SparkCat Trojaner stiehlt Wallet Seeds aus App Stores

Eine neue Welle von Malware in offiziellen App-Stores hat den Krypto-Sektor erneut getroffen: Sicherheitsforscher haben die Android-Variante von SparkCat als Trojaner beschrieben, der sich über manipulierte Apps verbreitete und gezielt nach Seed-Phrasen in den Fotogalerien von Geräten suchte. Die Schadsoftware wurde teils über Google Play, teils über Apples App Store verteilt und war damit besonders heikel, weil Nutzer der Plattformen den Download naturgemäss für vertrauenswürdig halten. Im Zentrum steht ein klassischer, aber gefährlicher Mechanismus: Wer die Wiederherstellungsphrase seiner Wallet als Screenshot oder Foto speichert, öffnet Angreifern die Tür zu den Coins. Betroffen sind nicht nur einzelne Krypto-Nutzer, sondern alle, die Wallets auf dem Smartphone nutzen und ihre Backup-Daten ungeschützt in der Galerie ablegen.

SparkCat Trojaner: So funktioniert die Malware im Detail

SparkCat ist kein massiver Massenangriff mit plumper Schadsoftware, sondern eine gezielte Spyware-Komponente mit klarem Zweck: sensible Informationen aus dem Gerät ziehen und an die Angreifer weiterleiten. Im Fokus stehen Bilder und Screenshots in der Fotogalerie, in denen Nutzer ihre Seed-Phrase, Recovery Phrase oder private Wallet-Informationen abgelegt haben. Die Malware nutzt dafür optische Texterkennung, kurz OCR, um Bilder nach typischen Wörterfolgen zu durchsuchen. Genau das macht SparkCat für Krypto-Nutzer so gefährlich: Die Wiederherstellungsphrase ist der Generalschlüssel zu einer Wallet. Wer sie besitzt, kann in vielen Fällen das gesamte Guthaben auf eine eigene Adresse verschieben.

Die Technik dahinter ist simpel und effektiv. Nach der Installation fordert die App Berechtigungen an, die zunächst harmlos wirken können, etwa für den Zugriff auf Fotos oder Dateien. Im Hintergrund durchsucht die Schadkomponente dann Bildinhalte nach Begriffen, die auf Wallet-Backups hindeuten. Dazu zählen etwa lange Wortketten mit 12, 18 oder 24 Begriffen, häufig ohne offensichtliche Verbindung zu Bankdaten oder Passwörtern. Wird eine solche Phrase gefunden, kann sie verschlüsselt an einen Server der Angreifer übertragen werden. Aus Sicht des Betroffenen sieht das oft wie normale App-Nutzung aus, weshalb die Entdeckung meist erst spät erfolgt.

Besonders tückisch ist, dass SparkCat nicht zwingend auf spektakuläre Systemmanipulation setzt. Kein lauter Absturz, kein offensichtlicher Diebstahl im Hintergrund, sondern schleichende Datenerfassung. Genau diese Unauffälligkeit macht den Wallet Seed-Diebstahl so effektiv. Wer seine Seed-Phrase jemals fotografiert, gescreenshottet oder in einem Cloud-Album gesichert hat, hinterlässt im schlechtesten Fall eine gut lesbare Kopie. Das gilt auch für Nutzer, die ihre Galerie automatisch mit einem Cloud-Dienst synchronisieren. In solchen Fällen kann schon die Kompromittierung eines Kontos oder Geräts reichen, um an die Wallet-Wiederherstellungsdaten zu gelangen.

Verbreitungsweg über Google Play und Apple App Store

Dass sich der SparkCat Trojaner in offiziellen Stores einnisten konnte, erhöht die Relevanz des Vorfalls deutlich. Angreifer setzen dafür meist auf scheinbar legitime Apps mit unauffälligen Funktionen, etwa Messaging-, Produktivitäts- oder KI-bezogene Anwendungen. Der eigentliche Schadcode wird teils erst nach der Freigabe aktiviert oder über nachgeladene Komponenten ergänzt. So lässt sich die erste Prüfung der Plattformen eher umgehen als bei einer von Anfang an klar bösartigen APK oder IPA.

Bei Android ist dieser Weg besonders bekannt: Eine App kann zunächst sauber wirken, später aber über Updates oder Konfigurationsänderungen schädliche Funktionen nachladen. Auf iPhones ist die Verbreitung zwar schwieriger, aber nicht unmöglich. Auch dort können missbrauchte Entwicklerkonten, getarnte Funktionen oder mehrfach eingereichte Varianten für Reichweite sorgen, bevor eine Entfernung erfolgt. Der Fall zeigt, dass selbst ein Eintrag im Google Play Store oder im Apple App Store keine absolute Sicherheitsgarantie ist.

