Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die du kennen solltest.
Der Juli 2025 war ein Monat voller Identitätsfälschungen – von Wallets, eingestellten Projekten und Browser-Erweiterungen. Über 40 betrügerische Erweiterungen, die sich als Krypto-Wallets ausgaben, wurden auf Firefox veröffentlicht. Angreifer reaktivierten die abgelaufenen Domains eingestellter Krypto-Projekte, um alle zu bestehlen, die versehentlich dorthin zurückfanden. Und zwei Zeilen Schadcode schlichen sich über einen manipulierten Pull Request in eine Open-Source-Ethereum-Erweiterung ein. Der Monat brachte aber auch einige erfreuliche Erfolge für die Guten. GMX holte den Großteil eines 42-Millionen-Dollar-Hacks durch ein White-Hat-Bounty zurück. US-Behörden zerschlugen eine weitreichende nordkoreanische Identitätsdiebstahl-Operation. Und Griechenland führte seine erste Krypto-Beschlagnahme durch. Die vollständige Übersicht findest du unten – aber zuerst...
MINT-Pionierin im Fokus: Chien-Shiung Wu, die Königin der Kernforschung
Die Physikerin Chien-Shiung Wu, die „Königin der Kernforschung", arbeitete am Manhattan-Projekt und entwarf später das Experiment, das das Paritätserhaltungsgesetz widerlegte – ein Prinzip, das Physiker schlicht als wahr vorausgesetzt hatten. Die Weigerung, eine „bekannte" Annahme blind zu akzeptieren, und der Aufbau eines präzisen Tests, der sie beweist oder widerlegt, ist genau die Denkweise, auf der auch solide Sicherheitsarbeit beruht.
Wise Signer Snap nutzt KI zur Erkennung verdächtiger Wallet-Transaktionen
Schau dir Patrick Collins' beeindruckende Demo an, wie sein MetaMask Snap namens Wise Signer KI einsetzt, um das Web zu durchsuchen und festzustellen, ob eine Transaktion aufgrund verdächtiger Adressen, Call-Daten und Netzwerke anfällig sein könnte. Dieses Snap befindet sich derzeit in der Beta-Phase, du kannst aber schon jetzt den Code einsehen und auf unserer Support-Seite mehr über MetaMask Security Snaps erfahren. Danke, Patrick, für deinen Einsatz im Kampf für mehr Sicherheit.
MetaMask behält Coinspects Spitzenplatz als sicherste Web3-Wallet
MetaMask hält weiterhin Coinspects #1-Platz als sicherste Web3-Wallet auf Mobilgeräten (iOS und Android) und Chrome. Die Sicherheit unserer Browser-Erweiterung erhielt zudem eine 100%ige Bewertung bei der Bedrohungsabwehr.
Zombie-Dapp-Betrug auf dem Vormarsch – über 100 Vorfälle gemeldet
Apropos Coinspect: Sie haben kürzlich einen beunruhigenden Trend aufgezeigt, bei dem Bedrohungsakteure Domains eingestellter Krypto-Projekte neu registrieren, deren etablierten Ruf nutzen, um Sicherheitsprüfungen zu umgehen, und dann Nutzer bestehlen. Coinspect arbeitet mit DeFi-Plattformen und Sicherheitsgruppen zusammen, um über 100 dieser sogenannten Zombie-Dapps zu identifizieren und zu melden.
GMX verliert 42 Millionen Dollar durch Re-Entrancy-Angriff, erhält Gelder nach White-Hat-Bounty-Angebot zurück
Am 9. Juli verlor GMXs Arbitrum-basierter V1-GLP-Liquiditätspool 42 Millionen Dollar, als ein Hacker einen Re-Entrancy-Angriff nutzte, um überschüssige GLP-Token zu prägen – so das Postmortem des Unternehmens. GMX stoppte den Handel sofort, nachdem Hexegate auf den Exploit aufmerksam gemacht hatte, und konnte Onchain-Aktivitäten nachverfolgen, die zeigten, dass der Großteil der gestohlenen Gelder in andere digitale Assets getauscht worden war. GMX bot ein 10%iges White-Hat-Bounty an und versprach, auf rechtliche Schritte zu verzichten, wenn die Gelder innerhalb von 48 Stunden zurückgegeben würden. Nach der lässigen Antwort: „Ok, funds will be returned later" behielt der Angreifer rund 4,5 Millionen Dollar und gab den Rest an GMX zurück.
US Secret Service stellt in 10 Jahren Krypto im Wert von 400 Millionen Dollar sicher
Das Global Investigative Operations Center (GIOC) des Secret Service ist auf die Verfolgung digitaler Finanzkriminalität spezialisiert und verwahrt den Großteil der sichergestellten Krypto-Assets in einer der weltweit größten Cold Wallets. GIOC-Ermittler nutzen typischerweise Open-Source-Tools, Blockchain-Analysen und Domain-Registrierungsinformationen bei ihren Untersuchungen. Der Secret Service hat zudem Strafverfolgungsbehörden und Staatsanwälte in 60 weiteren Ländern geschult.
