Eine betrügerische Malware-Kampagne tarnt sich als Web3-Accelerator. Sie richtet sich gezielt an Kryptowährungs-Startups und Gründer. Unter Namen wie „Apex“ oder Varianten wie „Meeten“ locken die Akteure mit Angeboten wie kostenlosen KI-Guthaben, Coding-Tools und Zugang zu Investitionen.

Tatsächlich verbreiten sie über bösartige npm-Pakete und gefälschte Meeting-Applikationen Malware, die sensible Daten und Kryptowährungen stiehlt.

Getarnte Bedrohung: So agieren „Apex“ und „Meeten“

Die Kampagne „Apex“ tritt als vermeintlicher Accelerator für Web3-Projekte auf. Varianten tragen Namen wie „Meeten“, „Meetio“, „Clusee.com“, „Cuesee“, „Meeten.gg“, „Meeten.us“ oder „Meetone.gg“. Die Akteure werben mit vorgeblichen Vorteilen, darunter ein „Apex Copilot“ für Coding, Smart-Contract-Audits und Einladungen zu Präsenzveranstaltungen wie der TOKEN2049 in Singapur.

Apex behauptete, über 200 Projekte im Portfolio und mehr als 124 Millionen US-Dollar eingesammelt zu haben. Diese Angaben dienen laut Analysen der Täuschung.

Die Bedrohung besteht in der Verbreitung von Malware für macOS und Windows. Typische Vektoren sind manipulierte npm-Pakete sowie gefälschte Meeting-Anwendungen. Elastic Security Labs identifizierte die bösartigen npm-Pakete @apexacc/cli und @apexacc/audit.

Diese werden als KI-Coding-Agent beziehungsweise als Sicherheits-Audit-Tool ausgegeben. Das Ausführen dieser Pakete per npm oder npx kann eine mehrstufige Infektionskette auslösen.

Bei Windows-Infektionen laden die Paket-Launcher, beispielsweise apex.cjs oder audit.cjs, plattformspezifische Dateien von GitHub-Releases herunter. Typische Artefaktnamen sind bludness.exe, install.exe, exegis.exe oder updater_loader.exe. Diese Komponenten sammeln Systemdetails, Zwischenablage-Inhalte, Screenshots, Browser-Informationen, WLAN-Profile, Dateien sowie Daten aus Wallet-, VPN-, Remote-Access-, Messaging- und KI-Client-Anwendungen.

Auch macOS-Systeme sind betroffen. Die Angreifer laden plattformspezifische Dateien herunter, die ebenfalls Informationsdiebstahl ermöglichen.

Die von Darktrace (vormals Cado Security Labs) analysierte „Meeten“-Kampagne setzt auf gefälschte Meeting-Apps. Ziele locken die Akteure per Social Engineering zu Videoanrufen. Dort fordern sie zur Installation einer präparierten Meeting-App von einer gefälschten Webseite auf.

Auf solchen Seiten wird unter anderem der Realst-Infostealer beschrieben. Die Meeten-Webseiten enthalten zudem JavaScript, das Kryptowährungen aus Webbrowsern stiehlt, noch bevor eine vollständige Malware-Installation erfolgt. Die Kampagnen nutzen häufig KI-generierte Inhalte und gefälschte Social-Media-Profile, um Legitimität vorzutäuschen.

Nordkoreanische und russische Akteure hinter den Angriffen

Analysten verschiedener Sicherheitsfirmen, darunter Elastic Security Labs, Cado Security Labs/Darktrace und die Google Threat Intelligence Group (GTIG), dokumentieren diese und verwandte Bedrohungen. Nordkoreanische Akteure werden mit ähnlichen Social-Engineering-Kampagnen in Verbindung gebracht. GTIG verfolgt beispielsweise den von ihm UNC5342 genannten DPRK-Akteur, der Techniken wie „EtherHiding“ nutzt.

Kaspersky beobachtete BlueNoroff, eine Untergruppe der Lazarus-Gruppe, mit Kampagnen wie „GhostCall“ und „GhostHire“, die Web3- und Kryptowährungsorganisationen anvisieren.

