule und lokale AML-Gesetze in der EU, im Vereinigten Königreich und in den meisten APAC-Jurisdiktionen verpflichten VASPs, Transaktionen gegen Sanktionslisten zu prüfen und verdächtige Aktivitäten zu melden. Eine DPRK-Zuordnung durch das FBI in Verbindung mit bestehenden Sanktionen des UN-Sicherheitsrates gegen Nordkorea schafft Pflichten für regulierte Unternehmen weltweit, nicht nur für diejenigen, die der US-Jurisdiktion unterliegen. Unternehmen in der EU sollten auch ihre Pflichten nach der EU-Verordnung 2016/1686 und dem konsolidierten DPRK-Sanktionsregime berücksichtigen.

Quelle: The Block