Hacker haben eine neue Methode gefunden, um Schadsoftware am Laufen zu halten, selbst wenn Sicherheitsteams versuchen, sie abzuschalten: Sie verstecken Teile ihrer Angriffsinfrastruktur auf öffentlichen Blockchain-Netzwerken. Da Blockchains per Design dauerhaft und dezentral sind, lassen sich auf dieser Grundlage aufgebaute bösartige Kampagnen erheblich schwieriger stören als jene, die von herkömmlichen Hosting-Diensten abhängen.

Wie Angreifer öffentliche Blockchains als Teil ihrer Malware-Infrastruktur nutzen

Die meisten Schadprogramme müssen „nach Hause telefonieren“, um Anweisungen zu erhalten oder gestohlene Daten zu übermitteln. Traditionell betreiben Angreifer diese Command-and-Control-Server auf konventionellen Hosting-Diensten, und Sicherheitsteams können einen bösartigen Server melden, sodass der Hosting-Anbieter ihn offline nimmt.

Der neuere Ansatz funktioniert anders. Angreifer schreiben kleine Datenmengen, etwa eine Webadresse oder eine kodierte Anweisung, direkt auf eine öffentliche Blockchain. Auf öffentlichen Chains können solche Daten in alltäglichen Transaktionen oder Smart Contracts eingebettet werden, sodass von Angreifern kontrollierte Daten neben legitimer Netzwerkaktivität liegen. Die Schadsoftware auf einer infizierten Maschine liest diese On-Chain-Daten dann aus, um zu bestimmen, wohin sie sich als Nächstes verbinden soll. Da der Blockchain-Eintrag auf tausende Computer weltweit verteilt ist, kann kein einzelnes Unternehmen ihn löschen.

Die New Jersey Cybersecurity and Communications Integration Cell hat dokumentiert, wie Botnets wie Necurs – Netzwerke infizierter Computer, die von Hackern kontrolliert werden – mehrschichtige Infrastrukturen nutzen, um widerstandsfähig zu bleiben. Blockchain-basierte Komponenten erweitern dieselbe Logik um eine weitere Ebene, die Verteidiger nicht einfach „abschalten“ können.

Blockchain-Daten sind per Design öffentlich lesbar. Diese Offenheit, die Transparenz bei Finanztransaktionen fördern soll, bedeutet auch, dass – einschließlich Schadsoftware auf dem Rechner eines Opfers – sie ohne besondere Zugangsdaten oder Konten abfragen kann.

Warum On-Chain-Malware-Infrastruktur schwieriger zu stören ist

Wenn Sicherheitsteams eine bösartige Domain oder einen Server entdecken, sieht das Standardvorgehen vor, Registrare, Hosting-Anbieter oder Internetdienstanbieter zu kontaktieren, um diese entfernen oder blockieren zu lassen. Dieser Prozess funktioniert, weil eine zentrale Partei die Ressource kontrolliert.

Öffentliche Blockchains haben kein entsprechendes Pendant. Daten, die auf Chains wie Ethereum oder Bitcoin – zwei der größten und am längsten bestehenden Blockchain-Netzwerke – geschrieben werden, bleiben so lange zugänglich, wie das Netzwerk existiert. Verteidiger können bestimmte Wallet-Adressen blockieren oder verdächtige Smart-Contract-Interaktionen auf Anwendungsebene kennzeichnen, aber die zugrunde liegenden Daten bleiben dauerhaft on-chain.

Das zwingt Sicherheitsteams zu einem anderen Ansatz. Statt die Infrastruktur selbst zu entfernen, müssen sie die Off-Chain-Komponenten identifizieren und blockieren, auf die die Schadsoftware verweist – etwa den finalen Payload-Server oder den Datenabfluss-Endpunkt. Das erfordert mehr Ebenen der Untersuchung und schnellere Reaktionszeiten.

Berichten von CryptoSlate zufolge ist Blockchain-basierte Malware-Aktivität um 440 % gestiegen, wobei KI-Tools die technische Hürde für Angreifer senken, diese Kampagnen aufzubauen und einzusetzen. Diese Verschiebung bedeutet, dass die Taktik nicht mehr auf hochentwickelte staatliche Akteure beschränkt ist; nun können auch kleinere kriminelle Gruppen sie nutzen.

Was das für Krypto-Nutzer und Sicherheitsteams bedeutet

Für alltägliche Krypto-Inhaber besteht das unmittelbarste Risiko nicht darin, dass ihre Wallet über die Blockchain selbst ins Visier genommen wird. Die größere Sorge ist, dass Schadsoftware, die über Phishing-E-Mails, gefälschte Apps oder bösartige Browser-Erweiterungen übertragen wird, Blockchain-Infrastruktur nutzen könnte, um auf einem infizierten Gerät länger aktiv zu bleiben. Eine länger andauernde Infektion gibt Angreifern mehr Zeit, Seed-Phrasen, private Schlüssel oder Zugangsdaten abzugreifen.

Vorfälle, bei denen Krypto-Nutzer über Software-Schwachstellen statt über Exploits von Hardware-Wallets ins Visier genommen wurden, zeigen, dass Social Engineering und Schadsoftware die häufigsten Angriffsvektoren bleiben – nicht direkte Protokollangriffe. Blockchain-resiliente Infrastruktur macht diese konventionellen Angriffe beständiger, sobald sie erfolgreich sind.

Für Plattformen und Sicherheitsforscher umfasst die Reaktion die Überwachung ungewöhnlicher On-Chain-Datenmuster, ihre Korrelation mit bekannten Malware-Signaturen und die Kennzeichnung zugehöriger Off-Chain-Endpunkte. Börsen und Wallet-Anbieter können beitragen, indem sie Threat Intelligence über verdächtige Contract-Adressen oder Wallet-Aktivitäten im Zusammenhang mit Malware-Kampagnen teilen.

Krypto-Nutzer können ihr persönliches Risiko senken, indem sie Betriebssysteme und Browser-Erweiterungen aktuell halten, Wallet-Software nur aus offiziellen Quellen herunterladen und jede unerwartete Aufforderung, eine Seed-Phrase einzugeben, als Warnsignal behandeln. Selbst wenn die Command-and-Control-Infrastruktur einer Malware-Kampagne blockchain-basiert und schwer zu beseitigen ist, beruht die anfängliche Infektion weiterhin auf denselben Fehlern wie immer: dem Klick auf falschen Link oder der Installation einer nicht vertrauenswürdigen Anwendung.

Die umfassendere Lehre lautet, dass die Kernstärken der Blockchain – Dauerhaftigkeit, Dezentralisierung und öffentliche Zugänglichkeit – sich gegen Nutzer wenden lassen, wenn Angreifer sie ausnutzen. Dieses Risiko zu verstehen ist der erste Schritt, sich dagegen zu verteidigen.

Hinweis: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und Digital-Asset-Märkte bergen erhebliche Risiken. Führen Sie stets eigene Recherchen durch, bevor Sie Entscheidungen treffen.