Spyware bedroht Krypto Wallets, Packagist liest Seeds und Keys

Eine neue Spyware-Kampagne trifft Krypto-Nutzer genau dort, wo es am meisten weh tut: bei Wallets, Seed-Phrasen und privaten Schlüsseln. Sicherheitsforscher berichten, dass manipulierte Packagist-Pakete als Verteilweg genutzt wurden, um Daten von Wallet-Umgebungen auszulesen und auf iPhone-Geräte zuzugreifen. Betroffen sind nach bisherigen Erkenntnissen unter anderem Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet und OKX. Wer diese Apps nutzt, sollte jetzt prüfen, ob die installierte Version auf dem neuesten Stand ist, ob verdächtige Zugriffe vorliegen und ob kritische Zugangsdaten jemals auf einem potenziell kompromittierten Gerät gespeichert wurden.

Spyware Krypto Wallets: Welche Anbieter betroffen sind und was bekannt ist

Im Zentrum der aktuellen Warnungen stehen mehrere der bekanntesten Wallets im Markt: Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet und OKX. Nach den bisherigen Berichten ist nicht davon auszugehen, dass alle Anbieter selbst kompromittiert wurden. Der Angriff zielt vielmehr auf Nutzer und auf die Software-Lieferkette, über die bösartige Komponenten in Projekte eingebunden wurden. Genau das macht den Vorfall so heikel: Wer eine saubere Wallet-App installiert hat, kann trotzdem betroffen sein, wenn eine abhängige Bibliothek oder ein Entwicklungs-Paket manipuliert wurde.

Die betroffenen Datenarten sind besonders sensibel. Im Fokus stehen Seed-Phrasen, private Keys, Wallet-Dateien, Browser-Daten, iPhone-bezogene System- und Nutzerdaten sowie Informationen, die Rückschlüsse auf Konten, Geräte und Installationsumgebungen erlauben. Für Krypto-Nutzer ist das die kritische Kombination: Wer eine Seed-Phrase verliert, verliert unter Umständen den gesamten Zugriff auf das Wallet-Ökosystem. Anders als bei einem Passwort kann eine Seed-Phrase nicht einfach zurückgesetzt werden.

Wie gross der konkrete Schaden ist, hängt vom Nutzungsverhalten ab. Wer Wallet-Apps nur auf einem aktuellen, sauberen Gerät verwendet und keine sensiblen Daten ausserhalb der App speichert, ist deutlich besser geschützt. Wer hingegen Seed-Phrasen, Exportdateien oder private Schlüssel auf dem Smartphone, in Notiz-Apps, Screenshots oder Cloud-Backups abgelegt hat, trägt ein erheblich höheres Risiko. Das gilt besonders dann, wenn das iPhone bereits Ziel einer kompromittierten App-Kette war.

So funktioniert der Angriff über manipulierte Packagist-Pakete

Der Verbreitungsweg führt laut den Sicherheitsanalysen über manipulierte Packagist-Pakete. Packagist ist das zentrale Paket-Repository für PHP-Projekte und damit ein wichtiger Baustein vieler Web- und Backend-Anwendungen. Wird ein Paket kompromittiert oder gezielt bösartig veröffentlicht, kann der Schadcode über Abhängigkeiten in Software-Projekte gelangen, ohne dass Entwickler ihn auf den ersten Blick erkennen. Genau diese Lieferketten-Technik macht Packagist-Malware so gefährlich: Die Verteilung wirkt zunächst legitim, weil sie über vertrauenswürdige Installationspfade läuft.

Technisch setzt die Spyware offenbar auf mehrere Ebenen an. Zuerst wird versucht, auf dem Zielsystem Dateien zu finden, die für Wallets oder Krypto-Workflows relevant sind. Danach folgen das Auslesen von Dateien, das Sammeln von Geräteinformationen und das Abgreifen von Inhalten aus laufenden Sitzungen. In einzelnen Berichten ist auch von Bildschirmaufnahmen und Keylogging-ähnlichen Funktionen die Rede, also vom Mitschneiden von Eingaben und visuellen Inhalten. Das ist besonders problematisch, weil Seed-Phrasen oft nicht nur in Dateien, sondern auch temporär auf dem Bildschirm, in Formularen oder in Zwischenablagen auftauchen.

Welche Daten die Spyware typischerweise sucht

• Seed-Phrasen und Recovery-Wörterfolgen
• Private Keys, Wallet-Exports und Keystore-Dateien
• Browser-Daten, Sitzungscookies und kryptobezogene Erweiterungen
• iPhone-Geräteinformationen, App-Artefakte und Speicherorte sensibler Dateien
• Bildschirminhalte und Eingaben, wenn Monitoring-Funktionen aktiv sind

Besonders perfide ist die Kombination aus Dateisuche und Verhaltensanalyse. Malware muss nicht zwangsläufig das gesamte Gerät übernehmen. Es reicht oft, gezielt nach Dateinamen, App-Pfaden oder typischen Wallet-Artefakten zu suchen und anschliessend nur die wirklich wertvollen Informationen abzusaugen. Dadurch sinkt die Entdeckungswahrscheinlichkeit, während der Ertrag für Angreifer hoch bleibt.

