Kaspersky entdeckt Malware zum Diebstahl von Seed-Phrasen

Im Juli 2026 veröffentlichte das Global Research and Analysis Team von Kaspersky eine Analyse eines Malware-Frameworks namens OkoBot. Dieses Framework ist seit über einem Jahr aktiv und war zum Zeitpunkt der Veröffentlichung weiterhin im Einsatz. OkoBot ist ein Toolkit mit mehr als 20 Schadmodulen, das Windows-Rechner infiziert, einen versteckten Fernzugriffskanal öffnet und dann spezialisierte Plugins für bestimmte Aufgaben ausführt.

Kaspersky dokumentierte zwei Hauptinfektionswege der Malware: einen ClickFix-Social-Engineering-Angriff und Schadsoftware, die in von GitHub heruntergeladener Software versteckt war. Ein Beispiel war ein gefälschtes SQL Server Management Studio-Paket, das in Wirklichkeit der echte Audacity Audio-Editor mit einer angehängten Schadbibliothek war. Dieses Paket rangierte ganz oben in den Suchergebnissen, wirkte dadurch legitim und gewann das Vertrauen der Nutzer.

Sobald ein Nutzer den Köder ausführt, installiert ein PowerShell-Skript namens TookPS einen SSH-Tunnel zurück zum Angreifer. Ein automatisierter Bot sammelt dann Wallet-Dateien, Browser-Cookies und Zugangsdaten und öffnet leise die Tür für weitere Schadmodule.

Eines dieser Module stach für uns besonders hervor. Kaspersky nennt es SeedHunter, und es wurde mit einem einzigen Ziel entwickelt: die Wiederherstellungsphrasen von Hardware-Wallet-Nutzern zu stehlen. Wir haben den Bericht genau gelesen und uns anschließend mit den beiden Verantwortlichen für die Sicherheit bei Tangem zusammengesetzt, um eine direkte Frage zu stellen: Funktioniert SeedHunter auch gegen Tangem?
 

Was SeedHunter tatsächlich macht

SeedHunter überwacht kontinuierlich die laufenden Prozesse auf einem infizierten Windows-PC. Es sucht gezielt nach drei Anwendungen: Trezor Suite, Ledger Live und Ledger Wallet. Wird eine davon gefunden, injiziert SeedHunter eigenen Code in diesen Prozess.

Diese Desktop-Wallet-Apps basieren auf Electron, einem Framework, das Webseiten in Desktop-Anwendungen einbettet. SeedHunter klinkt sich in die internen Electron-Funktionen ein und kann so unbemerkt manipulieren, was die App anzeigt. Das Wallet-Fenster wird so zur Leinwand für den Angreifer.
 

Die Malware führt regelmäßige USB-Scans durch, gefiltert nach Vendor ID und Product ID, und wartet darauf, dass ein echtes Trezor- oder Ledger-Gerät angeschlossen wird. Kaspersky fand heraus, dass die Malware entweder auf ein "Go"-Signal vom Command-Server wartet oder sofort aktiv wird – je nach empfangenem Flag.

Sobald ein Gerät verbunden ist, zeigt die Malware eine fest programmierte Phishing-Seite innerhalb der vertrauenswürdigen App an, deren Layout jeweils an die Wallet-Marke angepasst ist. Die Seite fordert den Nutzer auf, seine Seed-Phrase einzugeben, um das Wallet zu „wiederherstellen“ oder zu „verifizieren“.

Der Nutzer glaubt, in seiner echten Wallet-Software zu tippen, weil das eigene Gerät angeschlossen wurde. Sobald die Phrase eingegeben ist, fängt die Malware sie ab, sendet sie an einen Command-Server und speichert zusätzlich eine verschlüsselte lokale Kopie. Die Guthaben werden dann nach Belieben des Angreifers abgezogen.

Die weiteren Plugins von OkoBot weiten das Angriffsfeld deutlich aus. OkoSpyware erstellt eine Liste von über 100 Zielanwendungen, darunter Wallets wie Exodus und Passwortmanager wie 1Password und KeePassXC, und zeichnet dann Videos der jeweiligen Fenster mit einer mitgelieferten FFmpeg-Version auf, während jede Tasteneingabe protokolliert wird.

Auch Browser-Erweiterungs-Wallets werden auf diese Weise erfasst; Kasperskys Telemetrie zeigt, dass MetaMask- und Tonkeeper-Tabs auf die gleiche Weise markiert und aufgezeichnet werden. Ein separates Modul, der MC Keylogger, erfasst Tastatureingaben, Inhalte der Zwischenablage (einschließlich kopierter Bilder), Details zu angeschlossenen USB-Geräten und alle fünf Minuten einen Screenshot.

