Im Juli 2026 veröffentlichte das Global Research and Analysis Team von Kaspersky eine Analyse eines Malware-Frameworks namens OkoBot. Dieses Framework ist seit über einem Jahr aktiv und war auch zum Zeitpunkt der Veröffentlichung noch im Einsatz. OkoBot ist ein Toolkit mit mehr als 20 Schadprogrammen, das Windows-Rechner infiziert, einen versteckten Fernzugriffskanal öffnet und dann spezialisierte Plugins für bestimmte Aufgaben ausrollt.
Kaspersky dokumentierte zwei Hauptinfektionswege der Malware: einen "ClickFix"-Social-Engineering-Angriff und Schadsoftware, die in von GitHub heruntergeladener Software versteckt ist. Ein Beispiel war ein gefälschtes SQL Server Management Studio-Paket, das in Wirklichkeit der echte Audacity Audio-Editor mit einer bösartigen Bibliothek war. Es erschien ganz oben in den Suchergebnissen, wirkte dadurch seriös und gewann das Vertrauen der Nutzer.
Sobald ein Nutzer auf den Köder hereinfällt, installiert ein PowerShell-Skript namens TookPS einen SSH-Tunnel zurück zum Angreifer. Ein automatisierter Bot sammelt dann Wallet-Dateien, Browser-Cookies und Zugangsdaten und öffnet heimlich die Tür für weitere Schadprogramme.
Eines dieser Schadprogramme stach besonders hervor: Kaspersky nennt es SeedHunter, entwickelt mit einem einzigen Ziel – die Wiederherstellungsphrasen von Hardware-Wallet-Nutzern zu stehlen. Wir haben den Bericht genau gelesen und anschließend die beiden Verantwortlichen für die Sicherheit bei Tangem direkt gefragt: Kann SeedHunter gegen Tangem funktionieren?
Was SeedHunter eigentlich macht
SeedHunter überwacht kontinuierlich die Liste der laufenden Prozesse auf einem infizierten Windows-PC. Gesucht werden gezielt drei Anwendungen: Trezor Suite, Ledger Live und Ledger Wallet. Wird eine davon gefunden, injiziert SeedHunter eigenen Code in diesen Prozess.
Diese Desktop-Wallet-Apps basieren auf Electron, einem Framework, das Webseiten in Desktop-Anwendungen einbettet. SeedHunter klinkt sich in die internen Electron-Funktionen ein und kann so unbemerkt manipulieren, was die App anzeigt. Das Wallet-Fenster wird so zur Leinwand des Angreifers.
Die Malware scannt regelmäßig nach USB-Geräten, gefiltert nach Vendor ID und Product ID, und wartet darauf, dass ein echtes Trezor- oder Ledger-Gerät eingesteckt wird. Kaspersky fand heraus, dass die Malware entweder auf ein "Go"-Signal vom Command-Server wartet oder sofort zuschlägt, je nach empfangenem Flag.
Sobald ein Gerät erkannt wird, zeigt die Malware eine fest programmierte Phishing-Seite innerhalb der vertrauenswürdigen App an – mit jeweils angepasstem Layout für jede Wallet-Marke. Die Seite fordert den Nutzer auf, die Seed-Phrase zur "Wiederherstellung" oder "Verifizierung" des Wallets einzugeben.
Der Nutzer glaubt, in seiner echten Wallet-Software zu tippen, weil das eigene Gerät eingesteckt ist. Gibt er die Phrase ein, fängt die Malware sie ab, sendet sie an einen Command-Server und speichert zusätzlich eine verschlüsselte lokale Kopie. Die Gelder werden dann nach Belieben des Angreifers abgezogen.
OkoBots weitere Plugins erweitern das Angriffsspektrum erheblich. OkoSpyware erstellt eine Liste von über 100 Zielanwendungen, darunter Wallets wie Exodus und Passwortmanager wie 1Password und KeePassXC, zeichnet dann Videos der jeweiligen Fenster mit einer mitgelieferten FFmpeg-Version auf und protokolliert jede Tasteneingabe.
Das Bild, das Kaspersky zeichnet, ist das einer vollständigen Überwachung des infizierten Rechners – mit einer gezielten Seed-Phrase-Falle im Zentrum.
