Die nordkoreanischen Hacker hinter dem Binance-Raub sind auch in der Schweiz aktiv – und locken mit vielversprechenden Jobangeboten

Pro Artikel

Die nordkoreanischen Hacker hinter dem Binance-Raub sind auch in der Schweiz aktiv – und locken mit vielversprechenden Jobangeboten

Die Zahl der Krypto-Diebstähle bei Schweizer Unternehmen steigt seit Anfang Jahr. Die Behörden warnen vor der Betrugsmasche über LinkedIn.

03.11.2026, 05.30 Uhr

5 Leseminuten

Das Jobangebot kommt über LinkedIn und klingt verlockend. Ein Headhunter schreibt das Opfer an, das in der Krypto-Branche arbeitet. Er bietet einen Traumjob an, der massgeschneidert passt und finanziell interessant ist. Es kommt zum Videocall. Doch nach einer Weile treten vermeintliche technische Probleme auf. Der Headhunter schickt ein Programm, das die Störungen beheben soll. Doch darin verbirgt sich Schadsoftware.

Optimieren Sie Ihre Browsereinstellungen

NZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.

Bitte passen Sie die Einstellungen an.

Installiert das Opfer dieses Programm, erhalten die Angreifer Zugriff zum Computer. Dort können sie Zugangsdaten auslesen, um zum Beispiel auf das Firmennetzwerk zuzugreifen. Oder sie entwenden Token oder Schlüssel zu Krypto-Wallets.

Dieses Vorgehen ist beliebt bei Nordkoreas Hackergruppen, wenn sie ihre Krypto-Diebstähle vorbereiten. Auch die Gruppe TraderTraitor, die vergangene Woche 6,4 Milliarden Dollar von der Krypto-Plattform Binance gestohlen hat, setzt auf falsche Jobangebote, um damit unter anderem Software-Entwickler im Krypto-Bereich anzugreifen. TraderTraitor ist Teil der Cybereinheiten des nordkoreanischen Geheimdienstes RGB, die auch als Lazarus-Gruppe bekannt sind.

Fintech-Mitarbeiter als beliebtes Ziel

Die Schweizer Krypto-Branche ist ebenfalls im Visier der Hackergruppen. aus Nordkorea Das Bundesamt für Cybersicherheit (Bacs) beobachtet seit Anfang Jahr «eine Zunahme von Cyberangriffen gegen Mitarbeitende aus der Fintech- und Web3-Branche», wie es auf Anfrage schreibt. Mit Web3 sind Technologien in den Bereichen Blockchain und Kryptowährungen gemeint. Im laufenden Jahr sind dem Bacs bisher bereits 18 solcher Cyberangriffe gemeldet worden.

Die genaue Deliktsumme ist unbekannt, wie das Bacs schreibt. Aufgrund öffentlicher Quellen sei seit 2021 von einem Schaden von mindestens 130 Millionen Franken auszugehen. Das Bacs geht jedoch von einer wesentlich höheren Dunkelziffer aus. Denn die Mitarbeiter haben kaum einen Anreiz, ihren Arbeitgeber über einen möglichen Cyberangriff aufgrund eines Bewerbungsgesprächs zu informieren. Das verschafft den Angreifern Zeit, sich unbemerkt ins IT-System der Firma vorzuarbeiten.

Der grösste Angriff auf ein Krypto-Unternehmen in der Schweiz, der dem Bacs bekannt ist, beläuft sich auf eine Deliktsumme von über 60 Millionen Dollar. Um welche Firma es sich dabei gehandelt hatte, teilt das Bundesamt nicht mit.

Ein bekannter Fall, bei dem nordkoreanische Hacker ein Schweizer Krypto-Unternehmen angegriffen hatten, betraf das Start-up Lykke. Im Juni 2024 entwendeten die Angreifer Krypto-Werte über 22 Millionen Dollar. Lykke ging später Konkurs.

Das Phänomen der nordkoreanischen Krypto-Diebstähle beschäftigt auch die Finanzmarktaufsicht (Finma). Sie stellt eine zunehmende Bedrohung durch Cyberattacken fest. Die Angreifer würden immer professioneller und ihre Methoden entwickeln sich laufend weiter.

Nach wie vor stelle die Aufsicht Mängel bei der Steuerung von Cyberrisken fest. Die Finma und das Bacs haben zusammen bereits mehrmals Schweizer Unternehmen im Bereich Fintech und Blockchain auf die Bedrohungslage aufmerksam gemacht und konkrete Empfehlungen abgegeben.

Raubzug unter den Augen der Öffentlichkeit

Kryptowährungen versprechen grundsätzlich Transparenz. Jede Transaktion ist auf der Blockchain dokumentiert und transparent nachvollziehbar. Und doch können Ermittler und Analysten nach dem Hack der Krypto-Börse Binance nur zuschauen, wie die Täter ihre Beute durch das Finanzsystem schleusen. Eingreifen oder gar stoppen können sie den Vorgang nur beschränkt.