Das Bild, das Kaspersky zeichnet, ist das einer vollständigen Überwachung des infizierten Rechners – mit einer gezielten Seed-Phrase-Falle im Zentrum.

Wenn der Angreifer nichts zu stehlen hat

SeedHunter benötigt vier separate Bedingungen, um erfolgreich zu sein. Bei einer Standardkonfiguration von Tangem sind alle vier nicht erfüllt.

1. Es braucht eine Seed-Phrase zum Phishing. Das ist die Grundlage des gesamten Angriffs. Im Standardmodell von Tangem wird der private Schlüssel im zertifizierten Secure Element der Karte erzeugt und verlässt dieses nie. Wenn der Nutzer keine Seed-Phrase besitzt, gibt es nichts, wonach eine Phishing-Seite fragen könnte.
    
2. Zweitens braucht es eine Desktop-App, in die es sich einschleusen kann. SeedHunter zielt auf drei spezifische Windows-Prozesse ab, allesamt Electron-Desktop-Apps. Tangem bietet keine Desktop-Anwendung.
    

3. Drittens braucht es ein zu erkennendes USB-Gerät. Der Auslöser der Malware ist ein USB-Scan nach den Vendor- und Product-IDs bekannter Wallet-Hardware. Tangem-Karten kommunizieren per NFC durch Antippen mit dem Smartphone.

    

4. Viertens braucht es einen glaubwürdigen Vorwand. Ledger- und Trezor-Nutzer kennen die Wiederherstellungs- und Verifizierungsabläufe in ihren Apps – eine Abfrage nach der Phrase wirkt daher vertraut. Bei Tangem wird im Standardablauf nie nach einer Wiederherstellungsphrase gefragt. Du scannst deine Karte oder deinen Ring und gibst deine biometrischen Daten oder deinen Zugangscode ein. Eine Aufforderung zur Eingabe einer Seed-Phrase wäre für Tangem-Nutzer ein klares Warnsignal.

    

Andrey Lazutkin, CTO von Tangem, sieht die Seed-Phrase selbst als die strukturelle Schwachstelle, auf die solche Angriffe abzielen. 

„Wenn Menschen eine Hardware-Wallet kaufen, erwarten sie, dass das Gerät ihre privaten Schlüssel schützt. In vielen klassischen Wallets zeigt das Gerät dem Nutzer jedoch zuerst die Seed-Phrase an und überträgt die Verantwortung damit an ihn.“

„Ab diesem Moment ist das schwächste Glied nicht mehr die Hardware-Wallet“, fährt er fort. „Es ist die Seed-Phrase: ein Blatt Papier, eine Metallplatte, eine Schublade, ein Tresor, ein Foto, das man niemals machen sollte, oder eine Phrase, die verloren gehen, beschädigt, kopiert, offengelegt oder gestohlen werden kann.“

Phishing-Angriffe zielen weiterhin direkt auf Seed-Phrasen ab, denn sobald eine Seed-Phrase kompromittiert ist, spielt der Preis oder das Sicherheitsniveau der Hardware-Wallet keine Rolle mehr.

Was schützt das Smartphone?

Tangems Mobile-First- und Hardware-gebundenes Modell umgeht OkoBot strukturell. Mobile Malware ist jedoch eine reale Bedrohungskategorie. Deshalb haben wir gefragt, wie die App selbst gegen die drei zentralen Techniken von OkoBot schützt: Fake-Overlays, Keylogging und Bildschirmaufzeichnung.

Laut Lazutkin setzt die Tangem-App auf einen vollständigen Stack von Laufzeitschutzmaßnahmen.

• Integritätsprüfungen zur Laufzeit,
• Anti-Debugging,
• Anti-Emulation,
• Root- und Jailbreak-Erkennung,
• verschlüsselte Speicherung,
• sichere Kommunikation,
• Zertifikatsvalidierung,
• WebView-Schutz,
• Tapjacking-Schutz,
• sichere Eingabeverarbeitung.

Hinzu kommen reduzierte Berechtigungen, Code-Review, Audits und automatisierte Sicherheitschecks. Drei dieser Schutzmaßnahmen zielen direkt auf die Methoden von OkoBot ab (Tapjacking, Keylogging, Videoaufzeichnung).

Tapjacking-Schutz ist die mobile Antwort auf gefälschte Overlays wie bei SeedHunter. Auf dem Smartphone bedeutet das Überschreiben eines App-Fensters, ein unsichtbares oder irreführendes Overlay darüber zu legen, sodass der Nutzer glaubt, etwas Bestimmtes zu tippen, aber tatsächlich etwas anderes autorisiert. Die Tangem-App prüft aktiv auf verdeckte Ansichten während der Nutzung, um sicherzustellen, dass keine unsichtbaren UI-Overlays sensible Bereiche der App manipulieren können. Ein Overlay-Angriff wird immer erkannt und blockiert.

