{"id":308901,"date":"2025-02-27T15:07:12","date_gmt":"2025-02-27T14:07:12","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=308901"},"modified":"2025-02-28T07:56:31","modified_gmt":"2025-02-28T06:56:31","slug":"entwickler-pc-ermoeglicht-15-milliarden-krypto-raub-der-lazarus-gruppe","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/02\/27\/entwickler-pc-ermoeglicht-15-milliarden-krypto-raub-der-lazarus-gruppe\/","title":{"rendered":"Entwickler PC erm\u00f6glicht 1,5 Milliarden Krypto-Raub der Lazarus-Gruppe"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Sicherheit (Pexels, allgemeine Nutzung)\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" alt=\"Sicherheit (Pexels, allgemeine Nutzung)\" width=\"200\" align=\"left\" \/>Es ist eine unglaubliche Geschichte: Am Freitag, den 21. Februar 2025, wurde die Kryptow\u00e4hrungsb\u00f6rse Bybit um die Summe von 1,5 Milliarden US-Dollar erleichtert. Diese Summe wurde in Form von Guthaben in der Kryptow\u00e4hrung Etherum von den Bybit-Konten abgezogen. Das FBI nennt die in Nordkorea verortete, staatliche Lazarus-Hackergruppe als verantwortlich. Den Hackern gelang wohl der Zugriff \u00fcber einen infizierten Entwickler-PC mittels eines JavaScript-Programms.<\/p>\n<p><!--more--><\/p>\n<h2>Der 1,5 Milliarden-Hack<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg02.met.vgwort.de\/na\/1ab86e564c6c467ab9290181df7cbbeb\" alt=\"\" width=\"1\" height=\"1\" \/>Am Freitag, den 21. Februar 2025, die Kryptow\u00e4hrungsb\u00f6rse Bybit einen Hack der Plattform \u00f6ffentlich, bei der der Gegenwert von 1,46 Milliarden US-Dollar in Etherum Kryptow\u00e4hrungsguthaben abgeflossen sind.<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/i.postimg.cc\/Vv4R1g3T\/image.png\" alt=\"Bybit Hack\" width=\"598\" height=\"653\" \/><\/p>\n<p>Konkret hei\u00dft es, dass bei einer \u00dcberweisung von einer ETH Multisig Cold Wallet eine an der Bybit Warm Wallet eine Manipulation aufgetreten sei. Diese Transaktion wurde durch einen ausgekl\u00fcgelten Angriff manipuliert, der die Signierschnittstelle maskierte und die korrekte Adresse anzeigte. Im Hintergrund wurde die zugrunde liegende Smart-Contract-Logik ver\u00e4ndert.<\/p>\n<p>Infolgedessen konnte ein Angreifer die Kontrolle \u00fcber die betroffene ETH-Wallet erlangen und ihre Best\u00e4nde an eine nicht identifizierte Adresse \u00fcbertragen. Die Kollegen von Bleeping Computer haben den Sachverhalt zeitnah im Beitrag\u00a0<a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/hacker-steals-record-146-billion-from-bybit-eth-cold-wallet\/\" target=\"_blank\" rel=\"noopener\">Hacker steals record $1.46 billion from Bybit ETH cold wallet<\/a> aufgegriffen.<\/p>\n<h2>FBI beschuldigt die Lazarus-Gruppe<\/h2>\n<p>Das Federal Bureau of Investigation (FBI) hat zum 26. Februar 2025 <a href=\"https:\/\/www.ic3.gov\/PSA\/2025\/PSA250226\" target=\"_blank\" rel=\"noopener\">dieses Dokument<\/a> ver\u00f6ffentlicht, und beschuldigt, die Demokratische Volksrepublik Korea (Nordkorea) f\u00fcr den Diebstahl von virtuellen Verm\u00f6genswerten in H\u00f6he von etwa 1,5 Milliarden US-Dollar von der Kryptow\u00e4hrungsb\u00f6rse Bybit am oder um den 21. Februar 2025 verantwortlich zu sein.