Für Sicherheitsforscher ist die Lieferkette über Paketabhängigkeiten ein bekanntes Muster. Der Trend zeigt seit Jahren, dass Angreifer nicht mehr nur Endnutzer direkt anvisieren, sondern den Software-Stack selbst angreifen. Sobald ein Entwickler ein manipuliertes Paket einbindet, kann sich der Schadcode in Build-Prozesse, Webdienste oder mobile Workflows fortpflanzen. Im Umfeld von Wallet-Tools und Krypto-Diensten ist das Risiko besonders gross, weil dort oft mehrere Systeme zusammenarbeiten: Mobile App, Backend, Browser-Komponente, API und Recovery-Mechanismen.

Risiko für Nutzer: Wer jetzt besonders aufmerksam sein muss

Für normale Nutzer ist das Risiko vor allem dann hoch, wenn eine der betroffenen Wallets auf einem Gerät verwendet wurde, auf dem weitere unsichere Software installiert war oder auf dem Entwickler- und Krypto-Workflows zusammenlaufen. Besonders exponiert sind Nutzer, die Seed-Phrasen einmal digital gespeichert, Wallet-Dateien gesichert oder private Schlüssel exportiert haben. Auch wer mit mehreren Wallets arbeitet und häufig zwischen Browser, Desktop und iPhone wechselt, vergrössert die Angriffsfläche.

Ein kompromittiertes iPhone ist nicht automatisch gleichbedeutend mit einem sofort leeren Wallet. Entscheidend ist, ob die Spyware tatsächlich Zugang zu sensiblen Daten hatte und ob diese Daten zu einem vollständigen Wallet-Import oder einer Transaktion ausreichen. Bei Seed-Phrase gestohlen oder privaten Schlüsseln ist das Risiko maximal. Bei blossen Gerätedaten ist es geringer, aber immer noch relevant, weil Angreifer damit Phishing, Account-Übernahmen oder gezielte Social-Engineering-Angriffe vorbereiten können.

Auch Anbieter stehen unter Druck. Wallet-Hersteller müssen jetzt transparent klären, ob ihre Apps selbst betroffen sind, ob nur Nutzer durch Drittkomponenten gefährdet waren oder ob sie IOCs mit Partnern teilen. Je schneller solche Informationen veröffentlicht werden, desto eher lassen sich Infektionen erkennen und betroffene Nutzer gezielt warnen. Fehlende Klarheit erhöht dagegen die Gefahr, dass kompromittierte Installationen über Tage oder Wochen unentdeckt bleiben.

Die aktuelle Lage erinnert daran, dass Krypto-Sicherheit nicht nur aus Hardware-Wallets und starken Passwörtern besteht. Die eigentliche Schwachstelle sitzt oft in der Lieferkette, im Betriebssystem oder im Backup-Verhalten. Wer Seeds auf dem Smartphone oder in der Cloud ablegt, macht aus einer einmaligen Notfallkopie einen dauerhaften Angriffspunkt.

Sofortmassnahmen: Was Nutzer jetzt tun sollten

Die wichtigsten Schritte lassen sich priorisieren. Zuerst sollten alle relevanten Apps und das Betriebssystem aktualisiert werden. Bei Apple gehört dazu auch das Einspielen des aktuellen iOS-Updates, sobald es verfügbar ist. Apple schliesst regelmässig Schwachstellen in WebKit, Speicherverwaltung und Systemkomponenten; in Verbindung mit Krypto-Apps kann das entscheidend sein. Wer ein älteres iPhone nutzt, sollte prüfen, ob die installierte iOS-Version noch Sicherheitsupdates erhält. Zusätzlich lohnt sich ein Blick in die Patch-Hinweise von Apple, um zu sehen, welche Fehler konkret geschlossen wurden.

• Wallet-Apps nur aus offiziellen Quellen aktualisieren
• iPhone auf die neueste verfügbare iOS-Version bringen
• Seed-Phrasen nicht mehr digital speichern oder fotografieren
• Private Keys und Wallet-Backups auf verdächtigen Geräten als unsicher behandeln
• Wenn eine Seed-Phrase exponiert war: Wallet auf eine neue Seed umziehen
• Token- und dApp-Berechtigungen prüfen und unnötige Freigaben widerrufen
• Transaktionen auf unbekannte Zieladressen und Restbestände kontrollieren

Wer vermutet, dass ein Gerät betroffen war, sollte die betroffenen Wallets nicht einfach weiterverwenden. Der saubere Weg ist ein Umzug auf eine neu erzeugte Seed-Phrase, idealerweise auf einem frischen, aktualisierten Gerät oder auf einer Hardware-Wallet. Alte Seed-Phrasen gelten danach als kompromittiert, sobald auch nur die Möglichkeit besteht, dass sie von Spyware gelesen wurden. Das gilt selbst dann, wenn bislang keine unautorisierten Transaktionen sichtbar sind.

