Falsche Claude-Apps leeren jetzt Krypto-Wallets aus. Eine Seed-Phrase hat keinen Reset-Button.

Exponat vom 1. September 2026; Qualität: offenlegt.Die Sicherheitsfirma Morphisec bezeichnete einen GitHub-Repositorien, der in jeder Hinsicht identisch mit dem Markenbild ist, als eine kostenlose Download-Version von „Claude Opus 5“ – dem leistungsstärksten Modell von Anthropic.ClaudeOpus5-desktop.zipBei der Ausführung enthält es keine sichtbaren Fenster. Im Hintergrund decryptiert es eine eingebettete Payload und startet anschließend RevStealer – einen Infostealer, der dazu dient, Daten heimlich abzufangen.Mehr als 50 Kryptowährungswallets – außerdem ein Dutzend mehr Passwortverwaltungsprogramme.Und auch Ihre Browser. Lesen Sie die Informationen aufmerksam – es handelt sich dabei um eine falsch benannte Downloadseite. Als Muster betrachtet, ist das die Antwort auf eine Frage, die jeder Kryptowährungsbesitzer jetzt schon stellen sollte: Wo befindet sich die eigentliche Bedrohung für sein Geld im Jahr 2026?

Zuerst die ehrliche Sache: Das ist keine Art von „Hack“ von Anthropic – und es ist auch kein Fehler im Blockchain-System. Es handelt sich um eine Art „Imitation“. Schon seit Monaten wird dieses Problem behandelt. Vor der Neufassung von Claude wurde dasselbe Problem immer wieder auftreten.Rote Webseiten mit Cheats für SpieleUnd die Skizzen in den GitHub-Repos… Die Neugestaltung hat ihnen nur eine bessere „Kleidung“ gegeben. Sobald man nach „Free Claude“ sucht – und dabei auf Werbung oder ein Repository stößt, anstatt auf die Website von Anthropic – dann hat das Download bereits seine ursprüngliche Funktion verloren.

Das ist das Erste, was die Überprüfungsgewohnheiten des Investors hören müssen – schließlich reicht der Standardrat – „Prüfen Sie den Domainnamen“ – nicht mehr aus. Die Kampagne von MacSync, die Huntress aufgedeckt hat, lockte die Leute nicht mit einer falsch geschriebenen URL an. Die Opfer suchten nach dem Weg, wie man Claude auf einem Mac installieren kann.Google-Werbung, die bezahlt wurdeund landete aufsich selbstDer eigentliche Bereich von Anthropic – unter seinem echten Domainnamen – ist ein Ort, an dem jeder Benutzer die Funktion der öffentlichen Kommunikation nutzen kann, um etwas zu posten. Die Seite fordert sie auf, einen Befehl im Terminal auszuführen. Der Vertrauen, das man in das Schloss neben einer echten Domain setzt, ist genau das Vertrauen, das diese Betreiber für ihre Werbebudgets bereitstellen, um gegen Sie zu verwenden.

Jetzt muss man beachten, was das Malware-Ziel ist – denn der Art des Assets bestimmt, wo die Schäden entstehen. RevStealer zielt auf Wallets, Browser-Erweiterungen, den Inhalt des Clipboard und gespeicherte Passwörter ab. Die MacSync-Variante geht noch weiter: Sie…Die neuen Versionen fügen Kopien der Ledger- und Trezor-App hinzu.Damit, wenn man seinen legitimen Hardware-Wallet öffnet, eine falsche Fehlermeldung angezeigt wird, die die Anforderung nach der Wiederherstellungsphrase stellt. Beachten Sie die Schwierigkeiten: Es geht nicht um das Geld selbst, sondern um die Seed-Phrase. Eine leicht zugängliche Passphrase kann auf einem sauberen Gerät geändert werden. Eine leicht zugängliche Seed-Phrase kann jedoch überhaupt nicht geändert werden – sie ist eine „Master-Key“, aus der alle Wallets abgeleitet werden können. Jeder, der diese Key besitzt, besitzt auch das dazugehörige Instrument. Es gibt kein zentrales Register, mit dem man den Diebstahl korrigieren könnte, keine Möglichkeit, das Geld während des Transfers zurückzukaufen – und – im Gegensatz zu einem regulierten Custodian, der die Verstöße melden und manchmal sogar die Schäden ausgleichen muss – es gibt auch keinen Partner, der dazu verpflichtet wäre, einem gerettet zu helfen.