<\/p>\n<p><a href=\"https:\/\/www.ic3.gov\/PSA\/2025\/PSA250226\" target=\"_blank\" rel=\"noopener\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/i.postimg.cc\/zf5FL98M\/image.png\" alt=\"FBI zum Bybit-Hack durch Nordkorea\" width=\"640\" height=\"688\" \/><\/a><\/p>\n<p>In der Mitteilung wurden die Etherum-Adressen ver\u00f6ffentlicht, die bei diesem Hack ver\u00f6ffentlicht wurden. Bleeping Computer hat die Informationen <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/fbi-confirms-lazarus-hackers-were-behind-15b-bybit-crypto-heist\/\" target=\"_blank\" rel=\"noopener\">hier<\/a> noch etwas aufbereitet.<\/p>\n<p>Der CEO von Bybit k\u00fcndigte den Start der Plattform <a href=\"https:\/\/lazarusbounty.com\" target=\"_blank\" rel=\"noopener\">lazarusbounty.com<\/a> an, um die Lazarus-Hacker aus Nordkorea zu bek\u00e4mpfen. Es werden Kopfgelder f\u00fcr das Aufsp\u00fcren gestohlener Gelder ausgesetzt, wobei bereits \u00fcber 4 Millionen Dollar als Teil der laufenden Aktivit\u00e4ten gegen die Lazarus-Gruppe ausgezahlt wurden.<\/p>\n<h2>Hack \u00fcber einen Entwickler-PC<\/h2>\n<p>Nach einer forensischen Analyse haben die Verantwortlichen offen gelegt, wie der Angriff durch die Hacker abgelaufen ist.<br \/>\n<img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/i.postimg.cc\/3ws18dWX\/image.png\" alt=\"Bybit-Hack, der Ablauf\" width=\"558\" height=\"800\" \/><br \/>\nIm ersten Schritt wurde ein b\u00f6sartiges JavaScript unter folgender URL<\/p>\n<pre>*http:\/\/app.safe.global\/_next\/static\/chunks\/pages\/_app-4f0dcee809cce622.js<\/pre>\n<p>in ein Safe{Wallet} auf AWS injiziert. Einer der Entwickler scheint dann das Script in die Produktionsumgebung \u00fcbernommen zu haben. Dieses JS-Modul war in der Lage, die Funktion <em>executeTransaction() <\/em>zu \u00e4ndern, aber nur, wenn der Unterzeichner einer Transaktion in einer vordefinierten Liste (Bybit Multisig-Besitzer) enthalten war. Am Ende des Tages waren die Angreifer so in der Lage, die rund 1,5 Milliarden US-Dollar in Etherum-Guthaben von Bybit-Konten abzuziehen.<\/p>\n<p>Die Kollegen von Bleeping Computer haben das Ganze in <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/lazarus-hacked-bybit-via-breached-safe-wallet-developer-machine\/\" target=\"_blank\" rel=\"noopener\">diesem Artikel<\/a> noch etwas detaillierter beschrieben. Ich wei\u00df nicht, wie es der Leserschaft geht &#8211; aber mir wird ganz schlecht, wenn ich so etwas lese. Da wird versucht, die Leute in Kryptow\u00e4hrungen zu locken. Aber \u00fcber die letzten Jahre lese ich am laufenden Band, wie Konten mit Guthaben in Kryptow\u00e4hrungen durch Hacks geleert werden. Und am Ende des Tages reichen dann einige Zeilen JavaScript-Code, um Milliarden zu erbeuten. Das ist auch einer der Gr\u00fcnde, warum ich die Finger von Kryptow\u00e4hrungen gelassen habe (der andere Grund ist, dass ich von dem Konstrukt nichts verstehe und nicht nachvollziehen kann, wo der Gegenwert her kommen soll).