MetaMask-Angriffskampagne richtet sich gegen Krypto-Fachleute

Angreifer verlassen sich nicht mehr nur auf gefälschte Krypto-Webseiten. Eine neue MetaMask-Angriffskampagne zeigt, wie Bedrohungsakteure nun Recruiting-Betrug mit Malware kombinieren, um Wallets direkt zu stehlen. Die Operation richtet sich gegen Personen aus den Bereichen Blockchain, KI und Softwareentwicklung, bei denen die Wahrscheinlichkeit wertvoller Vermögenswerte höher ist.

Anstatt Phishing-Links zu versenden, bauen die Angreifer zunächst Vertrauen auf und kompromittieren die Systeme erst später.

Gefälschte Bewerbungsgespräche als Angriffsweg

Sicherheitsforscher entdeckten eine Kampagne, in der Kriminelle sich als Recruiter ausgeben und Fachkräfte über berufliche Netzwerke kontaktieren. Die Kommunikation wirkt legitim und kann Tage oder sogar Wochen dauern, um Glaubwürdigkeit aufzubauen.

Die Opfer sollen im Rahmen des Bewerbungsprozesses eine technische Aufgabe durchführen. Dafür müssen sie ein Projekt herunterladen und lokal ausführen. Genau hier beginnt die Kompromittierung. Die Dateien enthalten versteckten Schadcode, der Malware installiert, obwohl sie wie normales Entwicklungsmaterial aussehen.

Da das Ziel während eines Interviews das Ausführen von Code erwartet, wirkt die Aktivität nicht verdächtig.

Malware greift die Wallet an

Nach dem Start installiert sich spezialisierte Malware unauffällig und konzentriert sich auf im Browser gespeicherte Kryptowährungsdaten. Die eingesetzten Werkzeuge zielen gezielt auf die MetaMask-Erweiterung statt auf das gesamte Betriebssystem.

Der Schadcode verändert Erweiterungsdateien und überwacht die Aktivität, bis die Wallet entsperrt wird. Gibt der Nutzer seine Zugangsdaten ein, extrahiert die Malware sensible Informationen, darunter:

• Wallet-Passwörter
• Private Schlüssel
• Seed-Phrases

Sobald Angreifer die Wiederherstellungsphrase besitzen, erhalten sie vollständige Kontrolle über die Gelder und können diese sofort übertragen.

Warum die Erkennung schwierig ist

Der Angriff vermeidet typische Warnzeichen. Es wird keine Sicherheitslücke ausgenutzt, kein Brute-Force-Versuch durchgeführt und kein ungewöhnlicher Login-Ort verwendet. Das Opfer installiert das Programm freiwillig, weshalb Sicherheitssoftware das Verhalten häufig als normal einstuft.

Auch die Codeänderung fällt minimal aus und lässt sich in einer großen Browser-Erweiterung schwer erkennen. Die Malware bleibt inaktiv, bis tatsächlich Wallet-Daten erscheinen.

Dieser geduldige Ansatz erhöht die Erfolgsquote im Vergleich zu klassischem Phishing deutlich.

Größere Folgen für Krypto-Nutzer

Die MetaMask-Angriffskampagne zeigt einen Wandel hin zu menschenzentrierten Angriffen. Kriminelle umgehen Verschlüsselung, indem sie Arbeitsabläufe ausnutzen statt technische Schwachstellen.

Fachkräfte in der Kryptobranche werden besonders häufig Ziel, da sie regelmäßig fremden Code im Rahmen von Kooperationen oder Interviews ausführen. Eine einzige Ausführung kann langfristigen Zugriff auf Finanzdaten ermöglichen, der nach einem Diebstahl nicht rückgängig zu machen ist.

Selbst erfahrene Nutzer können darauf hereinfallen, weil die Interaktion von Anfang bis Ende authentisch wirkt.

Fazit

Die MetaMask-Angriffskampagne verdeutlicht, dass moderne Bedrohungen auf Vertrauen statt auf Systemfehler abzielen. Durch gefälschte Recruiter und manipulierte Aufgaben bringen Angreifer ihre Opfer dazu, sich selbst zu kompromittieren.

Sobald die Malware installiert ist, wartet sie auf Wallet-Aktivität und stiehlt die Wiederherstellungsphrase. Der Verlust ist dann endgültig. Der sicherste Schutz ist einfach: Niemals unbekannte Projektdateien während eines Bewerbungsprozesses ausführen, besonders wenn sich Krypto-Wallets auf demselben Gerät befinden.