Eine Malware ersetzte sieben Wallet-Erweiterungen durch Phishing-Masken; wie viele Nutzer und welche Kryptosummen betroffen sind, bleibt offen.
Ein als KI-Trading-Assistent getarntes Programm hat auf infizierten Windows-Rechnern sieben Browser-Wallet-Erweiterungen durch schädliche Kopien ersetzt und deren vertraute Anmeldeoberflächen in Fallen für Zugangsdaten verwandelt. Das geht aus einer Analyse von HP Wolf Security hervor. Wie viele Nutzer betroffen sind und welche Verluste entstanden sind, bleibt unbekannt.
Ein gefälschter Trading-Assistent diente als Einstieg in die Malware-Kampagne
HP Wolf Security veröffentlichte die Erkenntnisse im Threat-Report vom 17. September 2026. Die Analyse stützt sich auf Bedrohungen, die das Team zwischen April und Juni 2026 beobachtet hat.
Die Infektionskette begann demnach nicht mit einem Einbruch in Coinbase, MetaMask oder deren offizielle Erweiterungen, sondern auf dem Endgerät der Nutzer selbst: Wer eine gefälschte Trading-Software herunterlud und ausführte, öffnete den Angreifern die Tür. Search-Engine-Poisoning und bezahlte Anzeigen lenkten potenzielle Opfer zu einer ZIP-Datei, die als Installer präsentiert wurde. Malwarebytes hatte laut Berichten eine verwandte Kampagne namens TradingClaw bereits im April dokumentiert. Wer die eigenen Zugangsdaten grundsätzlich vor Phishing schützen will, findet weiteren Kontext im Beitrag zur Brevo-Sicherheitslücke und Phishing-Angriffen auf Krypto-Konten.
Needle Stealer ersetzte sieben Wallet-Erweiterungen durch Anmeldemasken
Die gefälschte Software installierte eine Malware namens Needle Stealer. Diese durchsuchte den Browser nach installierten Erweiterungen und verglich deren IDs mit einer festen Liste, die Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask und Tonkeeper umfasste.
Die ZIP-Datei selbst enthielt zwei Komponenten: eine Datei namens Trading Agent.exe und eine DLL namens iviewers.dll. HP identifizierte die ausführbare Datei als OLEView, ein legitimes, digital signiertes Werkzeug von Microsoft. Genau diese Signatur half laut HP, Microsofts SmartScreen-Reputationsprüfung zu umgehen, während das eigentliche schädliche Programm in der beiliegenden DLL steckte, die beim Start geladen wurde. Der Code entschlüsselte anschließend Needle Stealer und nutzte Process Hollowing, um sich in einem legitim aussehenden Prozess zu verstecken. Fand die Malware eine Zielerweiterung, schloss sie den Browser und ersetzte die echte Erweiterung im bestehenden Ordner durch eine manipulierte Version, die beim ersten Start einen Command-and-Control-Server sowie Backup-Domains kontaktierte. Wie teuer kompromittierte Wallet-Zugänge werden können, zeigt der Beitrag zum Coldcard-Hack mit einem Verlust von 130 Millionen Dollar.
Die vertraute Wallet-Oberfläche wurde zur Falle für Zugangsdaten
Die Angreifer bauten laut HP realistische Login-Oberflächen nach. Gaben Nutzer ihre Wallet-ID und ihr Passwort in die gefälschte Oberfläche ein, konnten diese Daten an die Betreiber übertragen werden.
MetaMasks eigene Anleitung weist darauf hin, dass bei Wallets mit Secret Recovery Phrase das Passwort lediglich lokal entsperrt und die Wallet nicht auf einem anderen Gerät wiederherstellt. Trotzdem blieben lokal zugängliche Guthaben auf dem bereits kompromittierten Gerät gefährdet. Weder der HP-Report noch die zugehörige Zusammenfassung nannten eine kampagnenweite Opferzahl oder einen aggregierten Kryptoverlust – die Dimension des Vorfalls bleibt damit offen, was sich in die wachsende Reihe größerer Krypto-Hacks mit erheblichem Schadenspotenzial einordnet.
Ausblick: Die Größenordnung des Angriffs bleibt offen
Der Vorfall zeigt, dass ein kompromittierter Endpunkt und eine einzelne gefälschte Erweiterung ausreichen können, um eine vertraute Wallet-Oberfläche in eine Credential-Falle zu verwandeln. Wie viele Nutzer tatsächlich betroffen waren und welche Summen abflossen, lässt sich derzeit nicht seriös beziffern.
Kryptowährungen sind pseudonym, nicht anonym, und viele Plattformen unterliegen KYC-Pflichten. Wer verdächtige Software oder Browser-Erweiterungen installiert hat, sollte betroffene Geräte isolieren und Zugangsdaten umgehend ändern; weiterführende Hinweise zu Phishing-Risiken bietet der Beitrag zur Brevo-Sicherheitslücke.
next