{"id":30558,"date":"2026-09-18T15:12:00","date_gmt":"2026-09-18T13:12:00","guid":{"rendered":"https:\/\/www.coinspeaker.com\/de\/?p=30558"},"modified":"2026-09-18T15:12:00","modified_gmt":"2026-09-18T13:12:00","slug":"wallet-erweiterungen-malware-phishing","status":"publish","type":"post","link":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/","title":{"rendered":"Malware macht sieben Wallet-Erweiterungen zu Phishing-Fallen"},"content":{"rendered":"<p>Ein als KI-Trading-Assistent getarntes Programm hat auf infizierten Windows-Rechnern sieben Browser-Wallet-Erweiterungen durch sch\u00e4dliche Kopien ersetzt und deren vertraute Anmeldeoberfl\u00e4chen in Fallen f\u00fcr Zugangsdaten verwandelt. Das geht aus einer Analyse von <strong>HP Wolf Security<\/strong> hervor. Wie viele Nutzer betroffen sind und welche Verluste entstanden sind, bleibt unbekannt.<\/p>\n<h2>Ein gef\u00e4lschter Trading-Assistent diente als Einstieg in die Malware-Kampagne<\/h2>\n<p>HP Wolf Security ver\u00f6ffentlichte die Erkenntnisse im Threat-Report vom 17. September 2026. Die Analyse st\u00fctzt sich auf Bedrohungen, die das Team zwischen April und Juni 2026 beobachtet hat.<\/p>\n<p>Die Infektionskette begann demnach nicht mit einem Einbruch in Coinbase, MetaMask oder deren offizielle Erweiterungen, sondern auf dem Endger\u00e4t der Nutzer selbst: Wer eine gef\u00e4lschte Trading-Software herunterlud und ausf\u00fchrte, \u00f6ffnete den Angreifern die T\u00fcr. Search-Engine-Poisoning und bezahlte Anzeigen lenkten potenzielle Opfer zu einer ZIP-Datei, die als Installer pr\u00e4sentiert wurde. Malwarebytes hatte laut Berichten eine verwandte Kampagne namens TradingClaw bereits im April dokumentiert. Wer die eigenen Zugangsdaten grunds\u00e4tzlich vor Phishing sch\u00fctzen will, findet weiteren Kontext im Beitrag zur <a href=\"https:\/\/www.coinspeaker.com\/de\/brevo-sicherheitsluecke-phishing-krypto-konten\/\">Brevo-Sicherheitsl\u00fccke und Phishing-Angriffen auf Krypto-Konten<\/a>.<\/p>\n<h2>Needle Stealer ersetzte sieben Wallet-Erweiterungen durch Anmeldemasken<\/h2>\n<p>Die gef\u00e4lschte Software installierte eine Malware namens <strong>Needle Stealer<\/strong>. Diese durchsuchte den Browser nach installierten Erweiterungen und verglich deren IDs mit einer festen Liste, die Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask und Tonkeeper umfasste.<\/p>\n<p>Die ZIP-Datei selbst enthielt zwei Komponenten: eine Datei namens Trading Agent.exe und eine DLL namens iviewers.dll. HP identifizierte die ausf\u00fchrbare Datei als OLEView, ein legitimes, digital signiertes Werkzeug von Microsoft. Genau diese Signatur half laut HP, Microsofts SmartScreen-Reputationspr\u00fcfung zu umgehen, w\u00e4hrend das eigentliche sch\u00e4dliche Programm in der beiliegenden DLL steckte, die beim Start geladen wurde. Der Code entschl\u00fcsselte anschlie\u00dfend Needle Stealer und nutzte Process Hollowing, um sich in einem legitim aussehenden Prozess zu verstecken. Fand die Malware eine Zielerweiterung, schloss sie den Browser und ersetzte die echte Erweiterung im bestehenden Ordner durch eine manipulierte Version, die beim ersten Start einen Command-and-Control-Server sowie Backup-Domains kontaktierte. Wie teuer kompromittierte Wallet-Zug\u00e4nge werden k\u00f6nnen, zeigt der Beitrag zum <a href=\"https:\/\/www.coinspeaker.com\/de\/coldcard-hack-bitcoin-sicherheitsluecke-verlust-130-millionen-dollar\/\">Coldcard-Hack mit einem Verlust von 130 Millionen Dollar<\/a>.