<\/p>\n<h2>Aufbereitung durch Check Point<\/h2>\n<p>Erg\u00e4nzung: Sicherheitsanbieter Check Point hat mir noch eine Aufbereitung zugesandt, die ich einfach mal als Erg\u00e4nzung einstelle. Die\u00a0Check Point Sicherheitsforscher ziehen den Schlu\u00df, dass Multisig und Cold Wallets keine undurchdringliche Sicherheit mehr bieten. Hier die wichtigsten Ergebnisse:<\/p>\n<ul>\n<li>In einem der gr\u00f6\u00dften Diebst\u00e4hle digitaler Verm\u00f6genswerte in der Geschichte verschafften sich Hacker Zugang zu einer Offline-Ethereum-Wallet und stahlen digitale Verm\u00f6genswerte im Wert von 1,5 Milliarden US-Dollar, die haupts\u00e4chlich aus Ethereum-Token bestanden.<\/li>\n<li>Der j\u00fcngste Vorfall bei Bybit markiert eine neue Phase bei den Angriffsmethoden, bei denen fortgeschrittene Techniken zur Manipulation von Benutzeroberfl\u00e4chen zum Einsatz kommen. Die Angreifer zielten nicht nur auf Protokollfehler ab, sondern nutzten geschicktes Social Engineering, um Benutzer zu t\u00e4uschen, was zur Kompromittierung einer gro\u00dfen institutionellen Multisig-Einrichtung f\u00fchrte.<\/li>\n<li>Im Juli dieses Jahres identifizierte und ver\u00f6ffentlichte das Blockchain Threat Intelligence System von Check Point ein beunruhigendes Muster, bei dem Angreifer legitime Transaktionen \u00fcber die <em>execTransaction-Funktion<\/em> des Safe-Protokolls manipulierten.<\/li>\n<li>Der j\u00fcngste Hack unterstreicht, dass Multi-Sig Cold Wallets nicht sicher sind, wenn Unterzeichner get\u00e4uscht oder kompromittiert werden k\u00f6nnen, und zeigt die zunehmende Raffinesse von Angriffen auf die Lieferkette und die Benutzeroberfl\u00e4che.<\/li>\n<\/ul>\n<p>Eine aktuelle Studie von Check Point Research best\u00e4tigt, dass der Angriff auf ByBit kein isolierter Vorfall ist, sondern einen wachsenden Trend von Angriffen auf Krypto-Unternehmen zeigt. Bereits im Juli 2024 identifizierte das Threat Intelligence System von Check Point ein Angriffsmuster, bei dem Hacker gezielt die <em>execTransaction-Funktion<\/em> des Safe-Protokolls ausnutzten, um komplexe Angriffe durchzuf\u00fchren.<\/p>\n<p>Der Vorfall bei ByBit zeigt nun, dass sich diese Taktiken zu einer ernstzunehmenden, branchenweiten Bedrohung entwickelt haben. Anstatt Smart Contracts direkt anzugreifen, verwendeten die Hacker falsche Benutzeroberfl\u00e4chen, um Multisig-Unterzeichner zu t\u00e4uschen und betr\u00fcgerische Transaktionen freizugeben. Dazu setzten sie gezieltes Social Engineering ein, identifizierten ByBit-Mitarbeiter mit Signierberechtigungen und nutzten manipulierte Benutzeroberfl\u00e4chen, um b\u00f6sartige Transaktionen zu verschleiern.<\/p>\n<p>Am 21. Februar 2025 warnte das Check Point Blockchain Threat Intel System vor einem kritischen Angriffsprotokoll im Ethereum-Blockchain-Netzwerk.<\/p>\n<p><a href=\"https:\/\/i.postimg.cc\/QdWGjTnd\/image005.png\" target=\"_blank\" rel=\"noopener\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/i.postimg.cc\/QdWGjTnd\/image005.png\" alt=\"Checkpoint Warnung\" width=\"640\" height=\"89\" \/><\/a><em>Abbildung 1: Protokollierung der Attacke (Check Point Software Technologies Inc.).