Nordkorea-verknüpfte Hacker haben in diesem Jahr mehr als 1 Milliarde US-Dollar an Kryptowährungen gestohlen, laut Chainalysis. Der 387,5-Millionen-Dollar-Bitget-Breach hat die Gesamtsumme über diese Marke getrieben, während die Gesamtverluste durch DeFi-Exploits weiter sinken, da sich Diebstähle auf eine staatlich gelenkte Operation konzentriert haben.
Nordkoreas Krypto-Diebstähle überstiegen 1 Milliarde US-Dollar. Krypto feierte.
Wichtige Erkenntnisse
- Mit Nordkorea verbundene Hacker haben laut Chainalysis im Jahr 2026 mehr als $1 billion in Kryptowährungen gestohlen, nachdem sie 2025 bereits über $2 billion erbeutet hatten.
- Der Bitget-Angriff am 24. September, 387,5 Millionen US-Dollar und der größte des Jahres, hat die laufende Gesamtsumme über die Marke getrieben.
- Die Gesamtverluste durch DeFi-Exploits gehen tatsächlich zurück. Die "gute Nachricht" verbirgt eine Konsolidierung der Diebstähle in einer einzigen, staatlich unterstützten, industrialisierten Operation.
- Der Angriffsvektor hat sich von Code auf Menschen verlagert: Der Hack des Drift-Protokolls umfasste sechs Monate an physischer Infiltration, nicht einen Smart-Contract-Bug.
- THORChain weigerte sich, die gestohlenen Bitget-Gelder zu blockieren, während NEAR Intents 50 Millionen US-Dollar sperrte und die DeFi-Welt in zwei inkompatible Zukunftsszenarien teilte.
Laut Chainalysis haben nordkoreanische Hacker in diesem Jahr bereits mehr als $1 billion in Kryptowährungen gestohlen. Den Ausschlag gab der Abfluss von $387.5 million von der Börse Bitget am 24. September, der größte einzelne Hack des Jahres 2026. Doch in derselben Woche klopfte sich ein Großteil der Branche stillschweigend selbst auf die Schulter, da die Gesamtverluste durch DeFi-Exploits zurückgegangen sind.
Beide Fakten sind wahr. Das ist das Problem.
Das große Bild: Die Amateur-Stunde der Kryptowährungen ist vorbei
Die Schlagzeile „Hack-Verluste gesunken“ ist zwar korrekt, aber irreführend. Im ersten Quartal 2026 verloren DeFi-Protokolle rund $168 million durch Exploits, ein Rückgang von etwa 90 % gegenüber den $1.58 billion, die im ersten Quartal 2025 gestohlen wurden – dem Quartal, das auch den Rekord-Hack bei Bybit in Höhe von $1.4 billion umfasste. Liest man dies unkritisch, könnte man meinen, die Krypto-Branche habe ihre Sicherheitsprobleme endlich in den Griff bekommen.
Was tatsächlich geschah, ist weniger schmeichelhaft. Die Script-Kiddie- und Lone-Wolf-Angriffe, die früher die jährlichen Statistiken aufblähten, die $150.000-Lending-Protocol-Bugs, die $80.000-Quoting-Logic-Flaws, sind weitgehend versiegt. An ihrer Stelle steht eine einzelne, staatsfinanzierte Operation, die zuverlässig neunstellige Beträge auf einmal abzweigt. Der Diebstahl hat nicht abgenommen. Er hat sich konsolidiert.
Nordkorea behandelt Krypto-Diebstahl als staatliche Einnahmequelle. Die Vereinten Nationen haben wiederholt geschätzt, dass gestohlene Kryptowährungsmittel einen bedeutenden Teil von Pyongjangs Waffenprogrammen finanzieren. Dies ist keine Bande von Kriminellen, die zufällig Solidity gelernt hat. Es ist eine nationale Industriepolitik, die über Einheiten wie Lazarus und TraderTraitor betrieben wird, mit einer Rekrutierungspipeline, einem Lehrplan und einer Geldwäsche-Logistikkette, die die meisten legitimen Finanzinstitutionen in den Schatten stellen würde.
