SlowMist kennzeichnet Snap Store-Angriff, der auf Krypto-Seed-Phrasen abzielt

• Die Angreifer haben die Publisher im Snap Store mit abgelaufenen Domains gekapert und bösartige Updates für die Wallet verteilt.
• Die gefälschten Apps imitierten Exodus, Ledger Live und Trust Wallet, um Nutzer dazu zu verleiten, ihre Wiederherstellungsphrasen einzugeben.
• Der Angriff weist auf den zunehmenden Trend zu Lieferkettenangriffen hin, anstatt auf Smart-Contract-Angriffe.

Das Blockchain-Sicherheitsunternehmen SlowMist hat eine neue Linux-basierte Bedrohung erkannt, die Crypto-Wiederherstellungsphrasen ausnutzt, indem sie vertrauenswürdige Apps, die über den Snap Store verteilt werden, angreift. Das Unternehmen warnte, dass Angreifer langjährige Publisher-Konten im Snap Store kapern und bösartige Wallet-Updates über offizielle Vertriebswege verbreiten, wodurch langjährige Linux-Nutzer gefährdet werden.

In einem Beitrag auf X sagte der Chief Information Security Officer von SlowMist, 23pds, dass Angreifer abgelaufene Domains missbrauchen, die mit legitimen Publishern im Snap Store verbunden sind. Nachdem sie die Kontrolle über diese Domains wiedererlangt haben, setzen die Angreifer die Kontozugangsdaten zurück, übernehmen vertrauenswürdige Entwicklerkonten und veröffentlichen Malware, die als Wallet-Software-Updates getarnt ist. Diese Taktik verschafft den Angriffen einen gefährlichen Vorteil: Nutzer vertrauen oft Updates von etablierten Publishern und installieren sie ohne Verdacht.

Sobald die bösartigen Apps auf dem System eines Opfers landen, fordern sie die Nutzer auf, ihre Crypto-Wallet-Wiederherstellungsphrasen einzugeben. Die Malware exfiltriert diese Phrasen, sodass die Angreifer Wallets schnell leeren können, oft bevor das Opfer bemerkt, dass etwas schiefgelaufen ist.

Angreifer kapern Snap Store Publisher mit abgelaufenen Domains

Der Snap Store ist der offizielle App-Store für Linux, der für die Verteilung von Software verwendet wird, die als „snaps“ verpackt ist. Er gilt bei vielen Nutzern als vertrauenswürdige Quelle, ähnlich wie der App Store oder Microsoft Store, da er verifizierte Publisher, einfache Updates und eine zentrale Vertriebsplattform bietet.

SlowMist sagte, dass Angreifer Publisher-Konten angreifen, die mit abgelaufenen Domains verbunden sind. Sobald eine Domain abläuft, können Kriminelle sie neu registrieren und Zugriff auf die damit verbundenen E-Mail-Adressen erhalten. Von dort aus können sie Passwortzurücksetzungen initiieren und die Kontrolle über Entwicklerkonten im Snap Store übernehmen.

Diese Methode ermöglicht es Angreifern, Publisher mit aktiven Nutzern und bestehenden Download-Historien zu kompromittieren. Anstatt darauf zu warten, dass Opfer die bösartigen neuen Apps herunterladen, injizieren sie die Malware in die regulären Updates. Diese Lieferketten-Taktik erhöht die Erfolgsquote, da Nutzer eher Updates akzeptieren und nicht alle Änderungen überprüfen.

SlowMist hat mindestens zwei Domains identifiziert, die mit den kompromittierten Publisher-Konten verbunden sind: „storewise[.]tech“ und „vagueentertainment[.]com“. Nachdem die Angreifer die Konten gekapert haben, sollen sie die Apps genutzt haben, um bekannte Krypto-Wallet-Marken zu imitieren.

Fake Wallet-Apps imitieren vertrauenswürdige Marken

Laut SlowMist sind die betroffenen Apps im Snap Store Klone beliebter Wallet-Anwendungen wie Exodus, Ledger Live und Trust Wallet. Die Angreifer verwenden Benutzeroberflächen, die echten Anwendungen sehr ähnlich sehen, was die Glaubwürdigkeit erhöht und Verdacht verringert.

Diese Apps fordern nach der Installation oder Aktualisierung den Nutzer auf, ihre Wallet-Wiederherstellungsphrase einzugeben, mit der Absicht, die Wallet einzurichten, zu synchronisieren oder das Konto zu verifizieren. Nachdem der Nutzer die Wiederherstellungsphrase eingegeben hat, kann der Angreifer diese verwenden, um die Wallet wiederherzustellen und die Gelder zu leeren, ohne weiteren Zugriff auf das Gerät des Opfers zu benötigen.

Dieser Ansatz bleibt sehr effektiv, da Seed-Phrasen die vollständige Kontrolle über die Assets bieten. Selbst die stärksten Passwörter und Gerätesicherheiten können die Gelder nicht schützen, sobald Hacker die Wiederherstellungsphrase besitzen.

Lieferketten-Hacks werden immer schädlicher

Der Vorfall im Snap Store ist Teil eines größeren Trends in der Krypto-Sicherheit, bei dem Angreifer von der Ausnutzung von Protokollen zur Kompromittierung der Infrastruktur übergehen. Statt direkt Smart Contracts anzugreifen, zielen Kriminelle zunehmend auf vertrauenswürdige Software-Distributionssysteme, Update-Kanäle und Drittanbieter ab.

Daten von CertiK, die im Dezember veröffentlicht wurden, zeigten, dass die Verluste durch Krypto-Hacks im Jahr 2025 3,3 Milliarden US-Dollar erreichten, obwohl die Anzahl der Vorfälle zurückging. Laut CertiK waren die Verluste stärker auf weniger, aber schwerwiegendere Lieferketten-Ereignisse konzentriert, wobei 1,45 Milliarden US-Dollar nur auf zwei große Vorfälle zurückzuführen sind.

Dieser Trend zeigt, dass Angreifer auf Skalierung und Wirkung optimieren. Mit der Verbesserung der DeFi-Sicherheit auf Smart-Contract-Ebene zielen Angreifer auf die schwächsten Glieder, Apps, Publisher und Update-Infrastruktur, bei denen Vertrauen die größte Schwachstelle ist.

Was Nutzer als Nächstes beachten sollten?

Für Linux-Nutzer, die Krypto aufbewahren, müssen der Download und die Aktualisierung der Wallet-Software mit besonderer Vorsicht erfolgen. Nutzer sollten die Identität der Publisher verifizieren, die offiziellen Download-Quellen prüfen und vermeiden, Wiederherstellungsphrasen auf unbekannten Plattformen einzugeben. Sicherheitsteams sollten die Einträge im Snap Store ebenfalls genauer überwachen, insbesondere bei plötzlichen Änderungen im Besitz der Publisher.

Die wichtigste Erkenntnis aus dem SlowMist-Warnhinweis ist klar: Die größte Gefahr geht heute oft von vertrauenswürdigen Quellen aus, nicht von offensichtlichen Phishing-Betrügereien.

Hervorgehobene Krypto-Nachrichten:

Tom Lee warnt, dass die Kryptomärkte 2026 eine schmerzhafte Korrektur erleben könnten