<\/em><\/p>\n<p>Das Protokoll zeigte, dass die KI-Engine eine anomale \u00c4nderung in einer Transaktion identifiziert und als kritischen Angriff eingestuft hatte. Es wurde darauf hingewiesen, dass die ByBit Cold Wallet geknackt wurde, was zum Diebstahl von digitalen Verm\u00f6genswerten im Wert von rund 1,5 Milliarden US-Dollar, haupts\u00e4chlich in Form von Ethereum-Token, f\u00fchrte.<\/p>\n<p>Check Point Research (CPR) analysierte den Angriff und erkl\u00e4rte, wie das Intel Blockhain Threat System den Angriff identifizieren konnte.<\/p>\n<p><a href=\"https:\/\/i.postimg.cc\/g0DMpcd0\/image006.png\" target=\"_blank\" rel=\"noopener\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone\" title=\"Angriff auf die ByBit Cold Wallet\" src=\"https:\/\/i.postimg.cc\/g0DMpcd0\/image006.png\" alt=\"Angriff auf die ByBit Cold Wallet\" width=\"640\" height=\"315\" \/><\/a>Abbildung 2: Der Angriffsweg im Protokoll und als Schaubild dargestellt (Check Point Software Technologies Inc.).<\/p>\n<p>Dieser Hack stellt einen neuen Pr\u00e4zedenzfall in der Krypto-W\u00e4hrungssicherheit dar, da er eine Multisig Cold Wallet umging, ohne eine Schwachstelle in Smart Contracts auszunutzen. Stattdessen wurden menschliches Vertrauen missbraucht und UI-T\u00e4uschung eingesetzt. Die Erkenntnis daraus:<\/p>\n<ul>\n<li>Multisigs sind keine Sicherheitsgarantie mehr, da Unterzeichner kompromittiert werden k\u00f6nnen.<\/li>\n<li>Cold Wallets sind nicht automatisch sicher, da ein Angreifer manipulieren kann, was ein Unterzeichner sieht.<\/li>\n<li>Die Angriffe auf die Wertsch\u00f6pfungskette und die Manipulation der Benutzeroberfl\u00e4che werden auch in diesem Bereich raffinierter.<\/li>\n<\/ul>\n<p>Daher empfehlen die Sicherheitsforscher sowohl Unternehmern als auch Privat-Anwendern folgende Schritte, um sich besser zu wappnen:<\/p>\n<ul>\n<li>Umfassende Sicherheitsma\u00dfnahmen: Unternehmen mit umfangreichen Krypto-Assets m\u00fcssen herk\u00f6mmliche Sicherheitsprodukte wie Endpoint Threat Protection und E-Mail-Sicherheit integrieren, um zu verhindern, dass Malware sensible Computer infiziert und sich im gesamten Unternehmen ausbreitet. Dies ist entscheidend f\u00fcr den Schutz vor ausgekl\u00fcgelten Angriffen, die menschliche Schw\u00e4chen ausnutzen und die Benutzeroberfl\u00e4che manipulieren.<\/li>\n<li>Echtzeit-Pr\u00e4vention: Die Industrie braucht einen Paradigmenwechsel von inkrementellen Sicherheitsverbesserungen hin zu Echtzeit-Pr\u00e4vention. So wie Firewalls in Unternehmensnetzwerken und Clouds eingesetzt werden, um jedes Paket zu pr\u00fcfen, muss im Web3 jede Transaktion in Echtzeit gepr\u00fcft werden, um die Sicherheit zu gew\u00e4hrleisten. Dieser Ansatz kann betr\u00fcgerische Aktivit\u00e4ten verhindern, bevor sie Schaden anrichten k\u00f6nnen.<\/li>\n<li>Implementierung von Zero-Trust-Sicherheit: Jedes Ger\u00e4t des Unterzeichners sollte als potentiell gef\u00e4hrdet angesehen werden. Daher sollte man dedizierte, drahtlose Signierger\u00e4te f\u00fcr Multisig-Berechtigungen benutzen. Die Unterzeichner sollte man auffordern, die Transaktionsdetails \u00fcber einen zweiten, unabh\u00e4ngigen Kanal zu verifizieren.