Überlegen Sie, was "industrialisiert" hier eigentlich bedeutet. Der Drift-Protocol-Angriff im April war kein Einbruch; es war eine Operation. Die Angreifer gaben etwa sechs Monate lang vor, eine quantitative Handelsfirma zu sein, besuchten Konferenzen, freundeten sich persönlich mit Mitwirkenden an und hinterlegten sogar 1 Million Dollar ihres eigenen Kapitals in einem Projekt-Vault, um Vertrauen aufzubauen. Dann missbrauchten sie Solanas Mechanismus für dauerhafte Nonces, um die administrativen Rechte des Sicherheitsrats an sich zu reißen. Die Smart Contracts hielten perfekt stand. Die Menschen nicht.
Warum gewinnt Nordkorea, wenn Hacks "zurückgehen"?
Die Antwort ist, dass die Branche gegen den falschen Feind optimiert hat. Ein Jahrzehnt lang hat Krypto Geld in Code-Audits, Bug-Bounties und formale Verifikation investiert, und diese Arbeit war weitgehend erfolgreich. Die Ausnutzung eines gut auditierten Smart Contracts ist heute wirklich schwierig. Also hat der Gegner die Ziele gewechselt.
Ledgers CTO Charles Guillemet zog nach Drift die Linie explizit und verknüpfte seine Methode mit dem Bybit-Raub: langfristige Infiltration der Menschen, die die Schlüssel halten, und Überzeugung, sie zur Genehmigung böswilliger Transaktionen zu bewegen. Die Angriffsfläche verschob sich die Stack-Ebene hinauf, vom Code zu den Menschen, die ihn betreiben. Krypto hat zehn Jahre damit verbracht, seine Verträge zu härten und vergessen, dass die schwächste Eingabe immer noch ein Mensch ist.
Der Bitget-Hack nutzte im Gegensatz dazu eine Schwachstelle in der Drittanbieter-Software, um interne Zugangsdaten zu stehlen – ein Problem des Vendor-Risikos, kein Protokollfehler. Mandiant und SlowMist sind noch dabei, genau herauszufinden, wie es dazu kam. Aber das Muster ist konsistent: Dies sind Angriffe auf die Lieferkette und Social Engineering, die auf operative Menschen abzielen, die einzige Schicht, die kein Auditor jemals freigegeben hat.
Ripple-Effekte: Das THORChain-Paradoxon
Die Geschichte innerhalb der Geschichte ist das, was mit dem Geld nach Bitget geschah. Innerhalb von drei Stunden verteilten die Angreifer 387,5 Millionen US-Dollar auf vier Netzwerke: 49,7 % auf Ethereum, 40,8 % auf den XRP Ledger, 7,6 % auf Zcash und 1,8 % auf Tron. Dann taten sie das, was zur Signatur von Lazarus geworden ist: Sie leiteten den XRP durch THORChain und konvertierten über 90 % davon in natives Bitcoin, ohne jemals eine zentrale Börse zu berühren, die sie einfrieren könnte.
Bitget-CEO Gracy Chen bat THORChain öffentlich darum, die markierten Adressen zu blockieren. „Dezentralisierung ist ein Gestaltungsprinzip“, schrieb sie, „kein Schutzschild zur Erleichterung bekannter gestohlener Gelder.“ THORChain weigerte sich und argumentierte, es sei „berechtigungsfrei wie Bitcoin, Ethereum und BNB Chain“ und fragte, welche Verantwortung diese Basisschichten für gestohlene Gelder tragen, die durch sie fließen.
Die Antwort ergibt sich von selbst. Als THORChain selbst im Mai um 10,7 Millionen US-Dollar erleichtert wurde, hielt das Netzwerk innerhalb von Stunden an und blieb fünf Wochen offline. Als ThorFi im Januar 2025 in die Krise geriet, stimmten seine Nodes über Nacht dafür, Auszahlungen einzufrieren. Wie OKX-Gründer Star Xu es ausdrückte: Ein Netzwerk, das anhält, wenn das eigene Geld gefährdet ist, sich aber weigert anzuhalten, wenn das Geld anderer gefährdet ist, ist nicht „wie Bitcoin“. Es trifft eine Wahl.
