Kim Jong Un als Meme: Nordkoreas Krypto-Beute bei bis zu 14,3 Mrd. Dollar

Kim Jong Un lacht zuletzt: Der größte Krypto-Raub wird zum Meme

Für 6,36 Milliarden Dollar (rund 5,7 Milliarden Euro) lässt sich offenbar eine Menge Gelächter kaufen, besonders wenn die mutmaßlichen Nutznießer in einem der am stärksten sanktionierten Länder der Welt leben. Nach der Sicherheitspanne bei Binance am 29. Oktober begannen Nutzer, Kim Jong Un als grinsenden Lottogewinner darzustellen, der sein imaginäres Börsenkonto prüft und das gute Leben genießt.

Die Witze kamen auf, als Blockchain-Ermittler auf die berüchtigte nordkoreanische Operation Tradertraitor verwiesen, die zur größeren Lazarus-Gruppe gezählt wird. Hinter dem digital aufgehübschten Diktator steht jedoch eine weit weniger lustige Wirklichkeit: ein Apparat der Cyberkriminalität, dem Krypto-Diebstähle über insgesamt 13,7 Milliarden Dollar (rund 12,2 Milliarden Euro) bis 14,3 Milliarden Dollar (rund 12,8 Milliarden Euro) zugeschrieben werden.

Krypto-Twitter inszeniert Pjöngjang wie in Hollywood

Ein viraler Beitrag auf X zeigte Kim jubelnd, versehen mit dem Satz, er habe gerade das Bruttoinlandsprodukt Nordkoreas um 6 Milliarden Dollar (rund 5,4 Milliarden Euro) gesteigert. Ein anderer zeigte, wie er dem mutmaßlichen Binance-Hacker gratuliert, mit der Pointe, dass der Täter selbst keinen Cent davon sehe. Dazu kamen luxuriös inszenierte Bildmontagen, Fake-Accounts, die Kryptoanlegern dankten, und Halloween-Witze über ein besonders teures „Süßes oder Saures“.

Das ist Galgenhumor mit geopolitischem Beigeschmack. Die Memes verspotten das offensichtliche Versagen ausgefeilter Sicherheitsvorkehrungen gegen Akteure, die mutmaßlich für ein isoliertes autoritäres Regime arbeiten. Ihre Beliebtheit lässt zudem einen alten Internetwitz aufleben, wonach gestohlene Kryptowerte nordkoreanische Raketenstarts bezahlen.

Ein kompromittierter Laptop öffnet die Tür zu Milliarden

Nach ersten Erkenntnissen von Binance verschafften sich die Angreifer über den kompromittierten Laptop eines Ingenieurs Zugang zu Systemen, die Auszahlungen freigeben durften. Später berichtete die Börse von weiteren Einfallstoren. In weniger als vier Stunden flossen am Abend des 29. Oktober laut einer Auswertung von Bitquery Werte aus 17 Hot Wallets auf neun Blockchains ab, darunter 18.270 Bitcoin (BTC) in einem einzigen Block sowie große Mengen Ether (ETH), XRP und Stablecoins.

Die Ermittler fanden Vorbereitungen im Vorfeld, die Freigaben für Transaktionen und spezielle Funktionen von Ethereum betrafen und den Angriff erst möglich machten. Binance hat zugesagt, den Schaden zu übernehmen. Herausgeber von Token und Betreiber von Blockchains froren in Notfallaktionen je nach Angabe 2,7 Milliarden Dollar (rund 2,4 Milliarden Euro) bis 3 Milliarden Dollar (rund 2,7 Milliarden Euro) ein.

Die Gelder der Kunden seien geschützt, versicherte das Unternehmen. Bis zum 31. Oktober hatte keine US-Behörde den Angriff öffentlich zugeordnet, die Zuschreibung durch private Analysefirmen ist also keine amtliche Feststellung.

Die mutmaßliche Lazarus-Beute wuchs über Jahre

Die vollständige Aufstellung umfasst 296 mutmaßliche Krypto-Diebstähle mit Verbindung zu Nordkorea, die unterschiedlich gut belegt sind. Die Entwicklung ist bemerkenswert. Auf einen Vorfall bei Kucoin 2020 mit einem Schaden von 275 Millionen Dollar (rund 245 Millionen Euro) folgte 2022 der Angriff auf die Ronin Bridge mit 620 Millionen Dollar (rund 553 Millionen Euro). DMM Bitcoin verlor 2024 rund 308 Millionen Dollar (rund 275 Millionen Euro), im Februar 2025 folgte der Fall Bybit mit 1,46 Milliarden Dollar (rund 1,3 Milliarden Euro).

US-Bundesbehörden ordneten die Fälle Ronin, DMM Bitcoin und Bybit nordkoreanischen Akteuren zu. Andere Zuschreibungen stützen sich vor allem auf Einschätzungen von Blockchain-Analysefirmen und weniger auf Erkenntnisse von Regierungen. Die Organisation selbst ist keine gewöhnliche Hackergruppe. Lazarus dient als Sammelbegriff für sich überschneidende nordkoreanische Cyberoperationen, darunter finanziell motivierte Einheiten wie Bluenoroff und Tradertraitor.

Die Milliardenfrage, die kein Meme beantwortet

Die Methoden haben sich seit den früheren Angriffen der Lazarus-Gruppe auf Banken stark verändert. Gefälschte Stellenangebote, Schadsoftware, manipulierte Oberflächen für Transaktionen und betrügerische Freigabeanfragen spielen in den Ermittlungen inzwischen eine große Rolle. Nach einem Einbruch können gestohlene Werte über Zwischen-Wallets, Token-Tausche und Geldwäschedienste geleitet werden, die Rückverfolgung und Rückholung erschweren sollen.

Entscheidend ist: Historische Schätzungen der Beute sagen nichts darüber aus, wie viel Geld tatsächlich bei der nordkoreanischen Regierung ankam. Sie enthalten Werte, die später zurückgeholt, eingefroren oder unzugänglich wurden, und Fälle, deren Zuordnung umstritten bleibt. Dem beliebten Bild des lachenden Diktators fehlt damit ein ziemlich teures Detail: ob Pjöngjang das Geld, über das alle Witze machen, überhaupt ausgeben kann.