<\/p>\n<h2>Die vertraute Wallet-Oberfl\u00e4che wurde zur Falle f\u00fcr Zugangsdaten<\/h2>\n<p>Die Angreifer bauten laut HP realistische Login-Oberfl\u00e4chen nach. Gaben Nutzer ihre Wallet-ID und ihr Passwort in die gef\u00e4lschte Oberfl\u00e4che ein, konnten diese Daten an die Betreiber \u00fcbertragen werden.<\/p>\n<p>MetaMasks eigene Anleitung weist darauf hin, dass bei Wallets mit Secret Recovery Phrase das Passwort lediglich lokal entsperrt und die Wallet nicht auf einem anderen Ger\u00e4t wiederherstellt. Trotzdem blieben lokal zug\u00e4ngliche Guthaben auf dem bereits kompromittierten Ger\u00e4t gef\u00e4hrdet. Weder der HP-Report noch die zugeh\u00f6rige Zusammenfassung nannten eine kampagnenweite Opferzahl oder einen aggregierten Kryptoverlust \u2013 die Dimension des Vorfalls bleibt damit offen, was sich in die wachsende Reihe gr\u00f6\u00dferer <a href=\"https:\/\/www.coinspeaker.com\/de\/dieser-krypto-hack-macht-wirklich-angst\/\">Krypto-Hacks mit erheblichem Schadenspotenzial<\/a> einordnet.<\/p>\n<h2>Ausblick: Die Gr\u00f6\u00dfenordnung des Angriffs bleibt offen<\/h2>\n<p>Der Vorfall zeigt, dass ein kompromittierter Endpunkt und eine einzelne gef\u00e4lschte Erweiterung ausreichen k\u00f6nnen, um eine vertraute Wallet-Oberfl\u00e4che in eine Credential-Falle zu verwandeln. Wie viele Nutzer tats\u00e4chlich betroffen waren und welche Summen abflossen, l\u00e4sst sich derzeit nicht seri\u00f6s beziffern.<\/p>\n<p>Kryptow\u00e4hrungen sind pseudonym, nicht anonym, und viele Plattformen unterliegen KYC-Pflichten. Wer verd\u00e4chtige Software oder Browser-Erweiterungen installiert hat, sollte betroffene Ger\u00e4te isolieren und Zugangsdaten umgehend \u00e4ndern; weiterf\u00fchrende Hinweise zu Phishing-Risiken bietet der Beitrag zur <a href=\"https:\/\/www.coinspeaker.com\/de\/brevo-sicherheitsluecke-phishing-krypto-konten\/\">Brevo-Sicherheitsl\u00fccke<\/a>.<\/p>\n<a class=\"infinscroll_next_page_link\" style=\"display:none\" href=\"https:\/\/www.coinspeaker.com\/de\/blockchain-dead-drops-malware-infrastruktur\/\" rel=\"prev\">next<\/a>","protected":false},"excerpt":{"rendered":"<p>Eine Malware ersetzte sieben Wallet-Erweiterungen durch Phishing-Masken; wie viele Nutzer und welche Kryptosummen betroffen sind, bleibt offen.<\/p>\n","protected":false},"author":425,"featured_media":30557,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[17],"tags":[],"class_list":["post-30558","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity-news"],"acf":[],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.2 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Wallet-Erweiterungen: Malware baut Phishing-Fallen<\/title>\n<meta name=\"description\" content=\"Eine Malware ersetzte sieben Wallet-Erweiterungen durch Phishing-Masken; wie viele Nutzer und welche Kryptosummen betroffen sind, bleibt offen.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Wallet-Erweiterungen: Malware baut Phishing-Fallen\" \/>\n<meta property=\"og:description\" content=\"Eine Malware ersetzte sieben Wallet-Erweiterungen durch Phishing-Masken; wie viele Nutzer und welche Kryptosummen betroffen sind, bleibt offen.