Microsoft hat eine Malware-Kampagne entdeckt, die Krypto stiehlt und die Blockchain völlig umgeht, indem sie direkt das Gerät des Nutzers angreift, Seed-Phrasen, private Schlüssel aufnimmt und heimlich Wallet-Adressen tauscht.
Wichtige Erkenntnisse
Microsoft hat eine Windows Crypto Clipper Malware markiert, die seit Februar 2026 aktiv ist.
Sie verbreitet sich über bösartige Verknüpfungsdateien auf USB-Laufwerken.
Die Malware stiehlt Seed-Phrasen und tauscht kopierte Wallet-Adressen aus. Sie versteckt ihren Command-Server im Tor-Netzwerk.
Microsoft Defender erkennt sie als Trojan:Win32/CryptoBandits.A. Sie greift das Gerät an, nicht die Blockchain oder die Börse.
Angriffe auf einzelne Wallets machen einen schnell wachsenden Anteil am Krypto-Diebstahl aus.
Microsoft hat eine Kampagne mit Crypto-Diebstahl-Malware entdeckt, die die Blockchain komplett überspringt und direkt das Gerät des Nutzers ins Visier nimmt: Seed-Phrasen, private Schlüssel werden ausgelesen und die Wallet-Adressen, die Menschen kopieren und einfügen, werden stillschweigend ausgetauscht.
Was Microsoft gefunden hat
Microsoft Threat Intelligence hat eine Windows-basierte Kryptowährungs-Clipper-Kampagne offengelegt, die seit Februar 2026 läuft. Die Malware verbreitet sich über bösartige Verknüpfungen, also .lnk-Dateien, die auf USB-Speichergeräten platziert werden. Wenn ein Opfer eine Datei öffnet, die wie eine gewöhnliche Dateiverknüpfung aussieht, installiert die Payload stillschweigend zwei Komponenten: einen Wurm, der sich auf andere Wechseldatenträger kopiert, und ein Clipper-Modul, das dazu gebaut ist, Krypto-Anmeldeinformationen auszuspähen.
Sobald sie aktiv ist, führt sie mehrere hochwertige Operationen gleichzeitig aus. Sie sucht nach Seed-Phrasen und privaten Schlüsseln, erfasst Screenshots, überwacht die Zwischenablage, ersetzt kopierte Wallet-Adressen durch vom Angreifer gesteuerte, und hält außerdem eine Remote-Verbindung offen – über Tor. Microsoft Defender erkennt sie als Trojan:Win32/CryptoBandits.A.
Warum es das Gerät und nicht die Kette angreift
Der besorgniserregendste Teil ist das Ziel. Anstatt einen Austausch zu kompromittieren oder einen Smart Contract auszunutzen, überarbeitet diese Malware den gesamten Eigentumsprozess an seinem schwächsten Glied: dem Computer selbst. Die meisten Nutzer konzentrieren ihr Sicherheitsdenken auf Exchange-Konten, Hardware-Wallets und das Vertragsrisiko. Diese Kampagne umgeht all das.
Die Logik ist einfach – und ohne Gnade. Wenn ein Angreifer an eine Seed-Phrase mit 12 oder 24 Wörtern, einen privaten Schlüssel gelangt oder die Adresse austauscht, an die ein Nutzer gerade senden will, wird die Sicherheit der Blockchain irrelevant, weil die Kompromittierung passiert ist, bevor die Transaktion überhaupt signiert wurde. Keine Menge an On-Chain-Sicherheit hilft, wenn der Diebstahl auf dem Gerät geschieht.
So funktioniert der Clipboard-Angriff
Die Malware scannt kontinuierlich die Inhalte der Zwischenablage in etwa alle 500 Millisekunden und sucht nach Seed-Phrasen, privaten Schlüsseln und Wallet-Adressen über mehrere Ketten hinweg – mit Unterstützung für Bitcoin (einschließlich Legacy, P2SH, Taproot und Bech32-Formate), Tron und Monero-Adressen. Wenn sie eine kopierte Adresse erkennt, kann sie diese stillschweigend durch die Adresse des Angreifers ersetzen, bevor der Nutzer sie in eine Wallet- oder Auszahlungsmaske einfügt. Um keinen Verdacht zu erregen, werden Ersatzadressen so ausgewählt, dass sie Teile der ursprünglichen Adresse nachahmen – dadurch ist eine schnelle Sichtprüfung unzuverlässig. Die erfassten Daten werden anschließend über Tor versendet, wo es deutlich schwieriger ist, sie nachzuverfolgen.
Die Tor-Komponente, die es schwer macht, aufzuhalten
Anstatt sich auf herkömmliche Command-and-Control-Server zu verlassen, bündelt die Kampagne ihren eigenen Tor-Client, leitet den Datenverkehr über einen lokalen SOCKS5-Proxy auf localhost:9050 weiter und kommuniziert mit versteckten .onion-Services. Außerdem unterstützt sie Remote Code Execution und führt auf Befehl vom Angreifer bereitgestellten Code aus. Da sie auf integrierte Windows-Skripting-Tools setzt statt auf einen großen, erkennbaren Installer, rutscht sie an einfachem Scannen von Dateien und herkömmlicher Netzüberwachung vorbei.
Anzeichen, dass Ihr Gerät möglicherweise kompromittiert ist
Weil diese Malware einen sperrigen Installer vermeidet und stattdessen über legitime Windows-Tools läuft, hinterlässt sie eher subtile Spuren statt offensichtlicher. Hier sind einige Verhaltensweisen, auf die man achten sollte:
Dateien auf einem USB-Laufwerk werden zu Verknüpfungen. Der Wurm versteckt Ihre echten Dateien und ersetzt sie durch täuschend ähnliche .lnk-Verknüpfungen mit denselben Namen – ein typisches Merkmal der Infektion.
