Cyberkriminelle nehmen Krypto-Wallets mit neuer Malware ins Visier

Cyberkriminelle nehmen zunehmend Nutzer von Krypto-Wallets ins Visier. Das Sicherheitsunternehmen Kaspersky hat ein neues Malware-Framework entdeckt, das gezielt Wallet-Dateien, Browserdaten und andere sensible Informationen stehlen soll. Gleichzeitig warnt der Blockchain-Sicherheitsanbieter SlowMist vor einer separaten Angriffswelle, bei der Web3-Entwickler über gefälschte Stellenangebote auf LinkedIn getäuscht werden.

Die beiden Kampagnen zeigen, dass Cyberkriminelle immer raffinierter vorgehen. Statt Systeme direkt anzugreifen, bringen sie ihre Opfer dazu, Schadsoftware selbst zu installieren. Besonders Krypto-Anleger und Web3-Entwickler stehen dabei offenbar im Fokus.

Krypto-Wallets geraten immer stärker ins Visier

Nach Angaben von Kaspersky beginnt der Angriff mit Social Engineering. Cyberkriminelle versuchen dabei, das Vertrauen ihrer Opfer zu gewinnen, damit diese unbemerkt Malware installieren.

Eine häufig genutzte Methode ist ClickFix. Nutzer werden dabei aufgefordert, eine vermeintlich harmlose Aktion auszuführen. Tatsächlich wird dadurch Schadsoftware installiert. Zudem verbreiten die Angreifer infizierte Programme über GitHub. Wer ein solches Programm herunterlädt und öffnet, installiert unbemerkt eine Hintertür, über die die Angreifer Zugriff auf den Computer erhalten.

Sobald die Malware aktiv ist, sammelt sie Dateien von Krypto-Wallets, Browserdaten und weitere persönliche Informationen. Darüber hinaus kann OkoBot schädliche Browsererweiterungen installieren und Wallet-Anwendungen übernehmen. Auf diesem Weg können Angreifer letztlich Zugriff auf Krypto-Vermögen erhalten.

Nach Angaben von Kaspersky wurden seit Januar 2026 mehrere Angriffe mit dieser Malware beobachtet.

OkoBot ist eine Weiterentwicklung früherer Malware

Den Forschern zufolge ist OkoBot eine Weiterentwicklung von TookPS, einer Malware-Kampagne, die 2025 entdeckt wurde. Damals verbreiteten Cyberkriminelle einen Trojan-Downloader über gefälschte Websites, die sich als seriöse Softwareplattformen ausgaben.

Die neue Variante ist deutlich ausgefeilter. Alle Komponenten werden zentral über eine gesicherte SSH-Verbindung gesteuert. Dadurch können gestohlene Daten direkt von einem infizierten Computer an die Server der Angreifer übertragen werden.

Nach Einschätzung von Kaspersky macht der modulare Aufbau von OkoBot es zudem anderen Cyberkriminellen leichter, ähnliche Malware zu entwickeln.

Gefälschte LinkedIn-Jobs täuschen Web3-Entwickler

SlowMist hat zudem einen eigenständigen Angriff entdeckt, der sich gezielt gegen Entwickler im Web3-Sektor richtet.

Nach Angaben des Sicherheitsunternehmens geben sich die Angreifer auf LinkedIn als Recruiter aus. Bewerber erhalten anschließend einen Link zu einem GitHub-Projekt, das angeblich ein Minimum Viable Product (MVP) enthält. Noch vor einem Vorstellungsgespräch werden sie gebeten, die Software lokal zu testen.

Gerade deshalb ist der Angriff schwer zu erkennen. Für viele Entwickler ist es völlig üblich, Quellcode herunterzuladen, Abhängigkeiten zu installieren und Projekte lokal auszuführen.

Tatsächlich enthält das Projekt einen Remote Access Trojan (RAT). Damit erhalten die Angreifer nahezu vollständige Kontrolle über den Computer des Opfers. Laut SlowMist zielt die Malware unter anderem darauf ab, Projektschlüssel, Cloud-Daten und Informationen aus Krypto-Wallet-Erweiterungen zu stehlen. So können Cyberkriminelle Zugriff auf Entwicklungsumgebungen und Krypto-Wallets erlangen.

SlowMist zufolge fügt sich der Angriff in einen breiteren Trend ein. Cyberkriminelle nutzen immer häufiger glaubwürdige Situationen wie Bewerbungsprozesse, Code-Reviews und Kooperationsanfragen, um Opfer zur eigenständigen Installation von Malware zu bringen.