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/\" \/>\n<meta property=\"og:site_name\" content=\"Coinspeaker Deutschland\" \/>\n<meta property=\"article:published_time\" content=\"2026-09-18T13:12:00+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.coinspeaker.com\/de\/wp-content\/uploads\/sites\/2\/2026\/09\/malware-sieben-wallet-erweiterungen-phishing-fallen.webp\" \/>\n\t<meta property=\"og:image:width\" content=\"1200\" \/>\n\t<meta property=\"og:image:height\" content=\"675\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/webp\" \/>\n<meta name=\"author\" content=\"Raphael Adrian\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@https:\/\/x.com\/raphaeladrian80\" \/>\n<meta name=\"twitter:label1\" content=\"Verfasst von\" \/>\n\t<meta name=\"twitter:data1\" content=\"Raphael Adrian\" \/>\n\t<meta name=\"twitter:label2\" content=\"Gesch\u00e4tzte Lesezeit\" \/>\n\t<meta name=\"twitter:data2\" content=\"3\u00a0Minuten\" \/>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Wallet-Erweiterungen: Malware baut Phishing-Fallen","description":"Eine Malware ersetzte sieben Wallet-Erweiterungen durch Phishing-Masken; wie viele Nutzer und welche Kryptosummen betroffen sind, bleibt offen.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/","og_locale":"de_DE","og_type":"article","og_title":"Wallet-Erweiterungen: Malware baut Phishing-Fallen","og_description":"Eine Malware ersetzte sieben Wallet-Erweiterungen durch Phishing-Masken; wie viele Nutzer und welche Kryptosummen betroffen sind, bleibt offen.","og_url":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/","og_site_name":"Coinspeaker Deutschland","article_published_time":"2026-09-18T13:12:00+00:00","og_image":[{"width":1200,"height":675,"url":"https:\/\/www.coinspeaker.com\/de\/wp-content\/uploads\/sites\/2\/2026\/09\/malware-sieben-wallet-erweiterungen-phishing-fallen.webp","type":"image\/webp"}],"author":"Raphael Adrian","twitter_card":"summary_large_image","twitter_creator":"@https:\/\/x.com\/raphaeladrian80","twitter_misc":{"Verfasst von":"Raphael Adrian","Gesch\u00e4tzte Lesezeit":"3\u00a0Minuten"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/#article","isPartOf":{"@id":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/"},"author":{"name":"Raphael Adrian","@id":"https:\/\/www.coinspeaker.com\/de\/#\/schema\/person\/f025bc893d75601617733f418e90063e"},"headline":"Malware macht sieben Wallet-Erweiterungen zu Phishing-Fallen","datePublished":"2026-09-18T13:12:00+00:00","mainEntityOfPage":{"@id":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/"},"wordCount":570,"commentCount":0,"image":{"@id":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/#primaryimage"},"thumbnailUrl":"https:\/\/www.coinspeaker.com\/de\/wp-content\/uploads\/sites\/2\/2026\/09\/malware-sieben-wallet-erweiterungen-phishing-fallen.webp","articleSection":["Cybersecurity News"],"inLanguage":"de","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/#respond"]}],"copyrightYear":"2026","copyrightHolder":{"@id":"https:\/\/www.coinspeaker.com\/#organization"}},{"@type":"WebPage","@id":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/","url":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/","name":"Wallet-Erweiterungen: Malware baut Phishing-Fallen","isPartOf":{"@id":"https:\/\/www.coinspeaker.com\/de\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/#primaryimage"},"image":{"@id":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/#primaryimage"},"thumbnailUrl":"https:\/\/www.coinspeaker.com\/de\/wp-content\/uploads\/sites\/2\/2026\/09\/malware-sieben-wallet-erweiterungen-phishing-fallen.webp","datePublished":"2026-09-18T13:12:00+00:00","author":{"@id":"https:\/\/www.coinspeaker.com\/de\/#\/schema\/person\/f025bc893d75601617733f418e90063e"},"description":"Eine Malware ersetzte sieben Wallet-Erweiterungen durch Phishing-Masken; wie viele Nutzer und welche Kryptosummen betroffen sind, bleibt