CrowdStrike och amerikanska myndigheter nedmonterar ryskt botnät som använts för att stjäla kryptovaluta

Traders Union
Alla nyheter
Kryptovalutor
Nedmontera ryskt botnät

Alla nyheter

Toppnyheter

Redaktörernas val

Aktier

Kryptovalutor

Ekonomi

Valutor

Råvaror

Affärsliv & Förmögenhet

Nyheter från branschledare

Hlib Chabaniuk

02.09.2026

CrowdStrike och amerikanska myndigheter nedmonterar ryskt botnät som använts för att stjäla kryptovaluta — Ryskt krypto-stjälande botnät nedmonterat efter 8 år.

CrowdStrike har, i samarbete med amerikanska brottsbekämpande myndigheter, slagit ut det ryskanknutna Sality-botnätet, som under de senaste åtta åren använts för att stjäla kryptovaluta. Skadlig programvara övervakade kopierade Bitcoin- och Ethereum-plånboksadresser och bytte tyst ut dem mot adresser som kontrollerades av angriparna.

Denna artikel har översatts från originalet. Läs originalversionen av vår korrespondent här.

Enligt ett pressmeddelande har Sality funnits sedan 2003, men operatörerna lade senare till en komponent som var utformad för att avlyssna kryptotransaktioner. CrowdStrike kallade denna del av skadlig programvara för EggJagger.

Attacken utnyttjade den vanliga vanan bland kryptoanvändare att kopiera långa plånboksadresser istället för att mata in dem manuellt. När en dator blivit infekterad övervakade skadlig programvara kontinuerligt urklipp efter strängar som liknade kryptoplånboks adresser.

Skadlig programvara stal krypto via urklipp

När en användare kopierade en adress för att skicka Bitcoin eller Ethereum, ersatte EggJagger den med en adress som kontrollerades av angriparen. Om offret inte kontrollerade adressen efter inklistring och bekräftade transaktionen, skickades kryptovalutan till angriparen utan möjlighet att återkalla överföringen.

Enligt CrowdStrike fick operatörerna bakom upplägget minst 12,1 miljoner rubel, motsvarande cirka 150 000 dollar vid tidpunkten för överföringarna, under åtta år. Mycket av den stulna kryptovalutan förblev orörd, och dess värde hade stigit till cirka 1,35 miljoner dollar i början av 2025 i takt med att kryptomarknaden ökade.

Beloppet är relativt litet för en cyberoperation som pågått i flera år, men upplägget krävde inte någon avancerad attack mot en blockkedja eller själva kryptoplånboken. En infekterad dator och en användares miss att kontrollera mottagaradressen räckte för att stjäla medlen.

Användare rekommenderas att kontrollera åtminstone de första och sista tecknen i en plånboksadress efter inklistring innan varje transaktion bekräftas. Detta kan avslöja en adressersättning innan en oåterkallelig kryptotransaktion godkänns.

Mer än 15 000 infekterade datorer isolerade

Sality kunde inte slås ut enbart genom att stänga ner en central kommandoserver.

Botnätet använde en peer-to-peer-arkitektur, där infekterade datorer kommunicerade direkt och kontrollerade ungefär var 40:e minut om kända noder fortfarande var tillgängliga.

Sality saknade också ytterligare autentisering för noder som anslöt till nätverket. CrowdStrike utnyttjade denna svaghet genom att ersätta adresserna till äkta botnät-noder med adresser som kontrollerades av deras servrar, vilket isolerade över 15 000 infekterade enheter från nätverket.

Operationen genomfördes under en demonstration på CrowdStrikes Day Zero-konferens i Las Vegas med deltagande av federala brottsbekämpande myndigheter. Det amerikanska justitiedepartementet uppgav att Salitys operatörer hade kopplingar till Ryssland.

Händelsen inträffar samtidigt som en rad större attacker mot kryptoinfrastruktur. Tidigare stoppades Cronos-blockkedjan, som är nära kopplad till Crypto.com, helt efter ett intrång i Tectonic, det största utlåningsprotokollet i dess ekosystem, med preliminära förluster uppskattade till cirka 75 miljoner dollar.

Cronos har varit i drift sedan 2021 och används för att möjliggöra billigare transaktioner inom Crypto.coms produkter, medan CRO förblir en av ekosystemets nyckeltillgångar. Attacken mot Tectonic belyste ytterligare en riskkälla för innehavare av digitala tillgångar – sårbarheter inom själva DeFi-protokollens infrastruktur.

Tidigare rapporterade vi att plånböcker kopplade till Nordkoreas Lazarus Group flyttade cirka 30 miljoner dollar i digitala tillgångar via Hyperliquid. Överföringarna identifierades av analytiker vid blockkedjeanalysplattformen Arkham.

Detta material kan innehålla åsikter från tredje part, ingen av uppgifterna och informationen på denna webbsida utgör investeringsrådgivning enligt vår Ansvarsfriskrivning. Även om vi följer strikt Redaktionell Integritet, kan detta inlägg innehålla referenser till produkter från våra partners.

Gillade du artikeln?