Hier ist die Gabelung, die für das gesamte Ökosystem von Bedeutung ist. NEAR Intents tat das Gegenteil von THORChain: Sein automatisiertes SHIELD-System blockierte etwa 50 Millionen US-Dollar an Bitget-verknüpften Swaps und lehnte sogar das 5-prozentige Belohnungsgeld ab, das Bitget anbot. Bitget bedankte sich bei ihnen. Dezentralisierung-Puristen griffen sie an, weil sie nicht dezentralisiert genug seien. Zwei Protokolle, zwei unvereinbare Antworten auf dieselbe Frage, und jedes DeFi-Projekt muss jetzt eine Seite wählen, ob es es sagt oder nicht.
Historischer Kontext: Das Bybit-Playbook, verfeinert
Nichts davon ist neu; es ist nur schärfer. Im Februar 2025 stahl Lazarus 1,46 Milliarden US-Dollar von Bybit und wusch etwa 1,2 Milliarden US-Dollar davon über THORChain, elf Tage nachdem THORChain seinen Admin-Key zurückgezogen hatte. Der Dieb der Coldcard nutzte es. Der Dieb von Bitget nutzte es. THORChain ist zum Krypto-Wäsche-System geworden, was Tornado Cash für Mixer-Wäsche war, außer dass der Co-Gründer von Tornado Cash wegen des Betriebs eines unlizenzierten Geldüberweisungsunternehmens verurteilt wurde, während THORChain offen mit einem Token der Spitzenklasse operiert.
Der Unterschied zwischen damals und heute ist Skalierung und Beständigkeit. Ein Jahr mit 1 Milliarde US-Dollar war früher eine Anomalie, die von einem einzigen katastrophalen Hack angetrieben wurde. Jetzt ist es die laufende Basislinie, und das Jahr ist noch nicht vorbei. Nordkorea hat den großflächigen Diebstahl zu einer wiederholbaren, vierteljährlich wiederkehrenden Operation gemacht, das Nächstgelegene, was Krypto einer feindseligen Umsatzabonnement hat.
Die Zukunftsperspektive: Wohin es in 1-3 Jahren geht
Drei Trends beschleunigen sich von hier aus.
Erstens verlagert sich der Engpass zur Ausstiegsschleuse. Wenn die Protokollschicht nicht zensieren wird, werden Regulierungsbehörden die Börsen, OTC-Büros und Banken unter Druck setzen, die mit dem umgewandelten Bitcoin in Berührung kommen. Die Bitcoin-Ledger bleibt auch nach der Umwandlung transparent, daher konzentriert sich die Durchsetzung dort, wo Gelder in Fiat aussteigen, genau dort, wo Ermittler immer den größten Erfolg hatten.
Zweitens wird die NEAR-vs-THORChain-Spaltung zu einer regulatorischen Grenze. Der 2026er-DeFi-Rahmen der Financial Action Task Force besagt bereits, dass Smart Contracts nicht seinen Regeln unterliegen, aber identifizierbare Personen mit „ausreichendem Einfluss“ auf ein Protokoll möglicherweise schon. THORChain eigener Mai-Halt beweist, dass es diesen Einfluss hat. Das ist keine juristische Frage mehr, sondern eine Frage des Zeitplans.
Drittens wird die Narrative der „rückläufigen Hacks“ schlecht altern. Ein einzelner gut getimter Vorfall kann 2026 dennoch zu einem Rekordjahr machen, da der Gegner nun eine wiederholbare Operation statt einer Reihe glücklicher Exploits durchführt. Das Tail-Risiko wurde dicker, während der Durchschnitt schrumpfte.