Für Nutzer ist die entscheidende Lehre nicht nur die Frage, ob eine App aus dem offiziellen Store stammt, sondern was sie an Berechtigungen verlangt und welche Daten sie wirklich benötigt. Eine Taschenlampe braucht keinen Zugriff auf die Fotogalerie. Eine Notiz-App braucht keine Bildersuche im Hintergrund. Wenn eine App Rechte verlangt, die mit ihrer Funktion nicht erklärbar sind, steigt das Risiko erheblich. Genau in solchen Lücken bauen moderne Stalker- und Trojaner-Kampagnen ihre Tarnung auf.

Welche Wallets und Nutzer besonders gefährdet sind

Gefährdet sind vor allem Nutzer, die ihre Seed-Phrase jemals digital gespeichert haben. Das betrifft nicht nur Hardcore-Trader, sondern auch Einsteiger, die beim Einrichten einer Wallet einen Screenshot für später gemacht haben. Besonders anfällig sind Self-Custody-Wallets auf Mobilgeräten, weil dort Fotos, Cloud-Backups und Messaging-Apps oft eng miteinander verzahnt sind. Wer seine Recovery Phrase in der Galerie, in WhatsApp-Chats, in E-Mail-Entwürfen oder in Cloud-Ordnern abgelegt hat, erweitert die Angriffsfläche erheblich.

Zu den besonders exponierten Gruppen zählen auch Personen, die mehrere Wallets auf demselben Smartphone verwalten. Schon eine einzige kompromittierte Seed-Phrase kann reichen, um auf eine ganze Sammlung von Wallets zuzugreifen, wenn dieselbe Sicherungslogik mehrfach verwendet wurde. Kritisch ist ausserdem die Wiederverwendung von identischen Backup-Mustern, etwa wenn dieselbe Phrase fotografiert und zusätzlich in einem Passwortmanager unsicher abgelegt wurde. Wer mit DeFi, NFT-Plattformen oder mehreren Chain-Apps arbeitet, hat oft mehr sensible Spuren auf dem Gerät, als ihm bewusst ist.

Die möglichen Schäden reichen vom Verlust einzelner Token bis zum kompletten Abräumen von Wallets. Bei selbstverwalteten Krypto-Beständen gilt eine einfache Regel: Wer die Seed-Phrase kontrolliert, kontrolliert die Mittel. Wird sie gestohlen, sind Transaktionen in der Regel unumkehrbar. Anders als bei Bankkonten gibt es meist keine zentrale Rückbuchung. Genau deshalb ist Wallet-Sicherheit kein Nebenthema, sondern die Grundlage jeder Krypto-Nutzung.

Risikoquelle	Typische Schwachstelle	Folge
Galerie-Screenshots	Seed-Phrase als Bild gespeichert	Direkter Wallet-Zugriff bei Kompromittierung des Geräts
Cloud-Synchronisation	Fotos automatisch online gesichert	Angriff auch ohne physischen Gerätezugriff
Messenger-Chats	Wiederherstellungsdaten in Nachrichten abgelegt	Übernahme bei Account-Diebstahl oder Session-Hijacking
Mehrfach genutzte Geräte	Mehrere Wallets auf einem Smartphone	Höhere Schadenssumme bei einem einzigen Leak

So prüfst du mögliche Kompromittierung und schützt deine Wallet sofort

Wer den Verdacht hat, betroffen zu sein, sollte zuerst die offensichtlichen Spuren auf dem Gerät prüfen. Unbekannte Apps, neue Berechtigungen für Fotos oder Dateien, ungewöhnlicher Akkuverbrauch und plötzliche Hintergrundaktivität sind typische Hinweise. Auch wenn SparkCat oft leise arbeitet, lohnt der Blick in die installierten Apps und in die zuletzt vergebenen Rechte. Besonders wichtig ist die Kontrolle jener Anwendungen, die kurz vor dem Vorfall installiert wurden oder deren Update-Zeitpunkt auffällt.

Der nächste Schritt betrifft die Seed-Phrase selbst. Wer sie als Foto, Screenshot oder Datei gespeichert hat, sollte davon ausgehen, dass die Vertraulichkeit beeinträchtigt sein könnte. Dann hilft nur noch ein geordneter Wechsel: neue Wallet auf einem sauberen Gerät erstellen, Guthaben auf neue Adressen transferieren und die alte Seed-Phrase nicht weiterverwenden. Sobald der Verdacht auf Diebstahl besteht, ist das keine Vorsichtsmassnahme mehr, sondern die schnellste Form der Schadensbegrenzung.

