Ein einzelner Staat hat sich im ersten Halbjahr 2026 zwei Drittel jedes weltweit gestohlenen Kryptodollars gesichert.
Das ist kein Rundungsfehler. Und auch nicht das Resultat eines einmaligen Mega-Coups.
Dahinter steckt eine jahrelang aufgebaute, industrialisierte Hacking-Maschinerie – ein Apparat, der seine Methoden seit fast einem Jahrzehnt verfeinert und inzwischen alle anderen Akteure im Krypto-Raum zusammen klar in den Schatten stellt.
Das Ausmaß ist selbst für die notorisch zahlenstarke Krypto-Kriminalität außergewöhnlich.
Nordkorea-nahe Gruppen verantworteten laut in dieser Woche kursierenden Zahlen von Blockchain-Sicherheitsforschern 66,2 % aller globalen Verluste durch Angriffe auf digitale Vermögenswerte im ersten Halbjahr 2026.
Diese extreme Bündelung der Verluste in einem einzigen Bedrohungscluster verändert das Risikoprofil der gesamten Branche grundlegend – just in dem Moment, in dem institutionelles Kapital so schnell in Krypto fließt wie zuletzt 2021.
Kurzfassung (TL;DR)
- Nordkorea-nahe Hacker vereinnahmten 66,2 % aller Krypto-Hacking-Verluste im ersten Halbjahr 2026 – ein neuer Höchstwert an staatlich konzentrierter Krypto-Kriminalität.
- Die Lazarus-Gruppe und verbundene DPRK-Einheiten haben sich von opportunistischen Börsenhacks zu hoch strukturierten Operationen entwickelt, die DeFi-Protokolle, Cross-Chain-Brücken und Entwickler per Social Engineering ins Visier nehmen.
- Die erbeuteten Mittel fließen direkt in Nordkoreas Waffenprogramme – Krypto-Sicherheit wird damit zum geopolitischen Thema, dem Regulierer in Washington, Brüssel und Seoul mit wachsender Dringlichkeit begegnen.
Die 66-%-Kennziffer – und was sie wirklich misst
Bevor man die strategische Bedeutung einordnet, lohnt ein Blick auf die Methodik hinter dieser Zahl.
Die 66,2 % beziehen sich auf den Anteil aller verifizierten Krypto-Hacking-Verluste, die im ersten Halbjahr 2026 auf DPRK-verknüpfte Wallets zurückgeführt werden konnten – basierend auf On-Chain-Forensik, die Geldströme vom Erstangriff über Mixer bis zur finalen Auszahlungsstelle nachzeichnet.
Chainalysis, der Anbieter mit den wohl umfassendsten Langzeitdaten zur Krypto-Kriminalität, meldete in seinem Crime Report 2024, dass Nordkorea-nahe Gruppen 2023 rund 1,34 Milliarden US-Dollar in 47 Vorfällen erbeuteten – 61 % des gesamten Diebstahlvolumens jenes Jahres.
Die Zahl für H1 2026 steht für eine weitere Konzentration. Sie legt nahe, dass die Lücke zwischen den Fähigkeiten der DPRK-Einheiten und allen anderen Angreifern weiter wächst – nicht schrumpft.
Die 66,2 % markieren damit die höchste je gemessene Konzentration staatlich gestützter Diebstähle digitaler Vermögenswerte in einem Halbjahr.
Wichtig ist auch, was die 66-%-Zahl nicht abbildet.
Sie schließt Exit-Scams, Rug Pulls und Betrug aus – Kategorien, die Chainalysis üblicherweise von Hacks trennt. Der Nenner umfasst ausschließlich verifizierte Hacking-Verluste.
Würde man sämtliche Krypto-Delikte einbeziehen, läge der prozentuale DPRK-Anteil niedriger – der absolute Dollarbetrag bliebe jedoch unverändert hoch.
Lesen Sie auch: XRP-Spot-Nachfrage steigt, während Binance-Perps eine Warnung über 783 Mio. US-Dollar senden
Wie die Lazarus-Gruppe zur Krypto-Supermacht wurde
Die Lazarus Group – der Sammelbegriff, den US-Geheimdienste und private Analysten für die schlagkräftigsten DPRK-Cybereinheiten verwenden – startete nicht als Krypto-Spezialeinheit.
