Quantstamp identifiziert nordkoreanische Akteure hinter dem 36-Millionen-Dollar-Hack auf Humanity Protocol – via Spear-Phishing und Social Engineering.
Ein Diebstahl von 36 Millionen Dollar bei Humanity Protocol. Eine Spur, die bis nach Pjöngjang führt. Und eine Technik des Social Engineerings, die erschreckend effektiv war und das Projektteam vollständig täuschte.
Das Blockchain-Sicherheitsauditunternehmen Quantstamp hat soeben eine Analyse veröffentlicht, die nordkoreanische Akteure hinter einem der aufsehenerregendsten Krypto-Angriffe der vergangenen Wochen identifiziert. Die Details der Operation offenbaren ein Ausmaß an Raffinesse, das weit über einen einfachen technischen Exploit hinausgeht.
Hier ist, was über diesen Angriff, seine Mechanismen und das bekannt ist, was er über die Entwicklung der Bedrohungen für das Web3-Ökosystem verrät.
Laut der Analyse von Quantstamp basiert der Einstiegspunkt des Angriffs auf einer betrügerischen E-Mail, die die Identität von Bithumb vortäuschte – einer der größten südkoreanischen Kryptobörsen. Diese gezielte Spear-Phishing-Technik ermöglichte es den Angreifern, ein Mitglied des Humanity Protocol-Teams zu kompromittieren und damit die Tür zum gesamten System zu öffnen.
Die Identitätsanmaßung bekannter Börsen ist ein wiederkehrendes Erkennungsmerkmal von Hackergruppen, die mit Nordkorea in Verbindung stehen – allen voran die berüchtigte Lazarus Group. Diese Akteure zielen nicht nur auf Codefehler ab – sie greifen Menschen an, oft das schwächste Glied jeder Sicherheitsinfrastruktur. Der Rückgriff auf eine im asiatischen Kryptosektor bekannte koreanische Instanz erhöht die Glaubwürdigkeit des Köders für die anvisierten Teams erheblich.
Diese Art hybrider Angriffe – eine Kombination aus Social Engineering und technischer Ausnutzung – ist zum Standard für staatlich gesteuerte nordkoreanische Gruppen geworden, die laut Schätzungen der UN und von Chainalysis in den vergangenen Jahren mehrere Milliarden Dollar in Kryptowährungen gestohlen haben sollen.
Humanity Protocol ist ein Blockchain-Projekt, das sich auf dezentrale Identitätsverifizierung konzentriert – unter anderem mittels Handflächenerkennung. Unterstützt von namhaften Investoren und mit bedeutenden Finanzierungsrunden im Rücken stellte das Projekt für Angreifer, die ihren Ertrag pro Angriff maximieren wollen, ein äußerst attraktives Ziel dar.
Der Verlust von 36 Millionen Dollar ist ein schwerer Schlag für das Ökosystem des Projekts, aber auch für das Vertrauen der Nutzer in dezentrale Identitätsprotokolle. In einem Sektor, dessen zentrales Versprechen gerade Sicherheit und Datensouveränität ist, sendet eine solche Sicherheitslücke ein alarmierendes Signal an Investoren und institutionelle Partner.
Quantstamp, das mit der Post-mortem-Analyse des Vorfalls beauftragt wurde, betont, dass die Kompromittierung nicht über eine Schwachstelle in den Smart Contracts des Protokolls erfolgte, sondern über einen Angriff auf die menschliche und operative Infrastruktur des Teams. Dieses Detail ist entscheidend: Selbst geprüfter und gesicherter Code schützt nicht vor einem privaten Schlüssel, der per Phishing gestohlen wurde.
Der Fall Humanity Protocol reiht sich in einen besorgniserregenden Trend ein. Laut Daten von Chainalysis sollen nordkoreanische Hacker allein im Jahr 2024 mehr als 1,3 Milliarden Dollar in Kryptowährungen gestohlen haben – was die DVRK zum aktivsten und gefährlichsten böswilligen Akteur im globalen Blockchain-Bereich macht.