<\/li>\n<\/ul>\n<p>Oded Vanunu, Head of Products Vulnerability Research bei Check Point Research, erkl\u00e4rt: \"Der Angriff auf ByBit kommt nicht \u00fcberraschend, denn im vergangenen Juli haben wir eben die Manipulationstechnik aufgedeckt, welche die Angreifer bei diesem rekordverd\u00e4chtigen Diebstahl verwendet haben. Die alarmierende Erkenntnis ist aber, dass sogar Cold Wallets, die bisher als sicherste Option galten, nun angreifbar sind. Dieser Hack beweist somit, dass ein pr\u00e4ventiver Ansatz, bei dem jeder Schritt einer Transaktion abgesichert wird, der einzige Weg ist, um Cyber-Kriminelle daran zu hindern, in Zukunft \u00e4hnlich schwerwiegende Angriffe durchzuf\u00fchren.\"<\/p>\n<p>Der Bybit-Hack hat lang gehegte Annahmen \u00fcber die Sicherheit von Krypto-W\u00e4hrungen ersch\u00fcttert. Sogar bei l\u00fcckenlosen technischen Schutzma\u00dfnahmen bleibt menschliches Versagen die gr\u00f6\u00dfte Schwachstelle. Dieser Angriff zeigt, wie abgestimmte Taktiken, darunter die Manipulation der Benutzeroberfl\u00e4che und hochgez\u00fcchtetes Social Engineering auch die sichersten Wallets knacken k\u00f6nnen. Die Sicherheit von Krypto-W\u00e4hrungen muss daher \u00fcber kryptografisches Vertrauen hinausgehen und menschliche Schw\u00e4chen, fortschrittliche Malware-Bedrohungen und Angriffe auf die Benutzeroberfl\u00e4che ber\u00fccksichtigen. Die Branche muss deshalb \u00fcberdenken, wie Transaktionen verifiziert werden und wie mehrstufige, unabh\u00e4ngige Verifizierungsprozesse solche katastrophalen Attacken in Zukunft verhindern k\u00f6nnen.<\/p>\n<p>Check Point hat die Erkenntnisse in <a href=\"https:\/\/blog.checkpoint.com\/security\/what-the-bybit-hack-means-for-crypto-security-and-the-future-of-multisig-protection\/\" target=\"_blank\" rel=\"noopener\">diesem Blog-Beitrag<\/a> ver\u00f6ffentlicht und alle technischen Einzelheiten finden <a href=\"https:\/\/research.checkpoint.com\/2025\/the-bybit-incident-when-research-meets-reality\/\" target=\"_blank\" rel=\"noopener\">hier<\/a> ver\u00f6ffentlicht.<\/p>\n<p>&nbsp;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Es ist eine unglaubliche Geschichte: Am Freitag, den 21. Februar 2025, wurde die Kryptow\u00e4hrungsb\u00f6rse Bybit um die Summe von 1,5 Milliarden US-Dollar erleichtert. Diese Summe wurde in Form von Guthaben in der Kryptow\u00e4hrung Etherum von den Bybit-Konten abgezogen. Das FBI &hellip; <a href=\"https:\/\/borncity.com\/blog\/2025\/02\/27\/entwickler-pc-ermoeglicht-15-milliarden-krypto-raub-der-lazarus-gruppe\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[2564,4328],"class_list":["post-308901","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-hack","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/308901","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=308901"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/308901\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=308901"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=308901"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=308901"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}