CrowdStrike und das US-Justizministerium haben das Sality-Botnetz gestört und mehr als 15.000 infizierte Maschinen isoliert, die zur Verbreitung schädlicher Nutzlasten genutzt worden waren. Sality ist seit 2003 aktiv und lieferte in den vergangenen acht Jahren vor allem EggJagger aus, ein Werkzeug, das kopierte Kryptowährungs-Wallet-Adressen überwachte und durch Adressen ersetzte, die von seinem Betreiber kontrolliert wurden.

Die Operation zielte auf eine gravierende Schwachstelle in Zahlungsabläufen mit Kryptowährungen. Wenn Malware eine Adresse ändert, bevor eine Zahlung abgeschlossen ist, können Gelder an einen anderen Empfänger umgeleitet werden. CrowdStrike schätzt, dass EggJagger allein für mindestens 12,1 Millionen Rubel, oder rund 150.000 Dollar, an gestohlener Kryptowährung verantwortlich war.

Today the @FBI , @TheJusticeDept , and the Defense Criminal Investigative Service (DCIS) announced a multinational operation with actions in the United States and Europe to disrupt the botnet known as Sality. Since 2003, the Sality botnet has installed malware on compromised… pic.twitter.com/HNIY3oCGYr — FBI Cyber Division (@FBICyberDiv) September 1, 2026

Today the @FBI , @TheJusticeDept , and the Defense Criminal Investigative Service (DCIS) announced a multinational operation with actions in the United States and Europe to disrupt the botnet known as Sality.

Since 2003, the Sality botnet has installed malware on compromised… pic.twitter.com/HNIY3oCGYr

— FBI Cyber Division (@FBICyberDiv) September 1, 2026

Sality wurde erstmals 2003 beobachtet und entwickelte sich später zu einem Peer-to-Peer-Botnetz. Anstatt sich auf einen zentralen Command-and-Control-Server zu stützen, kommunizierten infizierte Maschinen direkt miteinander. Die Malware verbreitete sich außerdem, indem sie sich an ausführbare Dateien anhängte, die über Netzwerkfreigaben, Wechselmedien und Dateifreigaben geteilt wurden.

Laut CrowdStrike bestand Salitys technische Rolle darin, zusätzliche Schadprogramme auf infizierte Maschinen zu verteilen. In den vergangenen acht Jahren wurde EggJagger zu seiner primären Nutzlast.

Das Clipjacking-Tool überwachte die Zwischenablage eines Opfers auf Kryptowährungs-Wallet-Adressen und ersetzte sie unbemerkt durch eine vom Betreiber kontrollierte Adresse. Wer beim Bezahlen eine Bitcoin- oder Ethereum-Adresse kopiert, konnte dadurch erleben, dass Gelder an einen anderen Empfänger umgeleitet wurden.

Dieser Mechanismus unterscheidet sich von einem Börsenangriff oder einem Smart-Contract-Exploit. Er betraf das Gerät und die Zwischenablage im Prozess der Vorbereitung einer Kryptowährungszahlung und nicht einen Angriff auf die Blockchain selbst.

Was die Zerschlagung belegt – und was nicht

Das Counter Adversary Operations-Team von CrowdStrike nutzte Salitys Peer-to-Peer-Design gegen das Botnetz. Die Operation manipulierte Peer-Listen, indem legitime Peers entfernt und von CrowdStrike kontrollierte Sinkholes eingefügt wurden. Dadurch wurden infizierte Maschinen von der Kontrolle des Betreibers isoliert und das Botnetz konnte keine neuen Aufträge mehr empfangen.

Das US-Justizministerium, das FBI und der Defense Criminal Investigative Service gingen in den Vereinigten Staaten gegen mit Sality verbundene Infrastruktur vor. Strafverfolgungspartner in Bulgarien, Ungarn und Rumänien unterstützten entsprechende Maßnahmen in Europa. Die Shadowserver Foundation arbeitet mit Internetanbietern zusammen, um Opfer zu benachrichtigen.

CrowdStrike ordnet den Betreiber als SALTY SPIDER ein. Das Unternehmen erklärte, die gestohlene Kryptowährung sei größtenteils ungenutzt geblieben; das Portfolio erreichte im Januar 2025 einen Höchstwert von etwa 147 Millionen Rubel, nominal rund 1,35 Millionen Dollar.

Die Unterbrechung des Kontrollkanals des Betreibers entfernt die Malware nicht von kompromittierten Systemen. CrowdStrike sagte, dass sich bereits auf infizierten Maschinen vorhandene Malware so lange weiter aktiv verhält, bis sie entfernt wird, weshalb betroffene Systeme weiterhin bereinigt werden müssen.

Warum der Diebstahl für Krypto-Nutzer wichtig ist

Die bestätigte Diebstahlsumme von EggJagger betrifft nur eine Payload-Familie, doch der Mechanismus zeigt, wie Malware einen normalen Zahlungsablauf stören kann. Eine kopierte Adresse kann aus einer legitimen Quelle stammen, während der Inhalt der Zwischenablage auf einem infizierten Gerät verändert wird, bevor eine Transaktion abgeschlossen ist.

Die mehr als 15.000 während der Operation isolierten Maschinen verdeutlichen das Ausmaß der von CrowdStrike adressierten Infrastruktur. Im Zentrum des Falls steht das Austauschen von Zwischenablageinhalten: Malware überwachte Kryptowährungs-Wallet-Adressen und ersetzte sie durch vom Betreiber kontrollierte Adressen, wodurch Zahlungen von infizierten Computern umgeleitet wurden.

Bitcoin und die Sality-Störung

Der Marktumfeld von Bitcoin und die Sality-Operation sind getrennte Themen. Das Botnetz nutzte Kryptowährungsadressen im Rahmen seines Diebstahlschemas, doch die Informationen zur Störung belegen keinen Zusammenhang zwischen der Operation und der Kursentwicklung von Bitcoin.

Die Zerschlagung ist vielmehr eine Cybersicherheitsentwicklung, die die Sicherheit von Zahlungsabläufen auf kompromittierten Geräten betrifft. Ihre unmittelbare Wirkung bestand laut CrowdStrike darin, infizierte Maschinen zu isolieren, sodass der Betreiber nicht mehr mit ihnen kommunizieren oder neue Anweisungen erteilen konnte.

Für Kryptowährungsnutzer liegt das zentrale Risiko nicht in einer Änderung der zugrunde liegenden Blockchain. Es besteht vielmehr darin, dass Malware auf einem Gerät Zahlungsinformationen während eines Transaktionsablaufs verändern kann. Dass die Malware auf den betroffenen Maschinen weiterhin vorhanden ist, bedeutet zudem, dass die Störung diese Systeme nicht selbst bereinigt hat.

Folgen Sie 99Bitcoins auf X für die neuesten Marktupdates und abonnieren Sie YouTube für tägliche Expertenanalysen des Marktes.