Krypto-Jobbetrug in Singapur kostet Unternehmen 11,8 Millionen Dollar

Ein gefälschtes Krypto-Jobangebot, das ein firmeneigenes Gerät infizierte, hat zu Verlusten von 11,8 Millionen US-Dollar geführt, nachdem Angreifer Zugang zu Unternehmenssystemen erlangten und Transaktionskontrollen umgingen, teilten die Behörden Singapurs mit.

Die Polizei von Singapur und die Cybersicherheitsbehörde von Singapur teilten am 14. August mit, dass das Opfer zunächst auf LinkedIn von einem Betrüger kontaktiert wurde, der sich als Personalvermittler eines Kryptowährungsunternehmens ausgab, und einen Interviewprozess begann, der den Angreifern schließlich Zugang zum Arbeitgeber des Opfers verschaffte.

Die Kommunikation verlagerte sich von LinkedIn zu E-Mail, wo der angebliche Personalvermittler eine gefälschte Domain verwendete, die der legitimen Adresse des Unternehmens stark ähnelte. Das Opfer nahm auch an mehreren Interviews über Google Meet teil, obwohl die Person, die die Interviews führte, während der Anrufe ihre Kamera ausgeschaltet ließ.

Als der Rekrutierungsprozess fortschritt, wurde das Opfer auf eine gefälschte Website geschickt und gebeten, eine technische Programmierbewertung auf einem firmeneigenen Gerät abzuschließen. Während der Bewertung wurde bösartige Software heruntergeladen, ohne dass das Opfer bemerkte, dass das Gerät kompromittiert worden war.

Gefälschte Krypto-Jobbewertung öffnete Zugang zu Unternehmenssystemen

Nach der Installation erntete die Malware das Sitzungstoken des Opfers, so SPF und CSA. Die Angreifer verwendeten dann das gestohlene Token, um die Multi-Faktor-Authentifizierung zu umgehen und Zugriff auf das Bitbucket-Konto des Opfers zu erlangen, das mit dem Code-Repository des Arbeitgebers verbunden war.

Bitbucket ist ein Code-Repository-Hosting-Dienst, der von Softwareentwicklungsteams verwendet wird, um Quellcode zu speichern, zu verwalten und gemeinsam daran zu arbeiten. Der Zugriff auf ein Mitarbeiterkonto kann daher mehr als nur das einzelne Gerät gefährden, wenn das Konto über Berechtigungen verfügt, die mit Unternehmens-Repositories oder anderen Entwicklungssystemen verbunden sind.

Nachdem sie in das Bitbucket-Konto eingedrungen waren, änderten die Angreifer die automatisierten Software-Bereitstellungsanweisungen des Unternehmens, so die beiden Behörden. Der Eindringling bewegte sich dann in die interne Infrastruktur des Unternehmens, als die Angreifer remote auf seine Server zugriffen.

Anmeldedaten, die während des Kompromisses gesammelt wurden, ermöglichten es den Angreifern, Transaktionslimits und Genehmigungsprüfungen zu umgehen, die zur Kontrolle von Kryptowährungsüberweisungen verwendet wurden. SPF und CSA sagten, dass die Angreifer anschließend Krypto-Transaktionen durchführten, die zu Verlusten in Höhe von insgesamt 11,8 Millionen US-Dollar führten.

Die Verwendung einer Programmierbewertung als Malware-Zustellungsmethode ähnelt Angriffen, die zuvor im Kryptowährungssektor dokumentiert wurden, wo Entwickler und andere technische Mitarbeiter mit Jobangeboten angesprochen werden, bevor sie gebeten werden, Code auszuführen oder Software zu installieren.

Im Mai berichtete crypto.news über TrapDoor-Malware, die Kryptowährungs- und KI-Entwickler über bösartige Softwarepakete angriff. Die Entwickler-Sicherheitsplattform Socket fand mindestens 34 bösartige Pakete und 384 verbundene Versionen in den Ökosystemen npm, PyPI und Rust.

Laut Socket waren die Pakete darauf ausgelegt, Kryptowährungs-Wallet-Informationen sowie GitHub-Tokens, API-Schlüssel, Cloud-Anmeldedaten und SSH-Zugriff zu stehlen. Die Kampagne setzte Entwicklerumgebungen an den Punkt des Kompromisses, sodass Angreifer auf Anmeldedaten abzielen konnten, die Zugang zu Systemen außerhalb der persönlichen Kryptowährungskonten des Opfers bieten könnten.