Für die Bereinigung des Geräts gilt: Die verdächtige App entfernen, das Smartphone auf bekannte Bedrohungen scannen und anschliessend prüfen, ob weitere Profile, Geräte-Administratoren oder Zugriffsrechte gesetzt wurden. Bei Android kann eine genaue Kontrolle der App-Berechtigungen helfen, bei iOS sollten installierte Profile, Unternehmenszertifikate und ungewöhnliche App-Verhaltensmuster überprüft werden. Wer auf Nummer sicher gehen will, setzt das Gerät nach der Sicherung wichtiger Daten neu auf. Das ist vor allem dann sinnvoll, wenn unklar bleibt, wie tief die Manipulation reicht.

Praktisch bewährt sich eine kurze Reihenfolge:

1. Verdächtige App sofort deinstallieren.
2. Galerie, Cloud-Backups und Messenger nach Seed-Phrase-Bildern durchsuchen und solche Kopien löschen.
3. Wallet auf einem sauberen Gerät neu anlegen und Guthaben transferieren, falls die Phrase kompromittiert sein könnte.
4. Passwörter für verknüpfte Konten ändern, insbesondere bei E-Mail, Cloud und Passwortmanager.
5. Gerät mit aktuellen Sicherheits-Apps prüfen und alle App-Berechtigungen kontrollieren.

Für die Seed-Phrase Schutz-Praxis gilt: niemals fotografieren, nie in Cloud-Ordnern ablegen, nicht per Messenger verschicken und nicht als Textdatei speichern. Die beste Sicherung bleibt die physische Offline-Variante, etwa auf Papier oder auf einem dafür vorgesehenen Metall-Backup, getrennt vom Smartphone und getrennt von jedem Online-Konto. Wer mehrere Wallets nutzt, sollte für grössere Beträge eine saubere Trennung zwischen Alltagswallet und Langzeitbestand einhalten.

Quellen, IOCs und offizielle Reaktionen im Blick behalten

Bei Kampagnen wie SparkCat sind schnelle Updates entscheidend, weil betroffene Apps nach Erkennung oft zügig entfernt oder angepasst werden. Relevant sind deshalb die Veröffentlichungen von Sicherheitsfirmen, AV-Herstellern und den Plattformbetreibern selbst. Nutzer sollten auf Hinweise zu Paketnamen, App-Titeln, Entwicklerkonten, Hashes und Serveradressen achten, sobald diese öffentlich gemacht werden. Solche IOCs helfen beim Abgleich mit installierten Apps und Logdaten.

Wichtige Quellen sind unter anderem die Security Advisories von App-Store-Sicherheitsforschern, Malware-Reports grosser AV-Anbieter sowie Meldungen von CERT-Stellen. Auch die Entfernungen aus Google Play und dem Apple App Store sind relevant, weil sie zeigen, ob eine betroffene App noch aktiv verteilt wird oder bereits bereinigt wurde. Wer selbst prüfen will, sollte die offiziellen Blogposts der Anbieter, die Scanner-Ergebnisse der grossen Schutzlösungen und die Security-Feeds der Plattformen beobachten. Bei iOS und Android lohnt zudem ein Blick auf App-Bewertungen und Entwicklerhistorien, weil schädliche Apps oft nach kurzer Zeit unter neuem Namen oder mit leicht veränderten Metadaten auftauchen.

Wichtig ist auch die interne Einordnung in die eigene Sicherheitsroutine. Wer sich bereits mit Wallet-Sicherheit, Seed-Management und mobilen Phishing-Angriffen beschäftigt hat, erkennt den roten Faden: Nicht die Blockchain selbst wird angegriffen, sondern der Mensch und sein Endgerät. Genau dort setzt SparkCat an. Die eigentliche Schwachstelle ist selten der Coin, sondern die Art, wie das Backup gespeichert wird. Sobald diese Gewohnheit geändert wird, sinkt das Risiko drastisch.

Fazit: SparkCat zeigt, wie teuer ein einziger Screenshot werden kann

SparkCat ist ein gutes Beispiel dafür, wie modern Krypto-Malware heute arbeitet: unauffällig, plattformübergreifend und mit klarer Zielrichtung auf den wertvollsten Teil jeder Wallet, die Wiederherstellungsphrase. Dass die Schadsoftware zeitweise in offiziellen App-Stores auftauchte, macht den Vorfall noch brisanter. Wer seine Seed-Phrase jemals als Bild oder Screenshot gespeichert hat, sollte das nicht als harmlose Bequemlichkeit abtun. Im Ernstfall reicht genau diese Kopie, um eine Wallet vollständig zu übernehmen. Der richtige Schutz beginnt deshalb nicht erst bei der App-Entfernung, sondern bei konsequentem Seed-Management. Offline sichern, Berechtigungen prüfen, verdächtige Apps löschen und bei Verdacht sofort auf eine neue Wallet migrieren: Das sind die Schritte, die im Alltag den Unterschied machen.