Ein öffentliches iOS-Projekt namens worse_query, das eine Sandbox-Escape-Schwachstelle dokumentiert, hat die Frage erneut aufgeworfen, wie sicher Krypto-Zugangsdaten auf iPhones gespeichert werden können. Die GitHub-Seite des Projekts beschreibt einen Sandbox Escape, der iOS 26.0–26.7.2 und iOS 27.2 betrifft, kennzeichnet den Code jedoch als Entwickler-Proof-of-Concept, der für sich genommen nicht nutzbar ist. Es handelt sich nicht um einen Beleg für eine aktive Kampagne zum Plündern von Wallets.

Das Projekt erscheint dennoch inmitten einer Reihe von Sicherheitsuntersuchungen, die 2026 veröffentlicht wurden und gefälschte Wallet-Apps, den Diebstahl von Wiederherstellungsphrasen und ausgeklügelte iOS-Exploits aufdeckten. Zusammen zeigen diese Fälle ein zentrales Risiko auf: Angreifer können die Informationen und Geräte ins Visier nehmen, die Kryptowährungen kontrollieren — und nicht die Blockchain selbst. Zehn Lektionen stechen hervor.

1. Proof of Concept und bestätigte Angriffe getrennt betrachten

Auf GitHub beschreibt worse_query einen Sandbox Escape für iOS 26.0 bis 26.7.2 und iOS 27.2. Ein Sandbox Escape bricht Code aus der isolierten Umgebung aus, die iOS nutzt, um Apps voneinander und von Systemressourcen zu trennen. Der Autor erklärt, der Code sei für Entwickler gedacht, für sich genommen nicht nutzbar und kein Jailbreak. Die Veröffentlichung beweist daher nicht, dass Kriminelle ihn zum Stehlen von Wallet-Zugangsdaten verwenden. Betrachten Sie solchen Code als Anlass, Sicherheitshinweise zu verfolgen — nicht als Grund zur Panik oder zur Installation von Exploit-Tools. Halten Sie das iPhone aktuell und vermeiden Sie nicht vertrauenswürdige Entwickler-Tools.

2. Sicherheitsupdates umgehend installieren

Apples Hinweis vom 28. September 2026 zu iOS 26.7.1 behob eine CoreGraphics-Schwachstelle, die bei der Verarbeitung einer bösartigen Datei die Ausführung beliebigen Codes ermöglichen konnte — also von vom Angreifer gewähltem Code auf dem Gerät. Apple erklärte, man kenne einen Bericht, wonach das Problem vor iOS 27 möglicherweise gegen spezifisch ausgewählte Einzelpersonen ausgenutzt wurde, identifizierte jedoch keine Krypto-Kampagne und keinen Wallet-Diebstahl. Dennoch kann ein kompromittiertes Telefon Wallet-Apps, E-Mails und Authentifizierungscodes offenlegen. Installieren Sie die neueste verfügbare iOS-Version für das Gerät, aktivieren Sie automatische Updates und vermeiden Sie unerwartete Dateien oder Links.

3. Wiederherstellungsphrasen nicht in Fotos speichern

Der SparkCat-Bericht von Kaspersky vom April 2026 fand eine Variante, die in seriös wirkenden Apps verborgen war. Die iOS-Version durchsucht Fotoalben nach englischsprachigen Wallet-Mnemonics. Die Forscher fanden zwei infizierte Apps im Apple App Store und eine in Google Play; der bösartige Code wurde später entfernt.

Eine Wiederherstellungsphrase ist der Hauptschlüssel zu einer Wallet: Wer sie erhält, kann die Wallet auf einem anderen Gerät wiederherstellen und das Guthaben ausgeben. Fotografieren Sie Wiederherstellungswörter niemals und speichern Sie sie weder in Screenshots, Fotos, Cloud-Alben noch in Nachrichtenanhängen. Falls eine Phrase möglicherweise von einer nicht vertrauenswürdigen App abgerufen wurde, betrachten Sie sie als kompromittiert: Erstellen Sie eine neue Wallet in einer vertrauenswürdigen Umgebung und übertragen Sie die Guthaben.

4. Den Herausgeber jeder Wallet-App überprüfen

Kaspersky identifizierte 26 betrügerische App-Store-Anwendungen, die MetaMask, Ledger, Trust Wallet, Coinbase und andere Wallets imitierten. Ihre Icons und Namen kopierten seriöse Produkte; einige boten zunächst themenfremde Funktionen wie Taschenrechner oder Spiele an. Die Kampagne erschien hauptsächlich im chinesischen App Store, in dem bestimmte offizielle Wallets nicht verfügbar waren.