In ihren frühen Jahren war sie mit zerstörerischen Cyberangriffen, Banküberfällen via SWIFT-Manipulation und Ransomware aktiv.
Der Schwenk Richtung Krypto kam schrittweise. Er nahm ab etwa 2017 Fahrt auf, als die Gruppe südkoreanische Börsen ins Visier nahm, und eskalierte massiv nach dem Ronin-Hack 2022.
Der Angriff auf Ronin, bei dem die Lazarus-Gruppe rund 625 Mio. US-Dollar erbeutete – von der Axie-Infinity-Sidechain –, war ein strategischer Wendepunkt.
Er zeigte, dass DeFi-Infrastruktur – mit ihrer Smart-Contract-Komplexität, den Abhängigkeiten von Cross-Chain-Brücken und der Anfälligkeit von Entwicklern für Social Engineering – eine deutlich lukrativere Angriffsfläche bietet als zentrale Börsen, die ihre Abwehr nach einem Jahrzehnt voller Vorfälle stark ausgebaut hatten.
Der Diebstahl von 625 Millionen US-Dollar im März 2022 ist bis heute der größte einzelne DeFi-Hack. Er diente als Blaupause für folgende DPRK-Kampagnen im Krypto-Sektor.
Seit 2022 hat die Gruppe drei Angriffsvektoren systematisch verfeinert.
Erstens kompromittierte Entwickler-Zugänge – typischerweise über fingierte LinkedIn-Jobangebote, bei denen Malware installiert wird, sobald ein Dokument geöffnet oder ein Repository ausgeführt wird.
Zweitens Exploits von Cross-Chain-Brücken, bei denen der Smart-Contract-Code angegriffen wird, der Asset-Transfers über verschiedene Netzwerke hinweg validiert.
Drittens Supply-Chain-Angriffe auf Software-Abhängigkeiten, die von Krypto-Protokollen genutzt werden – eine in der klassischen IT-Sicherheit etablierte Methode, die nun gezielt auf Blockchain-Ziele übertragen wird.
Lesen Sie auch: Eng vs Ind ist für Prediction-Märkte längst mehr als nur Cricket
Vom Börsenraub zur DeFi-Offensive – ein neuer Zielkorridor
Die Frühphase großer Krypto-Hacks war geprägt von Angriffen auf zentrale Börsen. Mt. Gox (2014), Bitfinex (2016), Coincheck (2018). Damals wurden Hot-Wallet-Infrastruktur kompromittiert, API-Schwachstellen ausgenutzt oder Insider korrumpiert. Die Täter waren meist opportunistische Banden, nicht staatlich alimentierte Einheiten.
Das heutige DPRK-Playbook sieht grundlegend anders aus. TRM Labs kommt in seinem Bericht 2024 Crypto Threat Intelligence zu dem Ergebnis, dass der Anteil der DeFi-Protokoll-Exploits an den gesamten DPRK-Krypto-Diebstählen von rund 30 % im Jahr 2021 auf über 70 % im Jahr 2024 gestiegen ist. Diese Verschiebung folgt der Verlagerung der Liquidität ins On-Chain-Ökosystem.
Das in DeFi-Protokollen weltweit hinterlegte Volumen kletterte Ende 2021 auf mehr als 180 Milliarden US-Dollar, fiel im Bärenmarkt 2022 deutlich und hat sich seither wieder auf Niveaus erholt, die für Angreifer attraktiv sind. Daten von DefiLlama (Stand Mitte 2026) zeigen eine globale DeFi-TVL von über 110 Milliarden US-Dollar über alle Chains hinweg – mit Cross-Chain-Brücken, die einen überproportional großen Teil dieses Werts in gemeinsamen Pools halten.
DeFi-Brückenverträge sind strukturell besonders attraktive Ziele für versierte Angreifer: Sie bündeln hohe Liquidität in einzelnen Smart Contracts und erfordern gleichzeitig komplexe Cross-Chain-Validierung, die sich nur schwer vollständig prüfen lässt.