Wenn es für den Angreifer nichts zu holen gibt
SeedHunter benötigt vier Bedingungen, um erfolgreich zu sein. Bei einer Standardkonfiguration von Tangem sind alle vier nicht erfüllt.
Es braucht eine Seed-Phrase zum Phishing. Das ist die Grundlage des gesamten Angriffs. Im Standardmodell von Tangem wird der private Schlüssel im zertifizierten Secure Element der Karte generiert und verlässt dieses nie. Wenn der Nutzer keine Seed-Phrase besitzt, gibt es nichts, wonach eine Phishing-Seite fragen könnte.
Zweitens braucht es eine Desktop-App zum Injizieren. SeedHunter zielt auf drei spezifische Windows-Prozesse ab, allesamt Electron-Desktop-Apps. Tangem bietet keine Desktop-Anwendung.
Drittens braucht es ein USB-Gerät zum Erkennen. Der Auslöser der Malware ist ein USB-Scan nach bekannten Vendor- und Product-IDs von Wallet-Hardware. Tangem-Karten kommunizieren per NFC durch Antippen mit dem Smartphone.
Viertens braucht es einen glaubwürdigen Vorwand. Ledger- und Trezor-Nutzer kennen Wiederherstellungs- und Verifizierungsprozesse in ihren Apps, daher erscheint eine entsprechende Eingabeaufforderung plausibel. Im Standardablauf von Tangem wird der Nutzer jedoch nie aufgefordert, eine Wiederherstellungsphrase einzugeben. Man scannt seine Karte oder seinen Ring und gibt biometrische Daten oder den Zugangscode ein. Eine Aufforderung zur Eingabe einer Seed-Phrase wäre für Tangem-Nutzer ein klares Warnsignal.
Andrey Lazutkin, CTO von Tangem, sieht die Seed-Phrase selbst als die strukturelle Schwachstelle, auf die solche Angriffe abzielen.
„Wenn Menschen eine Hardware-Wallet kaufen, erwarten sie, dass das Gerät ihre privaten Schlüssel schützt. In vielen klassischen Wallets zeigt das Gerät dem Nutzer jedoch zuerst die Seed-Phrase an und gibt die Verantwortung damit an ihn zurück.“
„Von diesem Moment an ist das schwächste Glied nicht mehr die Hardware-Wallet“, fährt er fort. „Es ist die Seed-Phrase: ein Blatt Papier, eine Metallplatte, eine Schublade, ein Tresor, ein Foto, das man niemals machen sollte, oder eine Phrase, die verloren gehen, beschädigt, kopiert, offengelegt oder gestohlen werden kann.“
Phishing-Angriffe zielen auch weiterhin direkt auf Seed-Phrasen ab, denn sobald eine Seed-Phrase kompromittiert ist, spielt der Preis oder das Sicherheitsniveau der Hardware-Wallet keine Rolle mehr.
Was schützt das Smartphone?
Das mobile, hardwarebasierte Modell von Tangem umgeht OkoBot strukturell. Mobile Malware ist jedoch eine reale Bedrohungskategorie. Wir haben daher gefragt, wie die App selbst den drei Kerntechniken von OkoBot begegnet: gefälschte Overlays, Keylogging und Bildschirmaufnahmen.
Laut Lazutkin setzt die Tangem-App auf einen vollständigen Stack an Laufzeitschutzmechanismen.
Laufzeit-Integritätsprüfungen,
Anti-Debugging,
Anti-Emulation,
Root- und Jailbreak-Erkennung,
verschlüsselte Speicherung,
gesicherte Kommunikation,
Zertifikatsvalidierung,
WebView-Schutz,
Tapjacking-Schutz,
sichere Eingabeverarbeitung.
Hinzu kommen minimierte Berechtigungen, Code-Reviews, Audits und automatisierte Sicherheitsprüfungen. Drei dieser Schutzmaßnahmen adressieren direkt die Methoden von OkoBot (Tapjacking, Keylogging, Videoaufzeichnung).
Tapjacking-Schutz ist die Antwort auf gefälschte Bildschirme wie bei SeedHunter. Auf dem Smartphone entspricht das Überschreiben eines App-Fensters dem Einblenden eines unsichtbaren oder irreführenden Overlays, sodass der Nutzer glaubt, auf etwas zu tippen, während tatsächlich eine andere Aktion ausgelöst wird. Die Tangem-App prüft aktiv auf verdeckte Ansichten während der Nutzerinteraktion, damit keine unsichtbaren UI-Overlays sensible Bereiche der App beeinflussen können. Ein Overlay-Angriff wird immer erkannt und blockiert.