Ein App-Store-Eintrag ist kein Nachweis der Echtheit. Besuchen Sie die offizielle Website des Wallet-Anbieters eigenständig und folgen Sie dem direkten Store-Link. Prüfen Sie vor dem Download den Entwicklernamen und die Schreibweise; verlassen Sie sich niemals auf das Suchranking oder ein bekanntes Logo.

5. Unbekannte Profile und Seed-Phrase-Aufforderungen ablehnen

Der FakeWallet-Technikbericht von Kaspersky erläutert, wie gefälschte Einträge Nutzer auf imitierte App-Store-Seiten umleiteten und zur Installation von Entwicklerprofilen aufforderten. Diese Profile ermöglichten die Installation von trojanisierten Wallet-Apps außerhalb des normalen Store-Prozesses, und die Malware konnte die Wiederherstellungs- und Erstellungsbildschirme von Wallets abfangen, um die Wiederherstellungsphrasen der Nutzer zu erfassen — wodurch Angreifer potenziell Zugriff auf ihr Guthaben erhielten. Solche Profile sind Apples Mechanismus zur Installation von Apps außerhalb des App Store, gedacht für die App-Entwicklung und Unternehmensverteilung statt für Verbraucherinstallationen. Die beiden Kaspersky-Berichte beschreiben dieselbe größere Kampagne aus unterschiedlichen Blickwinkeln, nicht zwei unabhängige Ausbrüche.

Installieren Sie niemals ein Profil oder ein Enterprise-Zertifikat, um eine Wallet zu erhalten, und lehnen Sie jede „Sicherheitsprüfung“ ab, die nach einer Wiederherstellungsphrase fragt.

6. Sensible Daten nicht in Notizen und QR-Bildern ablegen

Die Coruna-Untersuchung von Google vom März 2026 identifizierte fünf iOS-Exploit-Ketten mit 23 Exploits. Das Financial-Payload konnte QR-Codes in Bildern dekodieren und Apple-Notizen nach BIP39-Wortfolgen — dem standardisierten Wortlistenformat, mit dem die meisten Wallets Wiederherstellungsphrasen kodieren — oder Phrasen wie „backup phrase“ durchsuchen. Zudem zielte es auf Informationen aus zahlreichen Krypto-Wallet-Apps ab.

Speichern Sie Seed-Phrases, private Schlüssel oder Backup-QR-Codes weder in Notizen noch in Bildordnern; bewahren Sie Wiederherstellungsmaterial offline an einem sicheren physischen Ort auf. Google erklärte, Coruna funktioniere nicht gegen die neueste iOS-Version, und riet zum Update oder — falls ein Update nicht möglich war — zur Aktivierung des Sperrmodus.

7. Das gesamte Telefon schützen, nicht nur die Wallet

Der DarkSword-Bericht von Google vom 18. März beschrieb eine iOS-Exploit-Kette mit sechs Schwachstellen gegen Geräte mit iOS 18.4–18.7. Die Malware konnte Krypto-Wallet-Daten, Nachrichten, Kontakte, Fotos, Dateien und den Browserverlauf sammeln; Google identifizierte Kampagnen gegen Nutzer in Saudi-Arabien, der Türkei, Malaysia und der Ukraine. Laut Google wurden die Schwachstellen bis iOS 26.3 geschlossen, die meisten bereits früher.

Ein kompromittiertes Telefon kann mehr als eine Wallet offenlegen. Aktualisieren Sie iOS, meiden Sie verdächtige Websites und ziehen Sie den Sperrmodus — Apples optionale maximale Sicherheitseinstellung für Personen, die gezielten Angriffen ausgesetzt sind — in Betracht, wenn erhöhte Zielrisiken bestehen.

8. Ein altes iPhone nicht als Cold Storage betrachten

OneKey-Gründer Yishi Wang warnte davor, Wiederherstellungsphrasen auf älteren iPhones zu speichern — selbst wenn die Geräte gelöscht oder getrennt sind. Ein Bericht vom 1. November behandelte Schwachstellen auf Hardware-Ebene älterer Modelle und stellte zugleich fest, dass eine Ausnutzung physischen Zugang und Spezialausrüstung erfordert und diese Schwachstellen nicht automatisch jede gespeicherte Seed-Phrase offenlegen.

Der Flugmodus macht ein Telefon nicht zu einer Hardware-Wallet. Verwenden Sie ein altes iPhone nicht als alleinigen Tresor für Wiederherstellungswörter. Falls eine Seed möglicherweise kompromittiert ist, generieren Sie eine neue in einer vertrauenswürdigen Umgebung und verschieben Sie die Assets.

