Bitcoin-Nutzer stehen vor einer erneuten Warnung bezüglich einer aktiven Social-Engineering-Kampagne, die vertrauenswürdige Telegram-Konten kapert und Kryptowährungs-Profis in gefälschte Zoom- oder Microsoft-Teams-Meetings lockt.
Zusammenfassung
- BlueNoroff kapert Telegram-Konten und nutzt gefälschte Zoom- oder Teams-Meetings gegen Krypto-Profis.
- JUMPSEC fand heraus, dass das Phishing-Kit Kryptowährungs-Wallets profiliert, bevor Betreiber selektiv Malware an Opfer ausliefern.
- Security Alliance führte allein zwischen Februar und Anfang April 2026 164 blockierte Domains auf UNC1069 zurück.
- Mandiant beobachtete kompromittierte Telegram-Konten, gefälschte Zoom-Anrufe, ClickFix-Befehle und Malware, die auf Krypto-Organisationen abzielt.
- Die FBI-Richtlinien empfehlen eine unabhängige Identitätsprüfung und die Aufbewahrung von Wallet-Geheimnissen nach Möglichkeit außerhalb von internetverbundenen Geräten.
Lightning News schlug am 7. August Alarm und berief sich dabei auf aktuelle Berichte von Mitgliedern der Bitcoin-Community. Unabhängige Sicherheits-forschung bestätigt die zentrale Angriffskette, auch wenn nicht jede Behauptung verifiziert wurde.
JUMPSEC erklärte im Juli, dass es nach der Offenlegung von JavaScript-Source-Maps den Quellcode eines aktiven BlueNoroff-Phishing-Kits erhalten habe. Die Forscher fanden eine Plattform zur Opfergewinnung, die kompromittierte Telegram-Kontakte missbraucht, Kryptowährungs-Wallets profiliert und ausgewählten Zielen auf Windows- und macOS-Systemen Malware zuführt. JUMPSEC erklärte, dass die identifizierte Kampagneninfrastruktur bis zum 22. Juli aktiv blieb.
Der Angriff beginnt mit Vertrauen und nicht mit einer Blockchain-Schwachstelle. JUMPSEC fand heraus, dass Betreiber kompromittierte Telegram-Konten echter Branchenkontakte nutzen, um Ziele zu gefälschten Videomeetings einzuladen. Da Nachrichten von echten Konten stammen und sich auf bestehende Beziehungen beziehen können, bietet allein die Erkennung des Absenders nur begrenzten Schutz.
Google Mandiant hat im Februar unabhängig einen ähnlichen UNC1069-Einbruch dokumentiert. Ein Opfer erhielt Nachrichten vom kompromittierten Telegram-Konto eines Krypto-Managers, vereinbarte ein Meeting und wurde auf eine gefälschte Zoom-Domain umgeleitet. Das Opfer berichtete, während des inszenierten Anrufs ein scheinbar KI-generiertes Video eines anderen Krypto-Managers gesehen zu haben.
Die Zuordnung erfordert Präzision. Mandiant verfolgt den Akteur als UNC1069 und sagt, dass er sich mit BlueNoroff überschneidet. Das US-Finanzministerium hat BlueNoroff, auch bekannt als APT38, offiziell als eine von Nordkorea staatlich geförderte Gruppe eingestuft, die vom Aufklärungsbüro kontrolliert wird. Security Alliance führt die Kampagne mit gefälschten Meetings ebenfalls auf UNC1069 bzw. BlueNoroff zurück.
Gefälschte Meetings verbreiten ClickFix-Befehle und Malware
Das rekonstruierte Kit von JUMPSEC zeigt eine inszenierte Meeting-Oberfläche, die nach Webcam-Zugriff fragt, bevor ein Betreiber mit vorab aufgezeichnetem Video beitritt. Das Opfer sieht dann ein angebliches Audioproblem und ein gefälschtes Software-Update. Der angezeigte Fehlerbehebungstext ist täuschend: Das Kopieren platziert einen vom Angreifer kontrollierten ClickFix-Befehl in die Zwischenablage.
