Fälschungs-Wallet-Apps sind keine neue Bedrohung, aber Operation ASTERIX zeigt, wie viel präziser diese Machenschaften geworden sind. Rapid7 deckte eine Kampagne auf, die auf rund 885.000 Telefonnummern, Tools zur Validierung von Krypto-Konten, Phishing-E-Mails, Vishing-Anrufen und gefälschten Trezor-, Ledger- und Exodus-Apps aufgebaut war, die laut dem ursprünglichen Bericht dazu dienten, Wiederherstellungsphrasen abzugreifen.
Das auffälligste Detail ist nicht das Volumen der Telefonnummern. Es ist die Validierungsschicht. In einem deutschen Datensatz identifizierten Netzbetreiber 43.066 CryptoCom-Konten aus 316.002 Telefonnummern. Das ist eine Trefferquote, hoch genug, um die Infrastruktur zu rechtfertigen. Nachdem bestätigt worden war, welche Nummern mit Exchange-Konten verknüpft waren, ergänzte die Gruppe diese Zielpersonen mit persönlichen Daten und machte Unterstützungs-Impersonationsanrufe deutlich schwerer zu erkennen. Eine öffentliche Liste mit Telefonnummern ist eine lästige Angelegenheit; eine Liste, die mit Exchange-Kontodaten abgeglichen wurde, ist ein operatives Asset.
KI-Tools haben den Produktionszyklus verkürzt
Rapid7 fand Hinweise darauf, dass die Betreiber GitHub Copilot und Claude Code in mehreren Phasen der Kampagne einsetzten. Diese Tools wurden verwendet, um Ziel- oder Zielfachdaten zu verarbeiten, bösartige Software zu entwickeln und zu debuggen sowie eine Phishing-Infrastruktur aufzubauen. Das ist relevant, weil es den Abstand zwischen der Identifizierung von Zielen und einer aktiven Fake-Wallet-App oder einem Phone-Scam verkürzt. Aufgaben, die früher einen eigenen Entwickler erforderten, können heute von kleineren Teams mit KI-Programmierassistenten erledigt werden.
Die breitere Übernahme von KI in der Branche ist nicht auf feindliche Akteure beschränkt. Ranglisten der Top-10-Blockchains nach Entwickleraktivität diese Woche verfolgen Codebeiträge über große Ketten hinweg, und diese Workflows enthalten zunehmend auch KI-gestützte Entwicklung. Die gleichen Produktivitätsgewinne, die legitimen Teams helfen, schneller zu liefern, machen es auch einfacher, bösartige Wallet-Apps zu erstellen – genau das Dual-Use-Problem, das Operation ASTERIX offenlegt. KI-Tools laufen mittlerweile auch über legitime Web3-Infrastruktur, einschließlich skalierbarer KI-gestützter Web3-Anwendungen.
Die Jailbreak-Frage bleibt offen
Eine Interaktion sticht besonders hervor. Als Claude Anfragen im Zusammenhang mit Code-Obfuskation ablehnte, wechselte der Betreiber zu Kimi und versuchte, seine Sicherheitsvorkehrungen mit einem benutzerdefinierten Jailbreak-Prompt zu umgehen. Rapid7 konnte nicht bestätigen, ob der Versuch erfolgreich war. Diese Unsicherheit ist relevant, weil sie die einfache missbräuchliche Verwendung allgemeiner Tools von einem gezielteren Versuch trennt, Modellbeschränkungen zu überwinden. Erstere ist eine Moderationslücke; Letzteres ist eine Red-Team-Übung, die von Kriminellen durchgeführt wird.
Ohne Bestätigung vermeidet der Bericht, das Ergebnis des Jailbreaks zu übertreiben. Er bestätigt jedoch, dass die Kampagne die Ablehnungen des KI-Modells als Hindernis betrachtete, um daran vorbeizukommen, und nicht als Grund, das Vorhaben zu stoppen. Sicherheitsforscher und Plattformanbieter werden dieses Verhalten voraussichtlich genauer prüfen, wenn sie entscheiden, wie stark sie die Unterstützung beim Programmieren im Zusammenhang mit Wallet-Software einschränken.
Worauf Nutzer und Plattformen achten sollten
Die im Bericht genannten Fake-Apps zielen auf dieselbe Wiederherstellungsphrase ab, die Nutzer niemals irgendwo eingeben sollen. Falsche Trezor-, Ledger- und Exodus-Apps schaffen einen direkten Weg von einer überzeugenden Oberfläche zu einem geleerten Wallet. Deshalb ist die Download-Quelle wichtiger als das Erscheinungsbild der App. Offizielle Anbieter von Hardware-Wallets fordern Nutzer nicht dazu auf, Wiederherstellungsphrasen in Software einzugeben, und die Support-Hotlines des Austauschs rufen Kunden nicht mit einem bereits vollständig geladenen persönlichen Profil an.
Die Operation schärft außerdem eine harte Wahrheit für Exchanges. Wenn die Kontovalidierung schnell genug ist, um sie gegen Hunderttausende von Nummern laufen zu lassen, dann werden Leaks von Nutzerdaten und öffentliche Datenbestände zu Sicherheitsverletzungen zu einem höherwertigen Input für Vishing-Kampagnen. Der Bericht erhebt nicht den Vorwurf, dass eine Börse selbst kompromittiert wurde; er zeigt, wie scheinbar dünne Daten in verwertbare Informationen für gezielte Ansprache angereichert werden können.
Gesetzgeber, die Regeln zur Struktur des Krypto-Markts abwägen, könnten diese Art von Offenlegung nur schwer ignorieren. Bankenverbände drängen bereits gegen das größte Krypto-Gesetz der US-Geschichte, und Cybercrime-Vorfälle im Zusammenhang mit Retail-Wallets könnten die Debatte über Haftung, Verbraucherschutz und Plattformverantwortung zuspitzen. Ob Operation ASTERIX zu einem regulatorischen Datenpunkt wird, hängt davon ab, wie schnell ähnliche Kampagnen anderswo erkannt werden.