Diese letzte Unterscheidung ist der Teil, der tatsächlich wichtige Entscheidungsbefugnisse hat. Wenn die Mittel auf einer zulässigen, verwalteten Plattform liegen und diese Plattform beschädigt wird, besteht eine Verpflichtung zur Offenlegung von Informationen, mögliche Versicherungsansprüche oder Rückforderungen – sowie eine identifizierbare Einheit, die für die Konsequenzen verantwortlich ist. Wenn die Mittel jedoch in einer von einem selbst kontrollierten Wallet liegen und ein gefälschter Installator diese Wallet leeren will, reduziert sich die Liste der Beteiligten auf einen selbst. Das Risiko liegt somit nicht mehr auf der Bilanz des Exchanges, sondern auf dem eigenen Gerät – und es sind Geräte, nicht Blockchain-Netzwerke, die Angreifer nun am meisten anstrengen, um zu kompromittieren.

Das Muster ist größer als das eines einzelnen Repos – deshalb wird es zu einem „WATCH-Item“, und nicht nur zu einer Neugierquelle. Die Februar-Variante…Mehr als 15.600 Opfer wurden betroffen.Vor den Takedowns. Die umfassendere Kampagne der Personenimitierung, die die Sicherheitsforscher im Frühjahr untersuchten, umfasste…88 Domains auf mindestens zehn Hosting-PlattformenEs gab falsche Landing-Pages auf Squarespace, GitHub Pages und Cloudflare – diese überholten die echte Dokumentation in den Suchergebnissen.Das Coin Bureau gab am 30. August eine öffentliche Warnung heraus.Nachdem eine Beschreibung des Prozesses gezeigt wurde, bei dem das Geld durch einen Kopie-Link abgeflossen ist, tauchte ein Chatbot auf. Das bedeutet jedoch nicht, dass der Markt zusammenbrechen wird – der Kryptowährungs-Furcht-und-Gier-Index lag am Tag der Veröffentlichung bei etwa 63. Die Stimmung interpretierten die Experten als „Gier“. Doch eine Umgebung mit erhöhtem Risiko für die tatsächliche Verwaltung des Geldes ist vollkommen möglich.

Die Break-Bedingung ist also ganz klar formuliert – damit sie überprüfbar ist: Die gesamte Struktur hängt davon ab, dass die Opfer Code aus Quellen herunterladen, die sie nicht überprüft haben – meist solche Quellen, die „kostenlos“ sind. Sobald die Download-Prozesse reflexiver und unangenehmer werden – nur offizielle Stores oder Verkaufsseiten, nie ein Befehl zum Herunterladen von Anzeigen, keine „kostenlosen Opus“-Versionen, die eigentlich eine bezahlte Lösung sein sollten – dann wird der Betrieb nicht mehr möglich sein. Bis dahin sollte jede Maschine, die mit einem Wallets gesteuert wird, als Hauptziel des Angreifers angesehen werden. Die Beträge auf Hot Wallets, Browser-Erweiterungen oder anderen Apps sollten als Geld betrachtet werden, das, sobald es genommen wird, verschwunden ist – ohne jegliche Spur, die zu einer bestimmten Person führen könnte.

Was hier festgestellt wird: Sicherheitsanbieter geben an, dass es eine Währungsdiebstahl-Software gibt, die als gefälschte Claude-App verbreitet wird. Zudem gibt es eine Monate lange Kampagne, bei der vertrauenswürdige Infrastrukturen genutzt werden, um diese Taten zu verüben. Die Beweise unterstützen jedoch keine Angabe bezüglich der Verantwortlichen für diese Aktivitäten – die Spuren deuten auf Geldwäscheaktionen hin. Was dem Leser bleibt, ist eine Entscheidung bezüglich der Verwaltung dieser Dinge, nicht eine Preisangabe. Der Seed-Phrase ist das einzige Instrument, das keine Reset-Funktion hat. Die Angreifer haben erkannt, dass die Menschen, die auf „Free Claude“ klicken, auch diejenigen sind, die dieses Instrument besitzen.