Die größte Krypto-Börse Südkoreas, Upbit, wurde Berichten zufolge am 27. November gehackt, was zur unbefugten Abhebung von 44,5 Milliarden KRW (über 30 Millionen US-Dollar) führte, wie die Yonhap News Agency unter Berufung auf Reuters meldete.
Der Hauptverdächtige hinter dem Vorfall ist offenbar eine Gruppe von Hackern, die mit dem nordkoreanischen Geheimdienst, der Lazarus Group, in Verbindung steht.
Am 28. November veröffentlichte der CEO von Dunamu, der Muttergesellschaft von Upbit, eine offizielle Erklärung zu dem Vorfall, in der er erläuterte, was passiert ist, welche Maßnahmen Upbit ergriffen hat und welche Präventionsschritte geplant sind.
Dunamu-CEO veröffentlicht offizielle Erklärung
Oh Kyung-seok, der CEO von Dunamu, veröffentlichte am 28. November eine offizielle Erklärung zu dem Vorfall, die auf der offiziellen Website von Upbit geteilt wurde.
Er entschuldigte sich bei den Mitgliedern für die durch den Cyberangriff verursachten Sorgen.
Wichtige Punkte seiner Erklärung umfassen:
- Der Vorfall trat aufgrund unzureichender Sicherheitsverwaltung bei Upbit auf.
- Upbit, eine Börse, die den Schutz der Nutzer an erste Stelle stellt, verspricht, dass keine Mitgliederverluste entstehen werden.
- Die Krypto-Börse meldete den Cyberangriff den Behörden. Derzeit läuft eine Untersuchung, um Ursache und Ausmaß des Schadens zu analysieren.
Was geschah während des Vorfalls?
Der Dunamu-CEO erklärte, dass Upbit am 27. November ungewöhnliche Abhebungen aus der Solana-basierten Wallet festgestellt habe und daraufhin eine umfassende Überprüfung der verbundenen Netzwerke und Wallet-Systeme durchführte.
Während der Untersuchung entdeckte und behob Upbit eine Sicherheitslücke, die es Angreifern ermöglicht hätte, private Schlüssel durch die Analyse mehrerer Wallet-Transaktionen zu erschließen.
Laut Einschätzung der Börse:
- Der Gesamtwert der kompromittierten Vermögenswerte beträgt 44,5 Milliarden KRW (über 30 Millionen US-Dollar).
- Davon entfallen etwa 38,6 Milliarden KRW (über 26 Millionen US-Dollar) auf Mitgliedervermögen.
- Upbit konnte etwa 2,3 Milliarden KRW (über 1,5 Millionen US-Dollar) einfrieren.
- Der Verlust für das Unternehmen beläuft sich auf etwa 5,9 Milliarden KRW (über 4 Millionen US-Dollar).
Upbits Maßnahmen nach dem Vorfall
Upbits Maßnahmen nach dem Vorfall umfassten Folgendes:
- Upbit setzte Berichten zufolge alle Krypto-Einzahlungen und -Abhebungen aus.
- Die Börse verfolgt und friert die außerhalb von Upbit transferierten Kryptobestände ein.
- Upbit hat Berichten zufolge alle Verluste der Mitglieder aus eigenen Mitteln gedeckt.
- Die Krypto-Börse überarbeitet derzeit ihre Wallet-Systeme und wird Einzahlungen und Abhebungen wieder aufnehmen, sobald die Stabilität bestätigt ist.
- Upbit aktivierte ein unternehmensweites Notfallreaktionssystem und überprüft alle sicherheitsrelevanten Infrastrukturen im Zusammenhang mit dem Hack.
- Die Börse wird ihre Sicherheitsmaßnahmen verstärken und alle Systeme verbessern.
Wie vom CEO von Dunamu hervorgehoben, hat die Krypto-Börse Upbit intensiv daran gearbeitet, die Vermögenswerte der Mitglieder zu schützen. Dennoch habe dieser Vorfall das Team daran erinnert, dass kein Sicherheitssystem perfekt sei. Das Sicherheitskonzept werde jedoch weiter verbessert, um zukünftige Vorfälle zu verhindern.
Upbit wird die Community informieren, sobald neue Details bekannt werden.
Südkoreanische Behörden führen laufende Ermittlungen durch
Die neuesten Berichte von Yonhap ergaben, dass gemäß Angaben der IKT-Branche und lokaler Regierungsbehörden derzeit eine Untersuchung läuft.
Die Veröffentlichung berichtete, dass es sich möglicherweise nicht um einen massiven Angriff handelte, sondern dass die Hacker ein Administratorkonto gestohlen oder sich als Administrator ausgegeben haben könnten, um Überweisungen zu autorisieren.
Lazarus Group – Hauptverdächtiger
Endgültige Untersuchungsergebnisse stehen noch aus. Die IT-Sicherheitsbranche geht jedoch davon aus, dass die Lazarus Group hinter dem Vorfall steckt, da die Vorgehensweise dem typischen Muster dieser Gruppe entspricht:
- Vermögenswerte wurden auf eine andere Börsen-Wallet übertragen.
- Die transferierten Vermögenswerte wurden anschließend gemischt (gewaschen).
Ein von der Veröffentlichung zitierter Cybersicherheits-Experte erklärte, dass eine solche Vorgehensweise charakteristisch für Lazarus sei. Sobald die Vermögenswerte gemischt werden, seien Transaktionen nicht mehr rückverfolgbar. Der Experte betonte außerdem, dass Länder, die Mitglied der FATF (Financial Action Task Force) sind, das Mischen untersagen, was ein weiterer Hinweis auf die Beteiligung Nordkoreas sei.
Südkorea ist seit 2009 Vollmitglied der FATF.
Zudem ereignete sich der Vorfall am 27. November, am selben Tag, an dem eine Pressekonferenz zur Fusion zwischen Naver Financial und Dunamu (der Muttergesellschaft von Upbit) stattfand. Dies erhärtet die Vermutung, dass Lazarus beteiligt war, da Hacker laut dem von Yonhap zitierten Sicherheitsexperten häufig ein „starkes Bedürfnis haben, sich zu profilieren“.
