Einmal falsch eingefügt, schon waren die Coins weg: Botnetz Sality zerschlagen

Ein berüchtigtes Computernetzwerk, das seit 23 Jahren für Cyberkriminalität genutzt wurde, ist abgeschaltet worden. Das sogenannte Sality-Botnet kam im Laufe der Jahre bei verschiedenen Angriffen zum Einsatz und nahm später auch Besitzer von Bitcoin (BTC) und Ethereum (ETH) ins Visier.

Das Cybersicherheitsunternehmen CrowdStrike arbeitete dafür mit amerikanischen und europäischen Ermittlungsbehörden zusammen. Inzwischen wurden mehr als 15.000 infizierte Computer vom Netzwerk getrennt.

Beim Diebstahl von Krypto setzten die Kriminellen auf einen einfachen, aber tückischen Trick. Die Malware veränderte kopierte Wallet-Adressen, sodass Opfer ihre Bitcoin oder Ethereum unbemerkt an die Angreifer schickten.

Ein einfacher Trick leitete Krypto an Kriminelle um

Sality tauchte bereits 2003 auf, Jahre bevor Bitcoin überhaupt existierte. Das Botnet wurde zunächst unter anderem eingesetzt, um Zugangsdaten zu stehlen, Spam zu verbreiten und andere Cyberangriffe auszuführen.

Später nutzten die Betreiber das Netzwerk auch für Kryptodiebstahl. Dafür verwendeten sie Malware, die die Zwischenablage infizierter Computer überwachte. Dort werden kopierte Texte vorübergehend gespeichert.

Wer Krypto versendet, kopiert meist die lange Wallet-Adresse des Empfängers. Genau das nutzte die Malware aus. Sobald eine Bitcoin- oder Ethereum-Adresse kopiert wurde, konnte sie unbemerkt durch die Wallet-Adresse des Angreifers ersetzt werden.

Das Opfer fügte anschließend die falsche Adresse in die eigene Wallet ein. Wer die Angaben nicht noch einmal prüfte und die Transaktion bestätigte, schickte seine Krypto direkt an die Kriminellen.

CrowdStrike schätzt, dass auf diese Weise Krypto im Wert von mindestens 150.000 Dollar gestohlen wurde. Ein Teil davon wurde nicht sofort verkauft. Durch spätere Kursanstiege stieg der Wert einer Wallet mit gestohlener Krypto im Januar 2025 auf rund 1,35 Millionen Dollar.

Warum Sality 23 Jahre überleben konnte

Dass Sality so lange aktiv bleiben konnte, lag vor allem an der Architektur des Netzwerks. Viele Botnets hängen von zentralen Servern ab, über die Kriminelle infizierte Computer steuern. Wird ein solcher Server abgeschaltet, kann das Netzwerk schnell zusammenbrechen.

Bei Sality kommunizierten infizierte Computer direkt miteinander. Dadurch gab es keinen zentralen Server, den Ermittlungsbehörden einfach vom Netz nehmen konnten.

CrowdStrike gelang es schließlich, diese Struktur gegen die Kriminellen zu nutzen. Forscher brachten infizierte Computer dazu, Verbindungen zu Servern aufzubauen, die sie selbst kontrollierten. So wurden weltweit mehr als 15.000 Geräte vom kriminellen Netzwerk getrennt.

Auch mehrere Ermittlungsbehörden wurden aktiv. US-Behörden beschlagnahmten Domains, die mit Sality in Verbindung standen. Polizeibehörden in Bulgarien, Ungarn und Rumänien schalteten zudem Server ab.

Ganz gebannt ist die Gefahr damit noch nicht. Wird ein Computer vom Netzwerk getrennt, heißt das nicht automatisch, dass die Schadsoftware auch vom Gerät entfernt wurde. Internetanbieter versuchen deshalb, Besitzer infizierter Computer zu warnen.