Krypto-Arbeiter waren wiederholt von Malware-Angriffen über Personalvermittler betroffen

Eine Obsidian-Malware-Kampagne im April nutzte LinkedIn und Telegram, um Kryptowährungs- und Finanzfachleute anzusprechen. Elastic Security Labs fand heraus, dass Angreifer auf Social Engineering setzten, um Ziele dazu zu bringen, bösartige Community-Plugins für die legitime Notiz-Anwendung Obsidian zu installieren.

Die als PHANTOMPULSE identifizierte Malware nutzte laut Elastic Security Labs drei Blockchain-Netzwerke, um Befehle zu empfangen und ihre Persistenz aufrechtzuerhalten. Die Forscher empfahlen strenge Anwendungsrichtlinien auf Anwendungsebene bei Finanzunternehmen, um das Risiko zu verringern, dass legitime Produktivitätssoftware zu einem Einstiegspunkt für Angreifer wird.

Im selben Monat bestätigte der Wallet-Anbieter Zerion einen Sicherheitsvorfall mit einem Schaden von 100.000 US-Dollar, der mit einer langwierigen Social-Engineering-Operation in Verbindung gebracht wurde, die mit nordkoreanischen Angreifern in Verbindung steht. Der Sicherheitsvorfall bei Zerion umfasste Angreifer, die künstliche Intelligenz einsetzten, um vertrauenswürdige Kontakte zu imitieren, bevor sie die Zugangsdaten für Hot Wallets kompromittierten.

Forscher von Security Alliance brachten diese Kampagne mit 164 bösartigen Domains in Verbindung, die bei Versuchen verwendet wurden, in Kryptowährungsunternehmen über Dienste wie Slack und LinkedIn einzudringen. Zerion erklärte, die Angreifer hätten die menschliche Seite seiner Operationen ins Visier genommen, anstatt direkt die zugrunde liegende Wallet-Technologie zu knacken.

SPF und CSA haben den jüngsten Verlust von 11,8 Millionen US-Dollar weder Nordkorea noch einer anderen Hackergruppe zugeordnet.

Rekrutierungsbasiertes Social Engineering wurde jedoch bereits zuvor von nordkoreanischen Bedrohungsakteuren gegen Kryptowährungsunternehmen eingesetzt. Google Cloud und Wiz berichteten 2025, dass UNC4899, auch bekannt als TraderTraitor, Mitarbeiter von Krypto-Unternehmen über LinkedIn und Telegram kontaktiert hatte, während sie sich als Personalvermittler ausgaben.

Bei Vorfällen im Zusammenhang mit Remote-Job-Kontaktaufnahmen wurden Mitarbeiter dazu überredet, bösartige Docker-Container auf ihren Arbeitsstationen auszuführen. Die Container setzten Downloader und Hintertüren ein, die mit der von Angreifern kontrollierten Infrastruktur verbunden waren. Danach bewegte sich die Gruppe durch interne Netzwerke, sammelte Zugangsdaten und suchte nach Systemen, die zur Verarbeitung von Kryptowährungstransaktionen verwendet werden.

Google erklärte, dass ein Vorfall es UNC4899 ermöglichte, die Multi-Faktor-Authentifizierung auf einem privilegierten Google Cloud-Konto zu deaktivieren und auf Wallet-bezogene Dienste zuzugreifen. Die Gruppe ist seit mindestens 2020 aktiv und hat sich laut der Bedrohungsforschung des Unternehmens stark auf Kryptowährungs- und Blockchain-Unternehmen konzentriert.

Singapurs Behörden fordern strengere Kontrollen für Repositories und Zugangsdaten

Nach dem jüngsten Vorfall rieten SPF und CSA Unternehmen und Einzelpersonen, insbesondere solchen, die in Technologie und Kryptowährung tätig sind, die Identität von Personalvermittlern und der Unternehmen, die sie zu vertreten behaupten, zu überprüfen, bevor sie mit arbeitsbezogenen Dateien, Websites oder Software interagieren.