Cross-Chain-Brücken wurden für DPRK-Einheiten zum Schwerpunkt, weil ihr Risikoprofil einzigartige Angriffswinkel bietet. Ein Brückenvertrag muss Aussagen einer entfernten Chain vertrauen, die er nicht nativ verifizieren kann. Die Validierungslogik ist komplex und stützt sich häufig auf ein Multi-Signature-Komitee oder einen Light-Client-Proof. Beide Ansätze enthalten voraussetzungsreiche Annahmen, die sich aushebeln lassen. Die Ronin-Brücke etwa setzte auf ein Neun-von-Neun-Multisig, das faktisch auf einen Fünf-von-Neun-Schwellenwert verwässert war – ein Schwachpunkt, den die Angreifer per Social Engineering ausnutzten, um mit fünf Signaturen autorisierte Abhebungen auszulösen und die Brücke leerzuräumen.
Lesen Sie auch: Ist Fable 5 den doppelten Preis wert, wenn Opus 4.8 weiter überzeugt?
Der Lockruf des Traumjobs – wie Entwickler ins Visier geraten
Das konstanteste und zugleich unterschätzte Element der DPRK-Kampagne im ersten Halbjahr 2026 ist die Social-Engineering-Infrastruktur gegen einzelne Entwickler und Protokoll-Mitarbeiter. Technisch handelt es sich dabei nicht um einen klassischen Hack, sondern um eine geduldige, nachrichtendienstlich geprägte Beziehungsarbeit – mit Codeausführung als Endpunkt.
Das Standardvorgehen, detailliert dokumentiert von Mandiant in der APT38-Analyse zu finanziellen Bedrohungen und von der US-Behörde Cybersecurity and Infrastructure Security Agency in CISA Alert AA22-108A, beginnt mit professionell wirkenden LinkedIn-Profilen, häufig mit KI-generierten Fotos. Darüber nehmen DPRK-Operative Kontakt zu Entwicklern auf, die bei Krypto-Projekten arbeiten – mit Angeboten für Freelance-Jobs, Bewerbungsgespräche oder Code-Reviews.
In dokumentierten Fällen pflegten die DPRK-Operativen über Wochen oder Monate LinkedIn-Kontakte zu ihren Zielen, bevor sie eine Malware nachschoben – und bauten Vertrauen durch fachlich fundierte Diskussionen über genau den Code, an dem die jeweiligen Entwickler tatsächlich arbeiteten.
Wenn das Ziel einsteigt, folgt irgendwann eine Datei, die ausgeführt werden muss: ein PDF mit eingebettetem Schadcode, ein GitHub-Repository mit bösartiger Abhängigkeit oder eine fingierte technische Aufgabe, die beim Testlauf ein Backdoor installiert.
Sobald der Angreifer einen Fuß in der Tür hat – sprich: Zugang zum Rechner des Entwicklers –, kann er Private Keys abgreifen, Session-Tokens für interne Systeme auslesen oder Anmeldedaten für Cloud-Infrastruktur entwenden, über die Protokolle ausgerollt und verwaltet werden.
Der Grad dieser Professionalität spiegelt ein institutionelles Skill-Building wider, das keine private Kriminellengruppe in dieser Tiefe replizieren kann. DPRK-Cybereinheiten sind Staatsbedienstete, die in Vollzeit trainieren, unter strengen Sicherheitsprotokollen operieren und auf jahrelang akkumuliertes Wissen zurückgreifen: Welche Protokolle sind verwundbar? Welche Entwickler gelten als ansprechbar?