Sichere Eingabeverarbeitung ist die Antwort auf Keylogger. Benutzerdefinierte Tastaturen sind ein häufiger Angriffsvektor, um Eingaben abzufangen. Die App erkennt deren Verwendung bei der Eingabe sensibler Daten. Außerdem werden Autovervollständigung, Rechtschreibprüfung, Passwortspeicherung und prädiktive Texteingabe in kritischen Feldern deaktiviert, da diese Funktionen sensible Eingaben unbemerkt zwischenspeichern oder vorschlagen und so später weitergeben könnten.

Blockierte Screenshots und Bildschirmaufnahmen sind die Antwort auf die Videoaufzeichnung durch OkoSpyware. In allen App-Bereichen, in denen sensible Daten angezeigt werden, sind Screenshots und Bildschirmaufnahmen grundsätzlich untersagt. Die Technik, mit der OkoSpyware Wallet-Fenster auf dem PC aufzeichnet, wird auf dem Smartphone durch das Betriebssystem verhindert.

All dies basiert auf Integritätsprüfungen. Die App überprüft ihren eigenen Code zur Laufzeit, um Manipulationen zu erkennen und die Ausführung potenziell schädlicher oder nicht autorisierter Versionen zu verhindern. Dies ist Teil des Konzepts Runtime Application Self-Protection. Tangem verwendet DexProtector von Licel, den gleichen Schutz, der auch von großen Banking- und Payment-Apps eingesetzt wird, und das erste Software-Schutztool, das von EMVCo für Android und iOS evaluiert und zugelassen wurde.

Risiko in der Lieferkette

OkoBot verbreitete sich über ein gefälschtes GitHub-Repository, das von Suchmaschinen indexiert und für eine gängige Softwareanfrage ganz oben gelistet wurde. Nutzer, die nach einem legitimen Tool suchten, fanden zuerst die schädliche Variante.

Außerdem wurde eine trojanisierte Abhängigkeit genutzt. Kaspersky verfolgte die finale Schadsoftware bis zu einer manipulierten protobuf.dll, die mit einem Open-Source-Tool gebündelt war. Diese Bibliothek sah identisch zur legitimen Version aus, startete nach Entschlüsselung jedoch das eigentliche Schadmodul im Hintergrund.

Wenn ein scheinbar seriöses Programm die Bibliothek lud, wurde gleichzeitig die Malware geladen. Das ist die gleiche Angriffskategorie, die schon große Softwareprojekte getroffen hat: Wird eine vertrauenswürdige Abhängigkeit vergiftet, sind alle nachgelagerten Komponenten betroffen.

Wir haben Anton Afanasyev, CISO von Tangem, gefragt, wie Tangem seine Build-Pipeline genau dagegen schützt.

„Wir setzen auf eine Kombination von Maßnahmen“, sagt er. Die erste ist, die Abhängigkeit von externer Software bei den wichtigsten Komponenten so weit wie möglich zu reduzieren. „Wir haben einige der wichtigsten externen Bibliotheken geforkt oder komplett neu geschrieben.“ Eine intern gepflegte Bibliothek kann nicht stillschweigend durch eine trojanisierte Version ersetzt werden, wie es bei einer unkontrolliert eingebundenen öffentlichen Abhängigkeit möglich wäre.

 

Die zweite Ebene ist Prozessdisziplin. „Wir haben einen sicheren Entwicklungsprozess, inklusive Schwachstellenprüfungen aller Abhängigkeiten, eines kontrollierten Update-Fensters, Code-Review und mehr.“ Dieses kontrollierte Update-Fenster ist entscheidend: Abhängigkeiten werden nicht automatisch aktualisiert, sobald eine neue Version erscheint – genau in diesem Moment kann ein kompromittiertes Paket Schaden anrichten. Updates werden gezielt geprüft und freigegeben.

Wir haben Lazutkin auch gefragt, wie Tangem sich gegen ein Szenario schützt, in dem ein bösartiges Update nicht über eine Abhängigkeit, sondern direkt über den offiziellen App-Store mit gestohlenen Entwicklerzugängen eingeschleust wird.

Damit ein solcher Angriff erfolgreich wäre, so Lazutkin, „müsste ein Angreifer unsere Entwicklerzugänge kompromittieren, MFA und interne Zugriffskontrollen umgehen, den Freigabeprozess für Releases bestehen, bösartigen Code in den offiziellen Build einschleusen, die Prüfung durch Apple oder Google überstehen, die offizielle App-Identität bewahren, Plattform-Malware-Erkennung umgehen und dabei unentdeckt bleiben – sowohl von unserem Team als auch von Monitoring-Systemen und der Open-Source-Community.“

Kampagne zur Bedrohungsüberwachung

OkoBot platzierte ein gefälschtes Repository in den Suchergebnissen und imitierte vertrauenswürdige Marken, um das Vertrauen der Nutzer zu gewinnen. Um sich gegen diese Verbreitungsstrategie zu schützen, ist ständige Überwachung erforderlich. Wir haben Afanasyev gefragt, wie Tangem gefälschte Apps, Fake-Repositories und Phishing-Seiten erkennt, die unser Branding nachahmen.