offen.","breadcrumb":{"@id":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/#breadcrumb"},"inLanguage":"de","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/"]}]},{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/#primaryimage","url":"https:\/\/www.coinspeaker.com\/de\/wp-content\/uploads\/sites\/2\/2026\/09\/malware-sieben-wallet-erweiterungen-phishing-fallen.webp","contentUrl":"https:\/\/www.coinspeaker.com\/de\/wp-content\/uploads\/sites\/2\/2026\/09\/malware-sieben-wallet-erweiterungen-phishing-fallen.webp","width":1200,"height":675,"caption":"Laptop mit gef\u00e4lschter Wallet-Anmeldemaske als Symbol f\u00fcr Malware und Phishing"},{"@type":"BreadcrumbList","@id":"https:\/\/www.coinspeaker.com\/de\/wallet-erweiterungen-malware-phishing\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/www.coinspeaker.com\/de\/"},{"@type":"ListItem","position":2,"name":"Malware macht sieben Wallet-Erweiterungen zu Phishing-Fallen"}]},{"@type":"WebSite","@id":"https:\/\/www.coinspeaker.com\/de\/#website","url":"https:\/\/www.coinspeaker.com\/de\/","name":"Coinspeaker Deutschland","description":"Bitcoin, Ethereum, Altcoins und Krypto-News mit Analysen, Live-Preisen, Daten-Charts und Anleitungen","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.coinspeaker.com\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de"},{"@type":"Person","@id":"https:\/\/www.coinspeaker.com\/de\/#\/schema\/person\/f025bc893d75601617733f418e90063e","name":"Raphael Adrian","image":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/www.coinspeaker.com\/de\/wp-content\/uploads\/sites\/2\/2026\/02\/Raphael-Adrian-Autor-96x96.jpeg","url":"https:\/\/www.coinspeaker.com\/de\/wp-content\/uploads\/sites\/2\/2026\/02\/Raphael-Adrian-Autor-96x96.jpeg","contentUrl":"https:\/\/www.coinspeaker.com\/de\/wp-content\/uploads\/sites\/2\/2026\/02\/Raphael-Adrian-Autor-96x96.jpeg","caption":"Raphael Adrian"},"description":"Raphael Adrian ist ein Krypto-Journalist und Analyst, der bei Coinspeaker \u00fcber Krypto-News, PR-Inhalte und Marktanalysen schreibt. Hier gilt er als Lead-Autor und Experte f\u00fcr Kryptow\u00e4hrungs-Prognosen. Mit seinem journalistischen Hintergrund und seiner Spezialisierung auf Finanzen, Business und digitale Assets berichtet er seit Jahren \u00fcber Blockchain-Trends, neue Projekte und Entwicklungen am Kryptomarkt. Seine Kenntnisse in fundamentaler und technischer Analyse erm\u00f6glichen es ihm, Marktbewegungen fundiert zu bewerten, Potenziale von Projekten einzuordnen und datenbasierte Krypto-Prognosen zu erstellen. In seiner Arbeit legt er besonderen Wert auf verst\u00e4ndliche, recherchierte Inhalte, die Leser bei fundierten Entscheidungen im Kryptomarkt unterst\u00fctzen.","sameAs":["https:\/\/www.linkedin.com\/in\/raphael-adrian-6050b9267\/","https:\/\/x.com\/https:\/\/x.com\/raphaeladrian80"],"url":"https:\/\/www.coinspeaker.com\/de\/author\/raphael\/"}]}},"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/posts\/30558","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/users\/425"}],"replies":[{"embeddable":true,"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/comments?post=30558"}],"version-history":[{"count":1,"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/posts\/30558\/revisions"}],"predecessor-version":[{"id":30580,"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/posts\/30558\/revisions\/30580"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/media\/30557"}],"wp:attachment":[{"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/media?parent=30558"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/categories?post=30558"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.coinspeaker.com\/de\/wp-json\/wp\/v2\/tags?post=30558"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}