Lesen Sie auch: TeraWulf-Aktie springt nach Anthropic-Deal – Bitcoin-Miner neu als 19-Milliarden-Dollar-AI-Player bewertet
Die Geldwasch-Maschinerie hinter den Diebstahlszahlen
Der eigentliche Diebstahl von Kryptowerten ist nur der erste Schritt. Um daraus nutzbare Staatseinnahmen zu machen, braucht es eine ausgefeilte Geldwasch-Kette, die inzwischen selbst zum Gegenstand intensiver On-Chain-Forschung geworden ist. Gerade in der Phase nach dem Hack – bei der Verschiebung der Gelder – gelingt Ermittlern die Zuordnung zu DPRK besonders häufig, weil die Gruppe typische Verhaltensmuster aufweist. Muster in der Bewegung und Verschleierung der Gelder.
Chainalysis hat den typischen Geldwäsche-Workflow der DVRK als mehrstufigen Prozess dokumentiert. Gestohlene Vermögenswerte werden zunächst über On-Chain‑DeFi‑Börsen in Ethereum (ETH) oder Bitcoin (BTC) getauscht – illiquide, protokollspezifische Tokens werden in hochliquide Blue-Chip-Coins konvertiert. Anschließend durchlaufen diese Werte Mixing‑Dienste. Die Gruppe nutzte historisch vor allem Tornado Cash, bis die OFAC‑Listung im August 2022 sie zu alternativen Verschleierungstools wie Sinbad und Yomix zwang, die inzwischen ebenfalls mit US‑Sanktionen belegt wurden.
OFAC setzte den Mixer Sinbad im November 2023 und Yomix im April 2025 auf die Sanktionsliste – Ausdruck eines Katz‑und‑Maus‑Spiels, bei dem jedes DVRK‑Tool zur Geldwäsche irgendwann von Sanktionen getroffen wird und die Gruppe zu neuer Infrastruktur treibt.
Nach dem Mischen werden die Gelder über ein Geflecht aus verschachtelten Börsenkonten, OTC‑Broker in Jurisdiktionen ohne wirksame AML‑Durchsetzung und Peer‑to‑Peer‑Plattformen geleitet. Der letztliche Ausstiegspunkt waren historisch vor allem Börsen in Ost‑ und Südostasien mit laxen KYC‑Vorgaben. Ein Bericht des UN‑Panels of Experts von 2024 identifiziert Erlöse aus Kryptodiebstählen explizit als zentrale Finanzierungsquelle für das nordkoreanische Raketenprogramm und schätzt, dass Krypto‑Erträge rund 40 % des Devisenbedarfs für die Entwicklung von Massenvernichtungswaffen decken.
Mehr dazu: Ethereum Könnte Unter Buterins Radikalem Lean-Chain-Plan Fast Auf Einen Null-State Schrumpfen
Die Reaktion der Aufsicht – und ihre Grenzen
Die US‑Regierung hat ein umfangreiches Instrumentarium gegen die Krypto‑Operationen der DVRK aufgefahren – von OFAC‑Sanktionen gegen Wallets und Mixer über FBI‑Attributionen für konkrete Hacks bis hin zu gemeinsamen Warnhinweisen mit Partnerdiensten. Das Justizministerium hat mehrere namentlich bekannte nordkoreanische Akteure angeklagt, wobei eine tatsächliche Strafverfolgung mangels Auslieferungsabkommen faktisch ausgeschlossen ist.
Die Schwäche des US‑Ansatzes ist struktureller Natur. Sanktionen gegen Wallet‑Adressen wirken nur gegenüber Akteuren, die regulierte Finanzinfrastruktur als Ausstiegsrampe nutzen. Für professionelle Täter, die gezielt über Jurisdiktionen außerhalb des US‑AML‑Einflusses routen, sind sie weitgehend wirkungslos. Die OFAC‑Maßnahme gegen Tornado Cash war zwar einschneidend und umstritten, doch die DVRK wich binnen weniger Monate auf alternative Infrastruktur aus.
Das Justizministerium hat sieben identifizierte Militärhacker der DVRK im Zusammenhang mit Kryptodiebstählen angeklagt; vor Gericht stand bislang keiner. Die Anklagen dienen primär der formellen Attribution und als Abschreckung für Drittanbieter, die ansonsten unbewusst Geldflüsse erleichtern könnten.