Socket startet Pilotprogramm zum Schutz von Chrome-Erweiterungen vor Supply-Chain-Angriffen
Um sich gegen Supply-Chain-Angriffe durch Malware und riskante Berechtigungen in Chrome-Erweiterungen zu schützen, lädt Socket Entwickler ein, ihre neue Produktlinie zu testen, die Echtzeit-Scanning und -Analyse einsetzt. Das Tool wurde so konzipiert, dass es ressourcenschonend und datenschutzfreundlich ist, und zeigt auch Risikometriken für Paketverzeichnisse wie NPM, PyPI, Go und Maven an. Risikosignale umfassen verschleierte oder Install-Skripte, hohe Entropie oder verdächtige Zeichenketten, Typosquatting-Namen und riskante APIs. Es ist geplant, die Abdeckung künftig über Chrome hinaus auszuweiten.
Schadcode über manipulierten Pull Request in Open-Source-Erweiterung forETHCode eingeschleust
Sicherheitsforscher von ReversingLabs entdeckten zwei Zeilen Schadcode, die in einen PR für das Open-Source-Toolkit forETHCode eingeschleust worden waren. Obwohl Belege zeigen, dass dieser spezifische Code (noch) nicht zum Stehlen von Token oder Daten genutzt wurde, wird davon ausgegangen, dass die Absicht darin bestand, „auf der Maschine des Opfers gespeicherte Krypto-Assets zu stehlen" oder „die von Nutzern der Erweiterung entwickelten Ethereum-Contracts zu kompromittieren".
Die Nachricht verstärkte die Bedenken hinsichtlich des Trends bösartiger und kompromittierter Erweiterungen sowie Supply-Chain-Angriffe.
US-Behörden verhaften DVRK-Operatoren, die in 16 Bundesstaaten und 100 Unternehmen Identitätsdiebstahl betrieben
Ende Juni gab das Justizministerium bekannt, es habe eine koordinierte Aktion geleitet, die zu mehreren Verhaftungen, Anklagen und der Beschlagnahme von über 200 Laptops, 29 Finanzkonten und 21 betrügerischen Websites geführt habe. Das DOJ stellte nordkoreanisch unterstützte böswillige Aktivitäten in 16 Bundesstaaten fest, darunter Identitätsdiebstahl und das Eindringen in über 100 amerikanische Unternehmen, einschließlich Krypto-Firmen.
Eine Woche später wurde berichtet, dass das Office of Foreign Assets Control (OFAC) des Finanzministeriums zwei Personen sanktioniert hat, die mit dem Diebstahl und Verkauf solcher Informationen für Beschäftigungsbetrug in Verbindung gebracht werden. Die durch diese Machenschaften erzielten Einnahmen sollen bekanntermaßen das ballistische Raketenprogramm der DVRK finanzieren.
2-Millionen-Pfund-Investitionsbetrug in Großbritannien endet mit kombinierter 12-jähriger Haftstrafe
Raymondip Bedi und Patrick Mavanga wurden angeklagt und zu einer kombinierten Haftstrafe von 12 Jahren verurteilt, weil sie zwischen 2017 und 2019 mindestens 65 Personen betrügerische Krypto-Beratungsdienstleistungen verkauft hatten. Wie Crypto Times berichtete: „Beide Männer bekannten sich zu mehreren Anklagepunkten schuldig, darunter Betrug, Verstöße gegen Vorschriften und Geldwäsche. Darüber hinaus wurde Mavanga wegen Beweismittelfälschung und dem Besitz gefälschter Ausweisdokumente angeklagt." Die von der britischen Financial Conduct Authority geführte Strafverfolgung ist Teil eines umfassenderen Bemühens der Behörde, Krypto-Kriminalität zu bekämpfen, und die FCA versucht, die Gelder zurückzufordern.
Griechenland führt dank Unterstützung von Chainalysis erstmals Krypto-Asset-Beschlagnahme durch
Griechenlands Hellenic Anti-Money Laundering Authority (HAMLA) hat ihre erste Beschlagnahme von Krypto-Geldern durchgeführt. In Zusammenarbeit mit Chainalysis und Performance Technologies verfolgte und fror HAMLA einen Teil der gestohlenen Assets aus Bybits 1,5-Milliarden-Dollar-Exchange-Hack ein. Diese weltweite Rückgewinnungsaktion wurde durch „die Kombination modernster Blockchain-Analysetools mit fachkundiger Schulung und internationaler Zusammenarbeit zur Bekämpfung globaler Krypto-Kriminalität" ermöglicht. Falls du es verpasst hast: Bybit erlitt Anfang dieses Jahres Verluste von 1,5 Milliarden Dollar durch einen Hack, der angeblich von Nordkoreas Lazarus Group durchgeführt wurde.
