Lazarus: Wie chinesische Netzwerke die Beute der Hacker verwerten
überprüft von
Mathias Wagner
Das Wichtigste in Kürze
- Die nordkoreanische Hackergruppe Lazarus setzt für die Verwertung illegaler Beute gern externe Dienstleister ein. In China sind ganze Netzwerke entstanden, die sich mit der Verbringung derartiger Gelder beschäftigen.
- Cyberkriminelle übertragen ihre Kryptowährungen dabei an die Chinesen, die anschließend DEXs, Mixer und verschiedene Transaktionstechniken einsetzen, um die Spuren der Gelder zu verschleiern.
- Blockchain-Forensiker ZachXBT bezeichnet den Vorgang als Geldwäsche. Die Strippenzieher beanspruchen Gebühren in Höhe von fünf Prozent und verzeichnen nach schwerwiegenden Hacks so selbst Einkünfte in Millionenhöhe.
Lazarus: Wie chinesische Netzwerke die Beute der Hacker verwerten
Die berüchtigte nordkoreanische Hackergruppe Lazarus setzt immer öfter auf externe Dienstleister – davon berichtete kürzlich der Blockchain-Forensiker Zachary Wolk, besser bekannt unter seinem Pseudonym ZachXBT.
Wolk gab seine Erkenntnisse im Zusammenhang mit einem ihrer jüngsten Hacks bekannt. Den Nordkoreanern war es gelungen, mit Bitget eine der größten Krypto-Börsen um rund 357 Millionen US-Dollar in Form verschiedener Kryptowährungen zu erleichtern.
Jetzt wird bekannt: Lazarus setzt schon seit mindestens drei Jahren auf chinesische Partner. Der erste bekannte Fall soll von 2023 stammen, als Lazarus die Krypto-Börse Poloniex hackte.
In diese Partner setzt die Gruppe sogar auffällig viel Vertrauen. Laut ZachXBT handelt es sich um chinesische Netzwerke, die aus einigen Personen bestehen und im Auftrag zumeist krimineller Geschäftspartner handeln.
Einer der größten und wiederkehrenden Auftraggeber ist die staatliche Hackergruppe Lazarus. Diese identifizierte die Kryptobranche schon vor einigen Jahren als profitable Einkommensquelle und macht seither alle paar Monate mit einem neuen Angriff auf sich aufmerksam.
Nachdem die Nordkoreaner ihre Beute ergattern, lagern sie die weitere Verbringung der Gelder an chinesische Netzwerke aus, die sich auf die Verwertung illegal eingenommener Kryptowährungen spezialisieren – ZachXBT spricht in diesem Zusammenhang von Geldwäsche.
Das Vorgehen der Chinesen ist einfach: Sie nutzen dezentrale Krypto-Börsen oder Swapper, um Chain-Hopping zu betreiben. Außerdem wenden sie die Techniken Peel Chain oder Splitting an, um die Spuren der Beute auf transparenten Blockchains zu verwischen.
2/ In Feb 2025, shortly after the $1.5B Bybit exploit attributed to the DPRK-linked group 'TraderTraitor', I observed a pattern of 15+ accounts asking for help with orders directly tied to stolen funds in public groups on Telegram and Discord.
Last week I shared how illicit… pic.twitter.com/EKLeuzOOXT
— ZachXBT (@zachxbt) October 5, 2026
Zusätzlich kann es je nach Situation zum Einsatz von Krypto-Mixern wie Tornado.cash kommen. Auch diese tragen zur Verschleierung der Beute bei. Am Ende des Vorgangs übertragen die Chinesen das Geld zurück an Lazarus oder andere Auftraggeber, die sie über Discord oder Telegram anwerben.
Pro Auftrag fallen üblicherweise Gebühren in Höhe von fünf Prozent an. Allein der Bitget-Hack brachte den chinesischen Netzwerken daher Gewinne in Höhe von fast 18 Millionen US-Dollar ein.
Warum Krypto-Hacker ihr Geld chinesischen Geldwäschenetzwerken anvertrauen
Der Vorgang ist bemerkenswert, da er ein großes Vertrauen von nordkoreanischer Seite voraussetzt. Lazarus muss seine Beute vollständig in die Hand seiner chinesischen Partner übertragen, damit die Verwertung beginnen kann.
Bei einem Vertrauensbruch könnten die chinesischen Partner die Beute selbst einbehalten. Warum Lazarus das Risiko wirklich eingeht, lässt sich nicht abschließend beantworten. Blockchainwelt kann dazu lediglich Theorien aufstellen.
Möglicherweise möchte die Hackergruppe ihre eigenen Mitglieder somit entlasten. Nach einem erfolgreichen Coup kontaktiert diese die chinesischen Partner, welche das Geldwäscheverfahren rasch durchführen können.
Lazarus lenkt dabei die Aufmerksamkeit von sich weg. Die Dienstleister agieren über andere IP-Adressen und nutzen eigene Blockchain-Adressen. Weil sich die Verbringung der Beute zeitaufwändig und kleinteilig gestalten kann, lagert man einen großen Teil der Last aus.
Laut Jimmy Green, einem der Geldwäscher, besteht ein großer Vorteil in den hohen Mitgliederzahlen, deren persönliches Handeln leichte Unterschiede aufweist und dadurch sogar Gegenmaßnahmen bei solchen Token verhindern kann, die von Sperrungen bedroht sind.
“Für uns ist das ganz einfach. Wir nutzen Teilungen und verhindern so die Sperrungen”, schrieb Green an ZachXBT.
“Wir sind ein Team. Wenn nur eine Person die Gelder abwickelt, werden sie gesperrt. Bei uns gibt es verschiedene Bereiche. Wir nehmen die USDT und liefern sie an verschiedene Annahmestellen”, beschreibt der Chinese sein Vorgehen.
Darüber hinaus sei es Green möglich, nachzuvollziehen, welche Adressen auf der schwarzen Liste des Stablecoin-Betreibers Tether landen. Dieses Wissen könne er nutzen, um Sperrungen präventiv zu verhindern.e
Im Umgang mit den anfälligen zentralisierten Stablecoins fühlt sich Green so sicher, dass er seinen Kunden eine Garantie verspricht. Sollten die Token wider Erwarten gesperrt werden, würde er den Schaden bezahlen.
Green und seine Mitarbeiter tauschen die Gelder – etwa Bitcoin – zunächst gern über Thorchain in Ethereum. Anschließend machten sie einen Zwischenstopp bei Tornado.cash, bevor mehrfache Swaps zwischen Tron und Solana folgten. Diese beiden Blockchains zeichnen sich durch hohen Durchsatz aus und können daher schnell viele Tauschvorgänge ohne große Wartezeit abwickeln.