Unternehmen wurde außerdem geraten, API-Schlüssel und interne Zugangsdaten zu schützen und gleichzeitig die Multi-Faktor-Authentifizierung zu stärken. Die Sicherung von Code-Repositories und Software-Bereitstellungspipelines wurde ausdrücklich empfohlen, da der Zugriff auf diese Systeme es ermöglichen kann, dass eine Kompromittierung, die auf einem Mitarbeitergerät beginnt, die Unternehmensinfrastruktur erreicht.

Die Behörden forderten Unternehmen außerdem auf, zu überprüfen, wie sensible Zugangsdaten gespeichert und abgerufen werden. Im jüngsten Fall wurden nach der ersten Kompromittierung gesammelte Zugangsdaten verwendet, um Transaktionslimits und Genehmigungsprüfungen zu umgehen, sodass die Angreifer Kryptowährungstransfers ausführen konnten.

Der Entwicklerzugriff ist weiterhin ein wiederkehrendes Ziel, da Software-Repositories und zugehörige Tools Zugangsdaten enthalten oder Wege zu Cloud- und Produktionssystemen bieten können. Die im Mai entdeckte TrapDoor-Kampagne zielte beispielsweise auf GitHub-Tokens, SSH-Schlüssel und Cloud-Zugangsdaten sowie auf Kryptowährungs-Wallet-Daten ab, wodurch Angreifer von einer einzigen infizierten Entwicklerumgebung aus mehrere Zugriffsarten erhielten.

Frühere Betrugsmaschen mit Personalvermittlern haben ähnliche Schritte mit unterschiedlichen Methoden zur Verbreitung von Malware verwendet. Eine Kampagne mit gefälschten Vorstellungsgesprächen aus dem Dezember 2024 sprach Web3-Profis über LinkedIn, Telegram und Freelance-Plattformen mit lukrativen Stellenangeboten an.

Die Zielpersonen wurden zu einem Video-Interview-Dienst geleitet und erhielten gewöhnliche Branchenfragen, bevor sie zu einer letzten Videoaufgabe gelangten. Wenn Opfer auf ein vermeintliches Mikrofon- oder Kameraproblem stießen, wurden ihnen Anweisungen zur Fehlerbehebung gezeigt, die die Ausführung von Befehlen auf ihren Computern erforderten.

Die On-Chain-Ermittlerin Taylor Monahan erklärte damals, dass die Ausführung der Befehle Angreifern allgemeinen Zugriff auf das Gerät verschaffen könnte, was Möglichkeiten zum Stehlen sensibler Informationen, zur Überwachung von Aktivitäten oder zur Kompromittierung von Kryptowährungs-Wallets schafft.

Kompromittierte Geräte sollten sofort isoliert werden

Für Unternehmen, die vermuten, dass ein Mitarbeitergerät oder ein internes System bereits kompromittiert wurde, rieten SPF und CSA, betroffene Geräte oder Systeme sofort zu isolieren.

Aktive Sitzungen sollten widerrufen und Anmeldeinformationen zurückgesetzt werden, während Zugriffsprotokolle auf Anzeichen untersucht werden sollten, dass Angreifer auf andere Konten oder die Unternehmensinfrastruktur zugegriffen haben. Die Behörden rieten Unternehmen außerdem, zu prüfen, ob Code-Repositories, interne Server, Konten oder Genehmigungsworkflows während des Kompromisses geändert wurden.

Für Einzelpersonen empfahlen die Behörden, unaufgeforderte Rekrutierungsansätze mit Vorsicht zu behandeln und sowohl den Rekrutierer als auch das beteiligte Unternehmen unabhängig zu verifizieren. Besondere Vorsicht wurde geraten, wenn ein Vorstellungsgespräch von Kandidaten verlangt, Dateien herunterzuladen, unbekannten Code auszuführen oder Websites zu verwenden, die von Personen bereitgestellt wurden, die sie nicht unabhängig verifiziert haben.

Unternehmen wurde separat geraten, den Zugriff auf API-Schlüssel und andere interne Anmeldeinformationen zu überprüfen, die Multi-Faktor-Authentifizierungskontrollen zu stärken und die Entwicklungsumgebung zu sichern, einschließlich Repositories und automatisierter Bereitstellungspipelines.