Die Financial Action Task Force (FATF), das zwischenstaatliche Gremium für AML‑Standards, hat Nordkorea in die höchste Risikokategorie hochgestuft und ruft Mitgliedstaaten dauerhaft zu erhöhter Sorgfalt bei allen Transaktionen mit DVRK‑Bezug auf. Doch die FATF‑Empfehlungen sind rechtlich nicht bindend, und gerade die für nordkoreanische Off‑Ramps attraktivsten Jurisdiktionen sind entweder keine Mitglieder oder gelten als notorisch schwach in der Umsetzung.
Die EU‑Verordnung Markets in Crypto‑Assets (MiCA), die Ende 2024 voll in Kraft trat, enthält Travel‑Rule‑Vorgaben, die die Identifizierung der Gegenpartei bei Kryptotransfers oberhalb bestimmter Schwellen verpflichtend machen. Befürworter sehen dadurch einige OTC‑Kanäle für den Ausstieg aus Krypto in Fiat eingeschränkt. Kritiker verweisen darauf, dass die DVRK‑Operationen hinreichend ausgefeilt sind, um KYC‑Anforderungen über unhosted Wallets und Jurisdiktionen jenseits des EU‑Zugriffs zu umgehen.
Mehr dazu: Metas Muse Image Macht Instagram Zum Rohstoff Für KI-Kunst
Was die On-Chain-Forensik tatsächlich zeigt
Die Zuschreibung von Kryptodiebstählen an Nordkorea ist kein politisches Narrativ, sondern beruht auf überprüfbaren On‑Chain‑Daten, die jeder Forscher mit Zugriff auf öffentliche Blockchain‑Informationen und Clustering‑Tools unabhängig nachvollziehen kann. Das Verständnis dieser Methodik ist zentral, um die Glaubwürdigkeit der Attribution zu bewerten.
Wenn die DVRK ein Protokoll angreift, ist die initiale Transaktion unmittelbar on‑chain sichtbar. Die Beute fließt in vom Angreifer kontrollierte Wallets, die anschließend eine Kette von Swaps, Bridge‑Transaktionen und Mixing‑Vorgängen abwickeln. Elliptic, ein weiteres Blockchain‑Analysehaus, hat eine detaillierte Methodik veröffentlicht, wonach sich DVRK‑Wallets anhand von Verhaltensmustern clustern lassen – darunter spezifische Timing‑Profile, bevorzugte Swap‑Routen, charakteristische „Staubbeträge“ in Zwischenwallets und die Tendenz, gestohlene Gelder über längere Zeit in Wallet‑Clustern zu parken, bevor sie weiterbewegt werden.
Die Wallet‑Clustering‑Analyse von Elliptic hat über 15.000 Adressen identifiziert, die mit DVRK‑Diebstahlsoperationen in Verbindung stehen – ein Netzwerk, das Forensiker nutzen, um Geldströme auch nach Mixing‑Vorgängen nachzuzeichnen.
Die FBI‑Attributionen für einzelne Hacks, darunter der Alphapo‑Vorfall und der Atomic Wallet‑Exploit 2023, basieren auf dieser forensischen Methodik, ergänzt um klassifizierte Signale aus der technischen Aufklärung.
Die Kombination aus öffentlicher On‑Chain‑Evidenz und nachrichtendienstlichen Erkenntnissen führt zu einem Maß an Attribution, das klassische Cybercrime‑Ermittlungen ohne Blockchain‑Spuren in der Regel nicht erreichen.
Mehr dazu: Saylor: 3,3 % Bitcoin-Wachstum Reichen, Um Die Dividendenstrategie Am Leben Zu Halten
Das IT-Arbeiterprogramm als paralleler Einnahmekanal
Unabhängig von den Hack‑Operationen betreibt die DVRK ein paralleles Programm zur Generierung von Krypto‑Einnahmen, das 2024 und 2025 verstärkt ins Visier der Strafverfolger geriet. Tausende nordkoreanische Staatsbürger haben sich unter falschen Identitäten, gestützt auf KI‑generierte Unterlagen und Deepfake‑Video‑Technologien, Remote‑Jobs bei Kryptofirmen und Web3‑Startups in Nordamerika und Europa verschafft.