Die Methoden entwickeln sich ständig weiter: gefälschte LinkedIn-Recruiter, E-Mails unter dem Namen bekannter Börsen, als Software-Updates getarnte Malware. Kryptoprojekt-Teams, die oft klein und mit begrenzten Cybersicherheitsressourcen ausgestattet sind, sind bevorzugte Angriffsziele. Quantstamp empfiehlt Projekten, ihre internen Authentifizierungsprotokolle zu stärken, ihre Teams im Umgang mit Phishing-Versuchen zu schulen und Multi-Signatur-Architekturen einzuführen, um die Exposition von Geldern im Falle der Kompromittierung eines einzelnen Akteurs zu begrenzen.
Für die gesamte Branche verdeutlicht dieser Vorfall einmal mehr, dass Sicherheit im Web3 nicht auf das Audit von Smart Contracts reduziert werden kann. Die menschliche Angriffsfläche bleibt die am häufigsten ausgenutzte – und die schwierigste, die sich patchen lässt.
Thomas ist Inhaber eines BTS-Diploms in Informatik mit Schwerpunkt SEO und zertifizierter Texter für Web und E-Commerce. Seit 2018 begeistert er sich für Blockchain-Technologien und Kryptowährungen. Als Spezialist für die Analyse von Marktzyklen im Kryptobereich begann er 2019 mit dem GPU-Mining – zunächst mit ETH, später mit einem Wechsel zu KASPA und Alephium (ALPH).
HAFTUNGSAUSSCHLUSS
Dieser Artikel dient ausschließlich Informationszwecken und sollte nicht als Anlageberatung betrachtet werden. Der Handel mit Kryptowährungen ist mit erheblichen Risiken verbunden, und es ist wichtig, nur Beträge zu investieren, die Sie sich leisten können zu verlieren.
InvestX übernimmt keine Verantwortung für die Qualität der auf dieser Seite präsentierten Produkte oder Dienstleistungen und kann weder direkt noch indirekt für Schäden oder Verluste haftbar gemacht werden, die durch die Nutzung eines in diesem Artikel vorgestellten Produkts oder einer Dienstleistung entstehen. Investitionen in Krypto-Assets sind von Natur aus riskant. Leser sollten eigene Recherchen durchführen, bevor sie eine Investitionsentscheidung treffen, und nur im Rahmen ihrer finanziellen Möglichkeiten investieren. Dieser Artikel stellt keine Anlageberatung dar.
Warnhinweis : Der Handel mit Finanzinstrumenten und/oder Kryptowährungen birgt hohe Risiken, einschließlich des Risikos, Ihr gesamtes oder einen Teil Ihres investierten Kapitals zu verlieren. Dieser Handel ist möglicherweise nicht für alle Investoren geeignet. Die Preise von Kryptowährungen sind äußerst volatil und können durch externe Faktoren wie finanzielle, regulatorische oder politische Ereignisse beeinflusst werden. Der Margin-Handel erhöht die finanziellen Risiken erheblich.
CFDs sind komplexe Finanzprodukte, die aufgrund des Hebeleffekts ein hohes Risiko eines schnellen Kapitalverlusts bergen. 74 % bis 89 % der Privatanlegerkonten verlieren Geld beim Handel mit CFDs. Sie sollten sicherstellen, dass Sie verstehen, wie CFDs funktionieren, und abwägen, ob Sie es sich leisten können, das hohe Risiko eines Kapitalverlusts einzugehen.
Bevor Sie sich für den Handel mit Finanzinstrumenten oder Kryptowährungen entscheiden, sollten Sie sich vollständig über die damit verbundenen Risiken und Gebühren informieren, Ihre Anlageziele, Ihre Erfahrung und Ihre Risikotoleranz sorgfältig prüfen und gegebenenfalls professionelle Beratung in Anspruch nehmen. InvestX.de und die InvestX-App können allgemeine Marktkommentare veröffentlichen, die keine Anlageberatung darstellen und nicht als solche interpretiert werden dürfen. Bitte konsultieren Sie einen unabhängigen Finanzberater, wenn Sie Fragen haben. InvestX.de übernimmt keine Haftung für Fehler, ungeeignete Investitionen, Ungenauigkeiten oder Auslassungen und garantiert nicht die Richtigkeit oder Vollständigkeit der enthaltenen Informationen, Texte, Grafiken, Links oder anderer Inhalte.
Einige der auf dieser Website vorgestellten Partner können in Ihrem Land nicht reguliert sein. Es liegt in Ihrer Verantwortung, die Konformität dieser Dienstleistungen mit den lokalen Vorschriften zu überprüfen, bevor Sie sie nutzen.