Sichere Eingabeverarbeitung schützt vor Keyloggern. Benutzerdefinierte Tastaturen sind ein häufiger Angriffsvektor, daher erkennt die App deren Einsatz bei sensiblen Eingaben. Außerdem werden Autovervollständigung, Rechtschreibprüfung, Passwortspeicherung und Texterkennung in kritischen Feldern deaktiviert, da diese Funktionen sensible Eingaben unbemerkt zwischenspeichern oder vorschlagen und später preisgeben könnten.
Blockierte Screenshots und Bildschirmaufnahmen verhindern Videoaufzeichnungen wie durch OkoSpyware. In allen App-Bereichen, in denen sensible Daten angezeigt werden, sind Screenshots und Bildschirmaufnahmen grundsätzlich untersagt. Die Technik, mit der OkoSpyware Wallet-Fenster auf dem PC filmt, wird auf dem Smartphone bereits auf Betriebssystemebene unterbunden.
OkoBot verbreitete sich über ein gefälschtes GitHub-Repository, das von Suchmaschinen indiziert und für gängige Softwareanfragen ganz oben gelistet wurde. Nutzer, die nach einem legitimen Tool suchten, stießen zuerst auf die Schadsoftware.
Auch eine trojanisierte Abhängigkeit wurde genutzt. Kaspersky konnte die finale Schadsoftware auf eine manipulierte protobuf.dll zurückführen, die mit einem Open-Source-Tool gebündelt war. Sie sah aus wie die echte Bibliothek, startete aber nach Entschlüsselung im Hintergrund das eigentliche Schadmodul.
Wurde ein scheinbar seriöses Programm mit dieser Bibliothek geladen, wurde auch die Malware aktiviert. Das ist die gleiche Angriffskategorie, die schon große Softwareprojekte getroffen hat: Wird eine vertrauenswürdige Abhängigkeit vergiftet, sind alle nachgelagerten Projekte betroffen.
Wir haben Anton Afanasyev, CISO von Tangem, gefragt, wie Tangem die eigene Build-Pipeline gegen genau dieses Risiko schützt.
„Wir setzen auf eine Kombination verschiedener Maßnahmen“, erklärt er. Die erste ist, die Abhängigkeit von externer Software für die wichtigsten Komponenten zu reduzieren. „Wir haben einige der wichtigsten externen Bibliotheken geforkt oder selbst neu geschrieben.“ Eine intern gepflegte Bibliothek kann nicht so einfach unbemerkt gegen eine trojanisierte Version ausgetauscht werden wie eine öffentlich bezogene Abhängigkeit.
Die zweite Ebene ist Prozessdisziplin. „Wir haben einen sicheren Entwicklungsprozess mit Schwachstellenprüfungen aller Abhängigkeiten, einem kontrollierten Update-Fenster, Code-Reviews und so weiter.“ Gerade das kontrollierte Update-Fenster ist entscheidend: Abhängigkeiten werden nicht automatisch aktualisiert, sobald eine neue Version erscheint – genau dann können kompromittierte Pakete Schaden anrichten. Updates werden gezielt geprüft und freigegeben.
Wir haben Lazutkin auch gefragt, wie sich ein bösartiges Update verhindern lässt, das nicht über eine Abhängigkeit, sondern über den offiziellen App Store mit gestohlenen Entwickler-Zugangsdaten eingespielt wird.
Dafür müsste ein Angreifer, so Lazutkin, „unsere Entwickler-Zugangsdaten kompromittieren, MFA und interne Zugriffskontrollen überwinden, den Freigabeprozess passieren, bösartigen Code in den offiziellen Build einschleusen, Apples oder Googles Prüfung bestehen, die offizielle App-Identität beibehalten, Plattform-Malware-Erkennung umgehen und dabei unbemerkt von unserem Team, unseren Überwachungssystemen und der Open-Source-Community bleiben.“
Kampagne zur Bedrohungsüberwachung
OkoBot brachte ein gefälschtes Repository in die Suchergebnisse und imitierte bekannte Marken, um Nutzervertrauen zu gewinnen. Um sich gegen diese Verbreitungsstrategie zu schützen, ist ständiges Monitoring erforderlich. Wir fragten Afanasyev, wie Tangem gefälschte Apps, Repositories und Phishing-Seiten erkennt, die unser Branding nachahmen.