Die Hacker begannen unmittelbar nach dem Angriff damit, die gestohlenen Vermögenswerte zu verschieben. Um den Ursprung der Krypto-Gelder zu verschleiern wurden sie über Tausende von automatisierten Hochfrequenztransaktionen von einem Wallet zum nächsten verschoben. Dabei werden die gestohlenen Kryptowährungen gerne von einer Blockchain auf eine andere verschoben. In der Hoffnung, dass dies auch die besten Werkzeuge für die forensische Analyse überfordert.

Beliebt sind ebenfalls sogenannte «Mixer». Das sind dezentralisierte Finanzanwendungen (DeFI), die den Handel von digitalen Vermögenswerten ohne Vermittler wie Banken oder Vermögensverwalter möglich machen. Cyberkriminelle nutzen diese gerne, weil sie die Herkunft der Vermögenswerte verschleiern.

Vereinfacht ausgedrückt werden dazu Krypto-Gelder aus verschiedenen Quellen in einem Sammeltopf zusammengeführt. Der Mixer spaltet grosse Beträge in kleinere auf, verschiebt sie über diverse interne Wallets und verzögert die Auszahlung, damit die Krypto-Gelder nicht einem bestimmten Raub zugeordnet werden können. Ist eine gewisse Zeit vergangen, werden die Anteile dann auf neue Wallet überwiesen. Danach lässt sich kaum mehr zweifelsfrei feststellen, ob die Krypto-Gelder nun von Binance gestohlen wurden oder nicht.

Der finale Umtausch der Krypto-Gelder in Fiat-Währungen wie etwa Dollar oder Euro erfolgt oftmals über chinesische Schattenbanken oder informelle Broker, die nicht reguliert sind. Diese tauschen das gewaschene Kryptovermögen beispielsweise für ein Entgelt in eine andere Währung um.

Der Anteil von chinesischsprachigen Akteuren in dem Geschäft ist in den vergangenen Jahren rasant gestiegen. Laut dem Analyseunternehmen Chainalysis lag dieser im vergangenen Jahr bei rund 20 Prozent. Fünf Jahre zuvor waren sie noch so gut wie inexistent. Chainalysis schätzt, dass 2025 Krypto-Vermögenswerte im Wert von 82 Milliarden Dollar gewaschen wurden.

Das hat dazu geführt, dass diverse solcher «Mixer» in der Vergangenheit auf Sanktionslisten gelandet sind. Der bekannteste Fall ist Tornado Cash. Das amerikanische Finanzministerium hat den Dienst wegen angeblicher Geldwäscherei für Hacker aus Nordkorea 2022 mit Sanktionen belegt.

Nach einem Gerichtsentscheid wurden die Strafmassnahmen gegen Tornado Cash 2025 wieder aufgehoben. Dienste wie Blender oder Sindbad stehen allerdings nach wie vor auf der Sanktionsliste der USA.

Risiko für Geldwäscherei ist auch in der Schweiz hoch

In seinem Risiko-Bericht zu Geldwäscherei und Terrorismusfinanzierung von Mitte Oktober weist der Bundesrat ebenfalls auf die erhöhte Gefahr durch Krypto-Vermögenswerte hin. Beobachtet werde etwa die Verschiebung von Geldern zwischen «Krypto-Börsen und traditionellen Bankkanälen, um illegale Gelder in das traditionelle Finanzsystem zu überführen», heisst es darin. Das Risiko für Geldwäscherei- und Terrorismusfinanzierung wird insbesondere bei spezialisierten Krypto-Banken als «hoch» eingestuft.

Die Hackerangriffe aus Nordkorea sind für die Schweizer Kryptobranche ein erhöhtes Risiko sagt Stephan Zimmermann, Chef der Rechtsabteilung bei der Krypto-Bank Sygnum. Vor allem durch den Einsatz von Künstlicher Intelligenz sei dieses massiv gestiegen – die Massierung von Attacken, wie zuletzt auf Pensionskassen in der Schweiz oder auf das Register der wirtschaftlich Berechtigten in Liechtenstein zeige dies. Damit sich die Unternehmen dagegen schützen könnten sind laut ihm sehr viel Expertise und Investitionen nötig.

Sygnum etwa hat spezielle Vorsichtsmassnahmen eingeführt, damit solche Krypto-Gelder nicht ins Finanzsystem gelangen. Kunden müssen eindeutig nachweisen, woher ihre Vermögenswerte stammen – zum Beispiel nach einem Immobilienverkauf oder einer angeblichen Erbschaft. «Wir akzeptieren etwa keine Einzahlungen oder Transaktionen, die aus Mixer-Anwendungen stammen», sagt Zimmermann.

Nach dem Hack bei Binance hat das FBI zudem eine lange Liste mit kontaminierten Wallet-Adressen veröffentlicht, in denen Krypto-Gelder von Binance aufgetaucht sind oder die mit TraderTraitor verbunden sind. Sygnum sperrt diese Adressen. Dazu wird hochspezialisierte Software für forensische Untersuchungen auf der Blockchain verwendet. Grundsätzlich gilt für Zimmermann jedoch: Wachsam sein und aus den Vorgängen lernen.

Passend zum Artikel