Berichte zeigen, dass Angreifer kompromittierte Konten echter Personen nutzen. Zudem verwenden sie Videos früherer Opfer in gestellten Meetings wieder, um Vertrauen aufzubauen. Kaspersky-Forscher Sojun Ryu beschreibt, wie solche Videos abgespielt werden, damit die Interaktion real erscheint und neue Ziele manipuliert werden.

Kaspersky-Forscher Omar Amin stellt fest, dass der Einsatz generativer KI BlueNoroff dabei half, die Malware-Entwicklung zu beschleunigen. Dies schließt die Einführung neuer Programmiersprachen und zusätzlicher Funktionen ein, was Erkennung und Analyse erschwert.

Die Angriffsziele reichen über Kryptowährungs-Startups und -Gründer hinaus. Auch Blockchain-Entwickler, Führungskräfte und die Web3-Gaming-Community sind betroffen. Relative Kampagnen verbreiten Informationsstealer wie AMOS, Stealc oder Rhadamanthys. In einem Fall deuten Artefakte im HTML-Code auf russischsprachige Akteure hin.

Relevanz für Web3-Gründer und Investoren

Die Kampagnen machen eine Schwachstelle im Web3-Ökosystem sichtbar. Gründer und Entwickler verwalten oft hochsensible Daten und private Schlüssel auf ihren Arbeitsrechnern. Der Diebstahl von Wallet-Keys, Quellcode und Investorendaten kann zu erheblichen finanziellen Verlusten führen. Er kann Projekte sowie das Vertrauen von Investoren und Nutzern schwer schädigen.

Als Beispiele für das Ausmaß von Diebstahl und Betrug im Krypto-Bereich nennen Analysen den Ronin-Network-Bridge-Hack über 625 Millionen US-Dollar und den Angriff auf das Ethereum-basierte Stablecoin-Protokoll Beanstalk über 181 Millionen US-Dollar. Preetam Rao, Mitgründer von QuillAudits, formuliert: „The next wave of hacks won’t come from bugs. They’ll come from compromised control.“

Er warnt zudem davor, in Code-Audits zu investieren, aber das Schlüsselmanagement zu vernachlässigen. Dieses Ungleichgewicht sei eine Schwachstelle.

Die Analysen legen nahe, dass Web3-Startups ihre Sicherheitsstrategien über reine Code-Audits hinaus erweitern müssen. Operative Sicherheit sowie robustes Schlüsselmanagement sollten priorisiert werden. Für Investoren bedeutet dies, die erhöhten Risiken von Supply-Chain-Angriffen und ausgefeilten Social-Engineering-Taktiken in der Due Diligence zu berücksichtigen.

Ausblick: Verstärkte Abwehrmechanismen und Risikobewusstsein gefordert

Die dokumentierten Angriffe zeigen, dass Analysten wie Elastic Security Labs und Darktrace weiterhin neue Bedrohungsvektoren identifizieren. Dies legt nahe, Software-Lieferketten kontinuierlich zu überprüfen und das Bewusstsein für Social-Engineering-Taktiken zu schärfen. Insbesondere die Nutzung bösartiger npm-Pakete und die Verbreitung gefälschter Meeting-Apps erfordern von Entwicklern und Entscheidungsträgern erhöhte Wachsamkeit.

Experten betonen, dass Sicherheit nicht allein durch Code-Härtung erreicht wird. Vielmehr sind verstärkt operative Sicherheit und robustes Schlüsselmanagement notwendig. Der Einsatz neuer Technologien wie generativer KI erhöht die Komplexität und den Umfang von Angriffen staatlicher und krimineller Akteure.

Daraus folgt, dass Investitionen in Cybersicherheit und Mitarbeiterschulungen für Gründer und Investoren zu einem zentralen Bestandteil der Strategie werden.

Die Branche wird beobachten, wie etablierte Sicherheitsfirmen und Web3-Protokolle ihre Abwehrmechanismen anpassen. Dies soll den sich entwickelnden Bedrohungen begegnen und das Vertrauen in die dezentrale Wirtschaft stärken.