„Tangem beobachtet Sicherheitsmeldungen und Threat-Intelligence-Kanäle zu Malware-Familien und Kampagnen, die für unsere Nutzer relevant sind. Diese Überwachung verantworte ich persönlich.“ Was Fälschungen und Markenmissbrauch betrifft, so „überwachen wir verschiedene Ressourcen und inoffizielle Android-App-Stores, einschließlich GitHub.“
Phishing-Takedowns laufen über zwei sich ergänzende Kanäle. „Unsere Nutzer melden uns Phishing-Seiten sowie gefälschte Social-Media- und Messenger-Accounts“, erklärt Afanasyev. Die zweite Quelle bleibt vertraulich. Wird eine Phishing-Ressource identifiziert, koordiniert Tangem mit entsprechenden Stellen die Entfernung.
Die letzte und vielleicht wichtigste Frage: Wurde die Tangem-App bereits von bekannten Stealer- oder Spyware-Familien ins Visier genommen, wie OkoSpyware es mit MetaMask und Tonkeeper macht?
„Bislang ist uns keine solche mobile Malware bekannt“, sagt Afanasyev. Eine Ausnahme gibt es jedoch: Auf dem Desktop haben Angreifer Kampagnen gestartet, bei denen Nutzer zum Download einer gefälschten „Tangem Desktop“-Anwendung verleitet werden. „Dabei handelt es sich um einfache, klassische Viren, die lediglich einen Fernzugriff auf den Rechner öffnen.“ Es handelt sich also nicht um gezielte Seed-Phrase-Stealer wie SeedHunter. Die Angreifer greifen auf generische Remote-Access-Malware zurück, weil der spezialisierte Angriff kein Ziel findet.
Fazit
SeedHunter ist ein gezielter Angriff auf ein bestimmtes Design: eine Desktop-Wallet-Anwendung, die über USB mit einem physischen Gerät verbunden ist und dem Nutzer irgendwann eine Seed-Phrase anzeigt.
Tangem ist in keinem dieser drei Punkte angreifbar. Das ausgefeilteste Plugin des Frameworks steht bei einem Tangem-Nutzer sprichwörtlich vor verschlossener Tür. Es sucht nach USB-Wallets, die nicht existieren. Es wartet auf Desktop-Prozesse, die es nicht gibt. Es ist bereit, eine Phrase abzugreifen, die nie aufgeschrieben wurde.
Dieses Ergebnis ist die direkte und vorhersehbare Folge einer Sicherheitsphilosophie, die Komponenten entfernt statt hinzufügt – und das einzig entscheidende Element, den privaten Schlüssel, in einem Chip versiegelt, der dem verbundenen Computer niemals vertrauen muss.
Dennoch bleibt Eigenverantwortung gefragt: Wer eine externe Seed-Phrase in Tangem importiert und eine Papierkopie davon aufbewahrt, hat genau die Schwachstelle wieder eingeführt, auf die SeedHunter abzielt – und kann über andere Kanäle weiterhin Opfer von Phishing werden.
Andrey Lazutkin ist Chief Technology Officer bei Tangem. Anton Afanasyev ist Chief Information Security Officer bei Tangem.
Fragen Sie die KI, ob Tangem zu Ihren Bedürfnissen passt
Recherchieren Sie die Tangem Wallet mit KI, um herauszufinden, ob unsere Sicherheit und Benutzerfreundlichkeit zu Ihren individuellen Anwendungsfällen passen
Fragen Sie die KI, ob Tangem zu Ihren Bedürfnissen passt
Recherchieren Sie die Tangem Wallet mit KI, um herauszufinden, ob unsere Sicherheit und Benutzerfreundlichkeit zu Ihren individuellen Anwendungsfällen passen
Oder öffnen Sie es in
Noch unentschlossen?
Entdecken Sie die Grundlagen, vergleichen Sie die verschiedenen Optionen oder sparen Sie Geld, wenn Sie bereit sind, Tangem zu kaufen.
