CrowdStrike und US-Behörden zerschlagen russisches Botnetz, das zum Diebstahl von Kryptowährungen genutzt wurde.

Traders Union
Alle Nachrichten
Krypto
Russisches Botnetz zerschlagen

Alle Nachrichten

Top-Storys

Aus der Redaktion

Aktien

Krypto

Wirtschaft

Währungen

Rohstoffe

Unternehmen & Vermögen

Marktstimmen

Hlib Chabaniuk

02.09.2026

CrowdStrike und US-Behörden zerschlagen russisches Botnetz, das zum Diebstahl von Kryptowährungen genutzt wurde. — Russisches Krypto-stehlendes Botnetz nach 8 Jahren zerschlagen.

CrowdStrike hat in Zusammenarbeit mit US-Strafverfolgungsbehörden das mit Russland verbundene Sality-Botnetz gestört, das in den letzten acht Jahren zum Diebstahl von Kryptowährungen genutzt wurde. Die Malware überwachte kopierte Bitcoin- und Ethereum-Wallet-Adressen und ersetzte sie unbemerkt durch Adressen, die von Angreifern kontrolliert wurden.

Dieser Artikel wurde aus dem Original übersetzt. Lesen Sie die Originalversion unseres Korrespondenten hier.

Laut einer Pressemitteilung existiert Sality seit 2003, doch die Betreiber fügten später eine Komponente hinzu, die speziell für das Abfangen von Krypto-Transfers entwickelt wurde. CrowdStrike bezeichnete diesen Teil der Malware als EggJagger.

Der Angriff nutzte die gängige Praxis von Krypto-Nutzern aus, lange Wallet-Adressen zu kopieren, anstatt sie manuell einzugeben. Sobald ein Computer infiziert war, überwachte die Malware kontinuierlich die Zwischenablage auf Zeichenfolgen, die wie Krypto-Wallet -Adressen aussahen.

Malware stahl Krypto über die Zwischenablage

Wenn ein Nutzer eine Adresse kopierte, um Bitcoin oder Ethereum zu versenden, ersetzte EggJagger diese durch eine vom Angreifer kontrollierte Adresse. Überprüfte das Opfer die Adresse nach dem Einfügen nicht und bestätigte die Transaktion, wurde die Kryptowährung unwiderruflich an den Angreifer gesendet.

Laut CrowdStrike erhielten die Betreiber des Systems über acht Jahre hinweg mindestens 12,1 Millionen Rubel, was zum Zeitpunkt der Transfers etwa 150.000 US-Dollar entsprach. Ein Großteil der gestohlenen Kryptowährungen blieb unangetastet, und ihr Wert stieg bis Anfang 2025 auf rund 1,35 Millionen US-Dollar, da der Kryptomarkt zulegte.

Der Betrag ist für eine Cyber-Operation, die mehrere Jahre andauerte, relativ gering, doch das Schema erforderte keinen ausgefeilten Angriff auf eine Blockchain oder ein Krypto-Wallet selbst. Ein infizierter Computer und das Versäumnis des Nutzers, die Empfängeradresse zu überprüfen, reichten aus, um die Gelder zu stehlen.

Nutzern wird geraten, nach dem Einfügen einer Wallet-Adresse vor jeder Transaktionsbestätigung mindestens die ersten und letzten Zeichen der Adresse zu überprüfen. So kann ein Adressentausch erkannt werden, bevor eine unwiderrufliche Krypto-Überweisung genehmigt wird.

Mehr als 15.000 infizierte Computer isoliert

Sality konnte nicht einfach durch das Abschalten eines zentralen Command-and-Control-Servers außer Betrieb gesetzt werden.

Das Botnetz nutzte eine Peer-to-Peer-Architektur, bei der infizierte Computer direkt miteinander kommunizierten und etwa alle 40 Minuten prüften, ob bekannte Peers noch erreichbar waren.

Sality verfügte zudem über keine zusätzliche Authentifizierung für Knoten, die sich mit dem Netzwerk verbanden. CrowdStrike nutzte diese Schwachstelle aus, indem es die Adressen echter Botnetz-Peers durch von seinen Servern kontrollierte Adressen ersetzte und so mehr als 15.000 infizierte Geräte vom Netzwerk isolierte.

Die Aktion wurde während einer Demonstration auf der Day Zero-Konferenz von CrowdStrike in Las Vegas unter Beteiligung von Bundesbehörden durchgeführt. Das US-Justizministerium erklärte, die Betreiber von Sality hätten Verbindungen nach Russland.

Der Vorfall ereignet sich inmitten einer Reihe größerer Angriffe auf die Krypto-Infrastruktur. Zuvor wurde die eng mit Crypto.com verbundene Cronos-Blockchain nach einem Exploit des größten Kreditprotokolls ihres Ökosystems, Tectonic, vollständig gestoppt, wobei die vorläufigen Verluste auf rund 75 Millionen US-Dollar geschätzt werden.

Cronos ist seit 2021 in Betrieb und wird genutzt, um günstigere Transaktionen für Crypto.com-Produkte bereitzustellen, während CRO weiterhin zu den wichtigsten Vermögenswerten des Ökosystems zählt. Der Angriff auf Tectonic zeigte ein weiteres Risiko für Inhaber digitaler Vermögenswerte auf – Schwachstellen in der Infrastruktur von DeFi-Protokollen selbst.

Zuvor berichteten wir, dass mit Nordkoreas Lazarus Group verbundene Wallets rund 30 Millionen US-Dollar an digitalen Vermögenswerten über Hyperliquid verschoben haben. Die Transfers wurden von Analysten der Blockchain-Intelligence-Plattform Arkham identifiziert.

Dieses Material kann Meinungen Dritter enthalten, keine der Daten und Informationen auf dieser Webseite stellt eine Anlageberatung gemäß unserem Haftungsausschluss dar. Obwohl wir uns an strikte redaktionelle Integrität halten, kann dieser Beitrag Verweise auf Produkte unserer Partner enthalten.

Hat Ihnen der Artikel gefallen?