Zusätzlich sinnvoll ist eine Prüfung der bestehenden Token-Approvals. Viele Angriffe auf Wallet-Nutzer zielen nicht nur auf den Seed, sondern auch auf Rechte, die einmalig an Smart Contracts vergeben wurden. Ein Angriff kann also auch dann noch Schaden anrichten, wenn der eigentliche Wallet-Zugriff nicht vollständig übernommen wurde. Wer aktiv mit DeFi, NFTs oder Cross-Chain-Tools arbeitet, sollte Freigaben regelmässig minimieren.

Für Unternehmen und Entwickler gilt: Abhängigkeiten auditieren, Lockfiles prüfen, nur verifizierte Paketquellen zulassen und Build-Pipelines auf unerwartete Netzwerkzugriffe kontrollieren. Bei Verdacht auf eine Kompromittierung sind System-Logs, Installationshistorien, neue Paketversionen und Abweichungen in Hashes die ersten Ansatzpunkte. Sicherheitsforscher sollten zusätzlich IOCs mit Malware-Sandboxen, Endpoint-Telemetrie und Paket-Repositories abgleichen.

Apple Update, Patches und technische Hinweise für Forscher

Im Apple-Umfeld ist der wichtigste Punkt derzeit das rasche Einspielen der aktuellen Sicherheitsupdates. Wer ein iPhone verwendet, sollte die Update-Hinweise unter iOS- und iPadOS-Patch-Notes prüfen und nur Versionen einsetzen, die bekannte Schwachstellen geschlossen haben. In der Praxis sind das meist die neuesten verfügbaren Releases innerhalb der unterstützten Geräteserie. Gerade bei Krypto-Nutzung zählt jede geschlossene Lücke, weil Angriffe oft aus mehreren kleineren Schwachstellen zusammengesetzt werden.

Für die technische Analyse sind Indikatoren für eine Infektion besonders wertvoll. Dazu gehören auffällige Paketnamen, geänderte Composer- oder Packagist-Abhängigkeiten, ungewöhnliche Netzwerkziele, neue Prozesse mit Zugriff auf Wallet-Pfade und Dateien sowie Abweichungen im Speicher- und Screenshot-Verhalten. Auch verdächtige Dateioperationen in Verzeichnissen, die mit Browsern, Krypto-Apps oder iOS-Backups zusammenhängen, können ein frühes Signal sein.

Praktische IOCs und Prüfpunkte

Prüfpunkt	Worauf achten
Paketquellen	Ungewohnte oder kürzlich aktualisierte Packagist-Abhängigkeiten
Dateizugriffe	Lesen sensibler Wallet-, Backup- oder Konfigurationsdateien
Netzwerk	Unbekannte Exfiltrationsziele oder wiederholte POST-Anfragen
Systemverhalten	Bildschirmaufnahmen, Eingabemuster, unerklärliche Hintergrundaktivität
iPhone-Umfeld	Unerwartete App-Berechtigungen, Profile oder verdächtige Speicherorte

Offizielle Stellungnahmen der betroffenen Anbieter und belastbare IOCs aus Security-Teams sind entscheidend, um Reichweite und Struktur der Kampagne sauber einzugrenzen. Solange diese Informationen noch nachgereicht werden, bleibt das Bild dynamisch. Wer Wallets verwaltet, sollte deshalb Updates und Advisorys der Anbieter im Blick behalten und bei neuen Erkenntnissen umgehend reagieren.

Fazit: Jetzt handeln, bevor aus einem Verdacht ein Wallet-Verlust wird

Die aktuelle Spyware-Kampagne zeigt, wie verwundbar Krypto-Nutzer durch manipulierte Lieferketten und kompromittierte Abhängigkeiten sind. Besonders heikel ist der Mix aus Packagist-Malware, Datenexfiltration und gezieltem Zugriff auf Seed-Phrasen, private Keys und iPhone-Daten. Wer eine der betroffenen Wallets nutzt, sollte Updates sofort einspielen, sensible Daten auf kompromittierten Geräten nicht mehr vertrauen und im Zweifel auf eine neue Seed-Phrase umziehen. Für viele Nutzer ist das der Unterschied zwischen einem technischen Vorfall und einem vollständigen Verlust der Kontrolle über ihre Assets. Je schneller Update, Prüfung und Umzug erfolgen, desto kleiner bleibt das Risiko.