Über 40 bösartige Firefox-Erweiterungen entdeckt, die Krypto-Wallets imitieren
Was passiert ist
Yuval Ronen von Koi Security teilte die Entdeckung von über 40 bösartigen Firefox-Erweiterungen, die einer einzigen Kampagne zugeordnet werden und Krypto-Wallets imitieren, darunter MetaMask. Die Bedrohung, die im April 2025 begann, ist noch aktiv und wird genutzt, um Zugangsdaten von „gezielten Websites zu extrahieren und an einen vom Angreifer kontrollierten Remote-Server zu exfiltrieren" sowie externe IP-Adressen zu übermitteln. Diese gefälschten Erweiterungen wirken legitim und nutzen unaufrichtige positive Bewertungen, um Nutzer zu täuschen. Die Beweise deuten auf einen russischsprachigen Täter hin.
Wie Nutzer sich schützen können
Zusammen mit seinem Bericht teilte Ronen auch seine Empfehlungen für mehr Sicherheit:
Installiere Erweiterungen nur von verifizierten Herausgebern und sei auch bei hoch bewerteten Einträgen vorsichtig.
Behandle Browser-Erweiterungen wie vollwertige Software-Assets: Sie müssen geprüft, überwacht und richtlinienkonform verwaltet werden.
Verwende eine Erweiterungs-Allowlist und beschränke die Installation auf vorab genehmigte, validierte Erweiterungen.
Implementiere kontinuierliches Monitoring, nicht nur einmaliges Scannen. Erweiterungen können sich automatisch aktualisieren und ihr Verhalten nach der Installation still und heimlich ändern.
Social Engineering zielt über gefälschte Krypto-Casino-Seiten auf Glücksspieler und Gamer ab
Was passiert ist
Social Media bleibt ein Nährboden für Social Engineering, das auf den Diebstahl von Krypto abzielt. Krebs on Security berichtete, wie seriös wirkende „Scambling"-Seiten Nutzer mit Anzeigen anlocken, die kostenlose Credits und gefälschte Empfehlungen von Prominenten wie Mr. Beast versprechen. Nutzer müssen dann Konten erstellen, um ihre „Credits" zu beanspruchen, und können anschließend mit aufwendig gestalteten Spielen interagieren und Wetten platzieren. Diese Scambling-Machenschaften weisen jedoch die typischen Merkmale klassischer Pig-Butchering-Betrugsmaschen auf. Der Nutzer kann nie auszahlen und wird stattdessen aufgefordert, zusätzliche „Verifizierungseinzahlungen" zu leisten oder „Rückgewinnungsexperten" zu konsultieren.
Wie Nutzer sich schützen können
Sei vorsichtig bei Gaming-Seiten, die Einzahlungen erfordern, um Credits abzurufen, und besonders bei solchen, die Einzahlungen für Auszahlungen verlangen. Denke daran, dass die große Mehrheit der Krypto-Rückgewinnungsdienste betrügerisch ist und seriöse Dienste in der Regel hohe Mindestbeträge im Bereich von Zehntausenden von Dollar haben. Jegliche Werbemaßnahmen mit Influencern sollten durch die Konsultation verifizierter Kanäle überprüft werden.
DVRK-BabyShark-Kampagne setzt NimDoor-macOS-Backdoor mit ClickFix-Phishing-Taktiken ein
Was passiert ist
Wie erstmals von SentinelOne berichtet, nutzen nordkoreanische Akteure in einer neuartigen Angriffsmethode auf Web3-Unternehmen eine neue Nim-basierte macOS-Backdoor namens NimDoor, um Zugangsdaten zu stehlen und Daten über verschlüsselte WebSockets zu exfiltrieren. Die Malware verwendet außerdem AppleScript und Process Injection.
Als Teil der größeren BabyShark-Operation setzen die Angreifer ClickFix-ähnliche Phishing-Taktiken ein, bei denen Zielpersonen dringend dazu verleitet werden, auf gefährliche Links zu klicken, die als harmlos getarnt sind. Diese Aktivitäten wurden mit der Advanced Persistent Threat-Gruppe Kimsuky in Verbindung gebracht.
Wie Nutzer sich schützen können
Halte immer inne und überdenke die Situation, bevor du dich zu dringenden Handlungen drängen lässt, und überprüfe die Quelle der Information. Sei vorsichtig beim Herunterladen von Dateien im Rahmen eines Bewerbungsprozesses. Deaktiviere die Remote-AppleScript-Ausführung, halte alle Systeme und Software auf dem neuesten Stand (z. B. Browser, Erweiterungen und Scripting-Runtimes). Sei wachsam gegenüber WebSocket-Verbindungen zu unbekannten Domains, ungewöhnlichen Process Injections oder Skripten, die beim App-Start ausgeführt werden, sowie Persistenz über Launch Agents oder Signal Handler bei der Nutzung von macOS.
Don't get rekt doo doo doo doo doo doo…
MetaMasks Krypto-Sicherheitsbericht für Juli 2025 behandelte über 40 gefälschte Firefox-Erweiterungen, die Krypto-Wallets imitieren, GMXs 42-Millionen-Dollar-Re-Entrancy-Hack, der durch ein White-Hat-Bounty gelöst wurde, sowie Zombie-Apps, die die Domains eingestellter Krypto-Projekte wiederbeleben. Stöbere in früheren Ausgaben des MetaMask Krypto-Sicherheitsberichts für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