„Tangem überwacht Sicherheitsmeldungen und Nachrichtenkanäle zu Malware-Familien und Kampagnen, die für unsere Nutzer relevant sind – und ich bin persönlich für dieses Monitoring verantwortlich.“ Was Fälschungen und Nachahmungen betrifft, sagt er: „Wir überwachen verschiedene Ressourcen und inoffizielle Android-App-Stores, einschließlich GitHub.“

Phishing-Takedowns basieren auf zwei zusammenwirkenden Quellen. „Unsere Nutzer melden uns Phishing-Seiten sowie gefälschte Social-Media- und Messenger-Accounts“, so Afanasyev. Die zweite Quelle ist vertraulich. Wird eine Phishing-Ressource identifiziert, koordiniert Tangem mit den zuständigen Stellen die Entfernung.

Die kritischste Frage haben wir uns bis zum Schluss aufgehoben: Hat irgendeine bekannte Stealer- oder Spyware-Familie die Tangem-App bereits auf ihre Beobachtungsliste gesetzt, so wie OkoSpyware es mit MetaMask und Tonkeeper tut? 

„Bislang ist uns keine solche mobile Malware bekannt“, sagt Afanasyev. Er präzisiert, was es tatsächlich gibt: Auf dem Desktop haben Angreifer Kampagnen gestartet, bei denen Nutzer aufgefordert werden, eine gefälschte „Tangem Desktop“-Anwendung herunterzuladen. „Dabei handelt es sich um einfache, klassische Viren, die lediglich einen Fernzugriff auf den Computer des Opfers öffnen.“ Es handelt sich dabei nicht um gezielte Seed-Phrase-Stealer wie SeedHunter. Die Angreifer greifen auf generische Fernzugriffs-Malware zurück, weil die spezialisierte Attacke kein Ziel findet.

Fazit

SeedHunter ist ein gezielter Angriff auf ein spezifisches Design: eine Desktop-Wallet-Anwendung, die per USB mit einem physischen Gerät verbunden ist und dem Nutzer irgendwann eine Seed-Phrase anzeigt.

Tangem ist in keinem dieser drei Punkte angreifbar. Das ausgefeilteste Plugin des Frameworks steht bei einem Tangem-Nutzer buchstäblich vor verschlossenen Türen: Es sucht nach USB-Wallets, die nicht vorhanden sind. Es wartet darauf, sich in Desktop-Prozesse einzuschleusen, die es nicht gibt. Es ist bereit, eine Phrase abzufangen, die niemals aufgeschrieben wurde.

Dieses Ergebnis ist die direkte und vorhersehbare Folge einer Sicherheitsphilosophie, die Komponenten entfernt statt hinzufügt – und die das einzig wirklich Wichtige, den privaten Schlüssel, in einem Chip versiegelt hält, der dem Computer, mit dem er kommuniziert, niemals vertrauen muss.

Trotzdem gibt es echte Nutzerverantwortung. Wer eine externe Seed-Phrase in Tangem importiert und eine Papierkopie davon aufbewahrt, hat genau die Schwachstelle wieder eingeführt, auf die SeedHunter abzielt – und kann über andere Kanäle weiterhin Opfer von Phishing werden.

Quellen

• OkoBot: new sophisticated malware framework targets cryptocurrency users – Kaspersky Securelist, Juli 2026
• TookPS: the next wave – Kaspersky Securelist, April 2025
• OkoBot Malware Framework Injects Seed Phrase Phishing Into Ledger and Trezor Apps – The Hacker News, Juli 2026
• OkoBot malware targets users of software and hardware cryptocurrency wallets – HackMag
• Warum Tangem Wallet keinen Bildschirm benötigt – Tangem Blog
• Tangems Andrey Lazutkin plädiert für einfachere Hardware-Wallets – Tangem Blog
• Wie Tangem Wallet Private Keys sichert – Tangem Blog
• OWASP Mobile Application Security Testing Guide (MASTG)
• Runtime Application Self-Protection (RASP) – Wikipedia
• DexProtector von Licel – EMVCo-evaluierter Softwareschutz
• DexProtector EMVCo-evaluierte und zugelassene Lösungen – Licel
• Electron Framework – offizielle Dokumentation
   

Andrey Lazutkin ist Chief Technology Officer bei Tangem. Anton Afanasyev ist Chief Information Security Officer bei Tangem.