Lazarus nutzt LayerZero und THORChain zur Geldwäsche nach 290-Millionen-Dollar-Hack

Lazarus wäscht Millionen über Blockchain-Brücken

Die nordkoreanische Hackergruppe Lazarus, die für staatlich gesponserte Cyberangriffe bekannt ist, wird verdächtigt, hinter dem 290-Millionen-Dollar-Hack von rsETH am vergangenen Samstag zu stecken. Die gestohlenen Gelder werden nun systematisch über Blockchain-Brücken gewaschen – darunter auch das Protokoll LayerZero, dessen Infrastruktur bereits für den ursprünglichen Diebstahl genutzt wurde.

Ein anonymer On-Chain-Analyst namens Specter hat in den ersten 12 Stunden nach dem Hack über 1.600 Transaktionen über 370 Adressen verfolgt. Im Schnitt wurde alle 25 Sekunden eine Transaktion durchgeführt. Bis Mittwochmorgen waren bereits 116 Millionen Dollar in Bitcoin (BTC) gewaschen worden. Ein weiteres Wallet hält noch 61 Millionen Dollar, die noch nicht transferiert wurden.

LayerZero und THORChain im Fokus

Der Analyst Specter schätzt, dass 99 % der gewaschenen Gelder über THORChain flossen. Das Protokoll verzeichnete am Dienstag Einnahmen von über 100.000 Dollar an Affiliate-Gebühren – mehr als das Doppelte des bisherigen Jahresertrags. THORChain betont zwar seine dezentrale Struktur mit 95 global verteilten Knoten, doch ein zufälliges Geständnis des Gründers JP warf Zweifel auf: Er gab zu, dass das Protokoll jahrelang über einen Admin-Schlüssel verfügte – ein zentrales Element, das im Widerspruch zur behaupteten Dezentralisierung steht.

„Hast du wirklich gerade zugegeben, dass THORChain jahrelang zentralisiert war, während die DPRK Millionen gewaschen und Millionen an Gebühren kassiert hat – mit einem Admin-Schlüssel, den du in deinem Besitz hattest?“
– ZachXBT (@zachxbt)

Reaktionen der Protokolle: Umbra und THORChain

Die betroffenen Brückenprotokolle reagieren unterschiedlich auf die Nutzung für illegale Zwecke:

• Umbra: Das Privacy-Protokoll bestätigte, dass 800.000 Dollar in ETH durch sein System geflossen sind. Obwohl das Projekt betont, dass es autonome Smart Contracts nicht blockieren kann, wurde die eigene Frontend-Seite in den „Wartungsmodus“ versetzt.
• THORChain: Das Protokoll distanzierte sich mit Verweis auf seine dezentrale und zensurresistente Architektur. „Es gibt keine zentrale Kontrolle, keine Admin-Keys, keine 2-von-3-Multisig.“ Dennoch räumte der Gründer JP später ein, dass THORChain jahrelang über einen Admin-Schlüssel verfügte – ein schwerwiegendes Eingeständnis.

DeFi-Sektor erneut in der Kritik

Der DeFi-Sektor erlebt einen weiteren schweren Rückschlag: Bereits im April gab es zwei katastrophale Hacks mit Gesamtverlusten von über 14 Milliarden Dollar. Der rsETH-Hack folgt auf den Garden-Hack, bei dem 11 Millionen Dollar gestohlen wurden. Die Branche steht unter Druck, ihre Sicherheitsstandards zu verbessern und die Nachverfolgbarkeit illegaler Transaktionen zu erschweren.

Experten fordern strengere Regulierung und transparente Kontrollmechanismen, um die Nutzung von DeFi-Protokollen für Geldwäsche einzudämmen. Die Nutzung von Blockchain-Brücken wie LayerZero und THORChain durch kriminelle Akteure zeigt einmal mehr die Schwächen der aktuellen Infrastruktur auf.