Unerwartete Skript-Aktivität. Weitere Warnsignale sind wscript.exe oder cscript.exe, die aus Benutzerordnern oder von Wechseldatenträgern laufen, sowie PowerShell, das Bildschirmaufnahmen startet.
Ein unbekannter Prozess oder Proxy. Die Malware führt einen mitgelieferten Tor-Client aus (beobachtet als umbenannte Binärdatei) und öffnet einen lokalen Proxy auf Port 9050 – eine Aktivität, die auf den meisten privaten Rechnern nicht dazugehört.
Eine eingefügte Adresse, die nicht übereinstimmt. Wenn die Wallet-Adresse, die Sie einfügen, von der abweicht, die Sie kopiert haben – auch nur leicht – behandeln Sie das als ernstes Warnsignal und brechen Sie ab.
Microsoft empfiehlt, priorisiert auf verhaltensbasierte Erkennung statt auf einfaches Scannen von Dateien zu setzen, da die Kampagne speziell darauf aufgebaut ist, Letzteres zu umgehen.
So schützen Sie Ihr Krypto vor dieser Art von Malware
Die ermutigende Nachricht ist, dass die Abwehrmaßnahmen praktikabel sind und die meisten direkt auf die eigenen Empfehlungen von Microsoft zurückgehen. Da der Angriff am Gerät beginnt, muss dort der Schutz einsetzen.
Behandeln Sie USB-Laufwerke als nicht vertrauenswürdig. Die Kampagne verbreitet sich über austauschbare Medien – daher rät Microsoft, Autostart und Autoplay zu deaktivieren und das Ausführen von .lnk-Verknüpfungsdateien von USB-Laufwerken zu blockieren. Vermeiden Sie es vollständig, unbekannte Laufwerke einzustecken.
Überprüfen Sie die vollständige Adresse. Da der Clipper kopierte Adressen austauscht, vergleichen Sie jedes Zeichen einer eingefügten Adresse mit der beabsichtigten – nicht nur die ersten und letzten ein paar. Senden Sie zuerst eine kleine Testtransaktion – das ist eine sinnvolle Gewohnheit für große Überweisungen.
Verwenden Sie eine Hardware-Wallet und bestätigen Sie direkt auf dem Gerät. Eine Hardware-Wallet hält private Schlüssel offline und ermöglicht es Ihnen, die Zieladresse auf dem eigenen Bildschirm des Geräts zu verifizieren – damit wird ein Clipboard-Austausch vereitelt, weil Sie die echte Adresse unabhängig von dem infizierten Computer bestätigen.
Speichern Sie Ihre Seed-Phrase niemals digital. Die Malware sucht gezielt nach Seed-Phrasen in der Zwischenablage und in Dateien. Halten Sie Wiederherstellungsphrasen offline und physisch – niemals tippen, kopieren oder auf einem verbundenen Gerät speichern.
Halten Sie den Endpunktschutz aktuell. Microsoft Defender erkennt diese Familie bereits. Wenn Sie Windows und das Antivirenprogramm aktuell halten und den Echtzeitschutz aktivieren, wird der Zugang für bekannte Varianten geschlossen.
Eine harte Wahrheit untermauert all das: Blockchain-Transaktionen sind nicht rückgängig zu machen. Wenn Gelder an eine vom Angreifer ersetzte Adresse gesendet und on-chain bestätigt werden, gibt es in der Regel keine Möglichkeit, sie zurückzuholen – keine Bank, die man anrufen kann, und keine Transaktion, die man rückgängig machen könnte. Genau diese Dauerhaftigkeit ist der Grund, warum Prävention und nicht Wiederherstellung der Bereich ist, in den die Anstrengung gehen muss.
Das größere Bild für die Krypto-Sicherheit
Diese Kampagne verstärkt eine Erkenntnis, die immer schärfer wird: Der schwächste Punkt in der Krypto-Sicherheit ist oft nicht mehr die Blockchain, die Börse oder der Wallet-Anbieter, sondern das Endgeräts, das man verwendet, um darauf zuzugreifen. Die Daten stützen diesen Wandel. Die Blockchain-Analysefirma Chainalysis berichtete, dass in der ersten Hälfte von 2025 mehr als 2,17 Milliarden US-Dollar von Krypto-Diensten gestohlen wurden – bereits mehr als alles aus 2024, und die Verluste liegen auf Kurs, bis zum Jahresende 4 Milliarden US-Dollar zu übertreffen. Im selben Bericht wurde festgestellt, dass Angriffe auf Einzelpersonen auf etwa 23% aller gestohlenen-Gelder-Aktivitäten angewachsen sind – ein Anteil, der unter anderem durch ausgefeiltere Techniken zur direkten Ausrichtung auf Einzelpersonen getrieben wird.
Das ist der Trend, in den CryptoBandits passt. Wenn Angreifer stärker auf Clipboard-Diebstahl, das Auslesen von Seed-Phrasen und die Kompromittierung von Geräten setzen, sprechen die wirtschaftlichen Rahmenbedingungen dafür, direkt Einzelpersonen anzugreifen statt gehärtete Exchange-Infrastruktur zu brechen. Den Computer selbst zu schützen wird genauso wichtig wie die Assets zu schützen, die auf ihm verwahrt werden.