Die Perspektive des Händlers: Es geht nicht um den Preis, sondern um die Börse und das Asset
Das ist keine Preisgeschichte, sondern eine Gegenparteirisiko-Geschichte. Der Vorfall bei Bitget ist ein klares natürliches Experiment dafür, was eingefroren wird und was nicht. Circle und Tether haben angreifergekennzeichnete Wallets innerhalb von Tagen eingefroren, aber die Summe belief sich auf etwa 318.000 US-Dollar, oder 0,08 % der Beute. Die restlichen 88 % ruhten in ETH, XRP und Zcash, die keiner zentralisierte Emittent einfrieren kann. Angreifer wissen genau, welche Assets zensurresistent sind, und weisen sie entsprechend zu.
Die praktische Schlussfolgerung ist langweilig und nützlich: Betrachten Sie Cross-Chain-Liquiditäts-Hubs, Privacy-Coins und Hot-Wallet-Custody als Risikovariablen, die durch Regulierung unter Druck gesetzt oder von staatlichen Akteuren gezielt angegriffen werden können, und nicht nur als neutrale Infrastruktur. Diversifizieren Sie über verschiedene Plattformen hinweg. Verstehen Sie, dass die Compliance-Ausrichtung einer Plattform – oder deren Fehlen – heute eine wesentliche Tatsache bezüglich Ihrer Exposition darstellt, unabhängig davon, ob Sie etwas waschen oder nicht.
Schließen
Hier ist die Frage, die die Krypto-Welt immer wieder verweigert zu beantworten. Wenn ein sanktionierter, nuklear bewaffneter Staat Ihr "permissionless"-Protokoll als primäre Geldwäsche-Route nutzt und Ihr Protokoll nachweislich Transaktionen stoppen kann, wenn die eigenen Mittel gefährdet sind, wie lange dauert es, bis "wir können nicht" aufhört, eine Designphilosophie zu sein, und beginnt, als Wahl gelesen zu werden?
Die Branche verbrachte ein Jahrzehnt damit zu argumentieren, dass Code Gesetz ist. Nordkorea hat gerade bewiesen, dass das Gesetz eine Lücke hat. Und die Lücke sind wir.
Häufig gestellte Fragen
Wie viel Krypto hat Nordkorea 2026 gestohlen? Mehr als 1 Milliarde US-Dollar, laut Chainalysis, nach rund 2 Milliarden US-Dollar im Jahr 2025. Der Bitget-Breach im September in Höhe von 387,5 Millionen US-Dollar war der einzelne Vorfall, der die Gesamtsumme für 2026 über die Marke getrieben hat.
Warum fallen die gesamten Hack-Verluste, während die Diebstähle Nordkoreas steigen? Die Verluste durch DeFi-Exploits gingen im Q1 2026 im Jahresvergleich um etwa 90 % zurück, weil kleine, amateurhafte Hacks zurückgingen. Die Diebstähle hörten nicht auf, sie konsolidierten sich in einer staatlich geführten Operation, die weniger, aber viel größere Angriffe durchführte.
Warum hat THORChain die Bitget-Gelder nicht blockiert? Es argumentiert, es sei permissionless, wie Bitcoin oder Ethereum, und könne einzelne Adressen nicht zensieren. Kritiker weisen darauf hin, dass es sein eigenes Netzwerk innerhalb von Stunden nach einem Exploit in Höhe von 10,7 Millionen US-Dollar im Mai stoppte und sein Kreditprodukt im Januar 2025 einfroren.
Wie konnte der Drift-Hack ohne Code-Bug geschehen? Angreifer haben etwa sechs Monate lang Social Engineering an den Mitwirkenden betrieben, gaben sich als Quant-Firma aus, trafen sich persönlich, hinterlegten 1 Million US-Dollar und missbrauchten dann Solana Durable Nonces, um die Admin-Rechte des Security Councils an sich zu reißen. Der Code hielt stand; die Menschen nicht.
Was ist der Unterschied zwischen NEAR Intents und THORChain hier? Das SHIELD-System von NEAR Intents blockierte rund 50 Millionen US-Dollar an mit Bitget verbundenen Swaps und lehnte die 5%ige Belohnung ab. THORChain weigerte sich, überhaupt zu handeln. Die beiden Reaktionen repräsentieren zwei sich gegenseitig ausschließende Zukunftsszenarien für dezentrale Finanzen.