Unter Windows beobachtete JUMPSEC PowerShell- und VBScript-Komponenten, die in der Lage sind, Verteidigungsmaßnahmen zu deaktivieren, Aufklärung zu betreiben und Folgezugriff zu unterstützen. Unter macOS fanden Forscher Shell-Skripte und Mach-O-Payloads, die darauf ausgelegt sind, Anmeldeinformationen und andere sensible Daten zu stehlen. Das Kit scannt außerdem vor der Malware-Zustellung nach Browser-Wallet-Anbietern, um Betreibern zu helfen, wertvolle Ziele zu identifizieren.
Das bedeutet, dass die Behauptung, allein das Öffnen eines Meeting-Links leere automatisch eine Wallet, zu weit gefasst ist. In den dokumentierten Ketten erfordert eine Kompromittierung eine weitere Aktion, wie das Ausführen eines kopierten Befehls oder eines bösartigen Updates. Sobald jedoch Malware ausgeführt wird, fand Mandiant Werkzeuge, die in der Lage sind, Browserdaten, Schlüsselbund-Anmeldeinformationen und Telegram-Benutzerdaten zu stehlen.
Sicherheitsforscher sagen, die Kampagne bleibe breit angelegt
Die Security Alliance berichtete, dass sie zwischen dem 6. Februar und dem 7. April 164 blockierte Domains UNC1069 zuordnete. Ihre Stellungnahme beschrieb mehrwöchiges Social Engineering über Telegram, LinkedIn und Slack, bevor betrügerische Zoom- oder Teams-Links zugestellt wurden. JUMPSEC erweiterte später das Bild der Infrastruktur und sagte, dass Infrastruktur mit hoher und mittlerer Konfidenz Ende Juli weiterhin aktiv war.
Das FBI hat separat gewarnt, dass nordkoreanische Akteure hochgradig maßgeschneidertes Social Engineering gegen Mitarbeiter von Kryptowährungs- und DeFi-Unternehmen durchführen. Seine Leitlinien weisen ausdrücklich auf Aufforderungen hin, Code auszuführen, unbekannte Anwendungen zu installieren, Skripte zur Behebung von Videoanrufen auszuführen oder Gespräche zwischen Kommunikationsplattformen zu verschieben.
Das FBI empfiehlt, Identitäten über einen unabhängigen Kanal zu verifizieren und Wallet-Zugangsdaten, Seed-Phrasen und private Schlüssel von internetverbundenen Geräten fernzuhalten. Die Zwei-Faktor-Authentifizierung bleibt nützlich, aber infizierte Geräte können Sitzungsdaten offenlegen, daher sollten kompromittierte Sitzungen auch von einem sauberen Gerät aus widerrufen werden.
Worauf Bitcoin- und Krypto-Nutzer als Nächstes achten sollten
Die wichtigste Korrektur an der Warnung vom 7. August ist, dass Forscher keine universelle Methode für die anfängliche Telegram-Übernahme festgestellt haben. Behauptungen, dass abgelaufene oder temporäre Telefonnummern die Hauptursache seien, bleiben in dem geprüften Material unbestätigt. Forscher bestätigen kompromittierte Konten, aber der Übernahmemechanismus kann variieren.
In separater Berichterstattung über die Telegram-Plattform hat Apple die Messaging-App kurzzeitig aus seinem App Store entfernt wegen einer Überprüfung der CSAM-Richtlinie, bevor sie sie wiederherstellte, nachdem Telegram die gekennzeichneten Inhalte entfernt und den verantwortlichen Benutzer gesperrt hatte.
Benutzer sollten unerwartete Besprechungsanfragen, Domainänderungen, Audio-Fix-Aufforderungen und Aufforderungen zum Einfügen von Befehlen als Hochrisikosignale behandeln. Wenn bereits verdächtiger Code ausgeführt wurde, rät das FBI, das betroffene Gerät vom Internet zu trennen, es aber eingeschaltet zu lassen, um eine mögliche forensische Wiederherstellung zu ermöglichen, und dann Incident-Response-Spezialisten und Strafverfolgungsbehörden zu kontaktieren.
Die Kampagne ist daher am besten als eine laufende, mit Nordkorea verbundene Social-Engineering-Operation zu beschreiben, die auf die menschliche Ebene rund um die Krypto-Verwahrung abzielt. Ihre Wirksamkeit beruht auf der Ausnutzung vertrauenswürdiger Identitäten und vertrauter Arbeitsplatzwerkzeuge, nicht auf dem Brechen von Bitcoin selbst.