9. Transaktionen auf einem separaten Hardware-Bildschirm prüfen

Ein Bericht vom Juli 2026 zitierte den Chief Commercial Officer von Trezor, der Hardware-Wallets als starke Self-Custody-Option für die meisten Nutzer verteidigte. Er verwies auf den separaten Bildschirm, der es Nutzern ermöglicht, Transaktionsdetails vor der Signierung zu prüfen — wies jedoch darauf hin, dass Halter hoher Beträge möglicherweise mehrstufige Arrangements benötigen.

Hardware-Wallets sind nicht unverwundbar. Kaufen Sie über vertrauenswürdige Kanäle, überprüfen Sie die vollständige Adresse und den Betrag auf dem Gerätebildschirm, schützen Sie das Wiederherstellungsbackup und halten Sie die Firmware aktuell. Trennen Sie langfristige Bestände wo möglich vom alltäglichen Ausgeben.

10. Vor dem Senden die vollständige Adresse prüfen

Die Untersuchung von Microsoft vom Juni 2026 analysierte einen Windows-basierten Crypto-Clipper, der Clipboard-Daten überwachte, Seed-Phrases und private Schlüssel stahl und kopierte Wallet-Adressen ersetzte. Er verbreitete sich zudem über infizierte USB-Verknüpfungen und nutzte Tor für die Kommando-und-Kontrolle. Die Kampagne war keine iPhone-Malware, verdeutlicht aber ein Transferrisiko, das sich über vernetzte Geräte erstreckt.

Vergleichen Sie vor dem Senden die vollständige Zieladresse mit den vertrauenswürdigen Empfängerdaten und verlassen Sie sich nicht nur auf die ersten und letzten Zeichen. Bei großen Überweisungen senden Sie zunächst einen kleinen Testbetrag und bestätigen Sie den Eingang.

Die gemeinsamen Muster

In allen Fällen wiederholen sich drei Schwachstellen: offengelegte Wiederherstellungsphrasen, täuschende Downloads und ungeprüfte Transaktionen. iPhone-Sicherheit erfordert mehr als ein App-Passwort. Halten Sie die Software aktuell, überprüfen Sie Wallet-Quellen, speichern Sie Backups offline und bestätigen Sie Transaktionen auf einem vertrauenswürdigen Bildschirm. Da Self-Custody keinen Support bietet, der eine fehlerhafte Überweisung rückgängig macht oder eine verlorene Phrase neu generiert, sind diese Gewohnheiten faktisch die Kontosicherheit. Keine einzelne Einstellung und kein Gerät ersetzt diese Gewohnheiten.

Häufig gestellte Fragen

Ist das worse_query-Projekt ein Beleg für eine aktive Kampagne zum Wallet-Diebstahl?

Nein. Die GitHub-Dokumentation beschreibt es als Entwickler-Proof-of-Concept, der für sich genommen nicht nutzbar ist; die Veröffentlichung begründet keine aktive Kampagne zum Wallet-Diebstahl.

Können iOS-Apps wirklich Fotoalben nach Wiederherstellungsphrasen durchsuchen?

Ja. Kaspersky identifizierte eine SparkCat-Variante, die Fotoalben nach Wallet-Mnemonics durchsucht. Vermeiden Sie es, Seed-Phrases in Screenshots, Fotografien oder cloud-synchronisierten Bildern zu speichern.

Sind Wallet-Apps im App Store immer echt?

Nein. Kaspersky identifizierte 26 betrügerische Einträge, die etablierte Wallet-Marken imitierten. Überprüfen Sie den Herausgeber über die offizielle Website des Wallet-Anbieters, bevor Sie eine App installieren.

Ist ein altes, getrenntes iPhone sicher für die Speicherung von Seed-Phrases?

Nein. Das Trennen eines Geräts beseitigt weder Hardwareschwachstellen noch Risiken durch physischen Zugang. Ein altes Telefon sollte nicht der einzige Ort sein, an dem Wiederherstellungsdaten gespeichert sind.

Was soll ich tun, wenn meine Wiederherstellungsphrase möglicherweise offengelegt wurde?

Behandeln Sie die Phrase als kompromittiert. Erstellen Sie eine neue Wallet mit einer frischen Wiederherstellungsphrase in einer vertrauenswürdigen Umgebung und übertragen Sie dann die Guthaben auf deren Adressen. Verwenden Sie die offengelegte Phrase niemals wieder.