Das Justizministerium hat im Mai 2024 vierzehn Personen angeklagt, die ein Netzwerk betrieben haben sollen, über das nordkoreanische IT‑Kräfte bei mehr als 300 US‑Unternehmen unterkamen und ihre Einkünfte an die DVRK weiterleiteten.
Den Unterlagen zufolge verdienten einzelne IT‑Arbeiter zwischen 250.000 und 300.000 US‑Dollar pro Jahr; insgesamt soll das Programm über mehrere Jahre Erlöse in zweistelliger Millionenhöhe generiert haben.
Die Anklageschrift vom Mai 2024 dokumentiert nordkoreanische IT‑Kräfte, die in US‑Krypto‑ und Tech‑Unternehmen jeweils bis zu 300.000 Dollar jährlich erzielten – abgeführt über ein Netz von Helfern in den USA, Großbritannien und China an die DVRK.
Für die Kryptoindustrie ist dieses IT‑Arbeiterprogramm besonders brisant, weil es Insider‑Zugänge in Entwicklerteams pflanzt. Ein legitim angestellter Entwickler mit Repository‑Rechten stellt ein größeres Risiko dar als ein externer Angreifer, der nur versucht, Perimeterschutz zu überwinden.
Mehrere Security‑Forscher haben herausgestellt, dass auffällige Muster bei Code‑Commits, unerklärliche Repository‑Zugriffe und ungewöhnliche Arbeitszeiten inzwischen als potenzielle Indikatoren für DVRK‑IT‑Arbeiter gelten – zumindest in sicherheitsbewussten Kryptofirmen.
Die Überschneidung zwischen IT‑Arbeiterprogramm und Social‑Engineering‑Kampagnen gegen Entwickler führt dazu, dass die DVRK die Angriffsfläche gegenüber der Kryptoindustrie auf mehreren Ebenen gleichzeitig erweitert: über externe Hacker, kompromittierte Entwickler mit Fake‑Jobangeboten und platzierte Insider.
Mehr dazu: OpenAI Erhält GPT-5.6-Genehmigung, Während Trump Den Breiteren KI-Rollout Absegnet
Die breitere Sicherheitsreaktion der Branche
Die Branchenreaktion auf die DVRK‑Bedrohung ist substanziell, aber fragmentiert.
Die kapitalstärksten Protokolle lassen heute umfassende Pre‑Deployment‑Audits durchführen, betreiben Bug‑Bounty‑Programme mit sechsstelligen Prämien und haben interne Security‑Teams mit offensivem Forschungs‑Background aufgebaut.
Diese Konzentration der Sicherheitsbudgets an der Protokollspitze folgt derselben Power‑Law‑Logik, die den Kryptomarkt insgesamt prägt.
Immunefi, die führende Web3‑Bug‑Bounty‑Plattform, meldete bis Mitte 2025 Auszahlungen von insgesamt über 100 Millionen US‑Dollar – ausgelobt für das Aufdecken von Schwachstellen, die potenziell Schäden in Milliardenhöhe ermöglicht hätten.
Die bislang größte Einzelprämie lag bei 10 Millionen Dollar für einen Whitehat‑Forscher, der in einem großen DeFi‑Protokoll einen kritischen Fehler entdeckte, bevor er ausgenutzt werden konnte.
Doch diese Fokussierung der Sicherheitsausgaben auf Top‑Tier‑Protokolle lässt kleinere DeFi‑Projekte – die in Summe weiterhin Milliarden an TVL verwalten – deutlich untergeschützt.
Das Cross‑Chain‑Bridge‑Problem, der Ausgangspunkt so vieler Großhacks, hat seinerseits zu neuen Architekturansätzen geführt.
Im Zentrum steht die Bewegung hin zu stärker vertrauensminimierten Bridges, die mit Zero‑Knowledge‑Proofs den Zustand der Quell‑Chain verifizieren, ohne sich auf Validator‑Komitees zu stützen.
Projekte wie Succinct Labs und Polyhedra Network haben ZK‑Light‑Client‑Infrastruktur aufgebaut, die genau darauf abzielt, die vertrauensbasierte Komitee‑Annahme zu eliminieren, die Bridges wie Ronin verwundbar gemacht hat.
ObDass sich die Sicherheitsinfrastruktur schnell genug verbessert, um der Fähigkeitserweiterung der DVRK vorauszubleiben, ist alles andere als sicher.
Der Anteil von 66 % im ersten Halbjahr 2026 deutet darauf hin, dass der Angreifer selbst bei massiv steigenden Brancheninvestitionen Schritt hält.
Auch interessant: SpaceXAI will noch vor Abschluss des 60-Milliarden-Dollar-Deals einen Cursor-gesteuerten Claude-Konkurrenten
Geopolitische Dimensionen und was jetzt kommt
Kryptodiebstahl ist Nordkoreas wichtigste Quelle für Devisen.
Das ist keine rhetorische Überhöhung, sondern beschreibt eine belegte operative Realität – bestätigt vom US-Finanzministerium, den Vereinten Nationen und verbündeten Nachrichtendiensten.
Die Expertengruppe der Vereinten Nationen schätzt, dass Nordkorea zwischen 2017 und 2023 rund 3 Milliarden US‑Dollar durch Kryptodiebstähle erbeutet hat – mit klar steigender Tendenz in den Folgejahren.
Diese Mittel versickern nicht in einer klassischen Staatskasse.
Sie fließen direkt in Rüstungsprogramme – vor allem in die Entwicklung ballistischer Raketen und die Miniaturisierung von Nukleargefechtsköpfen, die Pyongyangs oberste strategische Priorität darstellen.
Jeder Dollar, der aus einem DeFi-Protokoll entwendet wird, lässt sich letztlich in materielle und technologische Kapazität für Waffensysteme übersetzen, die US‑, südkoreanische und japanische Militärplaner aktiv in ihre Bedrohungsszenarien einpreisen.
Die UN-Expertengruppe führt die 3 Milliarden US‑Dollar an Diebstahlserlösen zwischen 2017 und 2023 direkt auf die Finanzierung nordkoreanischer Waffenprogramme zurück – damit wird Blockchain-Sicherheit zu einem realen Faktor in den sicherheitspolitischen Kalkulationen Nordostasiens.
Lesen Sie außerdem: 5 günstigere Fable-5-Alternativen: Zahlen Sie nicht zu viel für tägliche KI-Arbeit
Fazit
Die Marke von 66,2 % aus dem ersten Halbjahr 2026 ist keine statistische Randnotiz.
Sie ist ein Signal über den Zustand des Kräftemessens zwischen einem der leistungsfähigsten staatlichen Cyberprogramme der Welt und einer Branche, die historisch Geschwindigkeit am Markt über robuste Betriebssicherheit gestellt hat.
Der Verlauf dieses Konflikts – von opportunistischen Börsenhacks 2017 über den Ronin-Bridge-Angriff 2022 bis zur aktuellen Mehrfronten-Kampagne gegen Entwickler, Bridges und Insider zugleich – zeigt einen Akteur, der schneller lernt, sich anpasst und skaliert, als es die Abwehrinvestitionen der Branche bislang auffangen konnten.
Die strukturellen Vorteile der DVRK werden auf absehbare Zeit nicht verschwinden.
Nordkorea verfügt über eine institutionalisierte Cyber-Belegschaft ohne Abwanderungsmöglichkeiten in den Privatsektor, ohne öffentliche Rechenschaftspflicht und mit einem klaren staatlichen Auftrag, auf allen erdenklichen Wegen Devisen zu beschaffen.
Die Kryptoindustrie dagegen weist eine zersplitterte Sicherheitslandschaft auf. Die wertvollsten Protokolle sind zunehmend gut geschützt – doch der lange Schwanz kleinerer DeFi-Projekte bleibt systematisch unterfinanziert.
Und Cross-Chain-Bridges, die Infrastruktur, welche die Liquiditätsinseln des Ökosystems verbindet, bleiben architektonisch so komplex, dass sie dauerhaft auf ausnutzbaren Annahmen beruhen.
