Rapid7 sagt, eine von ihr als Operation ASTERIX verfolgte Kryptowährungs-Betrugsoperation habe KI-Coding-Assistenten eingesetzt, um Krypto-Phishing-Tools und schädliche Wallet-Apps zu bauen, nachdem das Sicherheitsunternehmen die Werkzeuge des Betreibers aus einem exponierten Webverzeichnis wiederhergestellt hatte, das zum Zeitpunkt der Offenlegung noch aktiv war.

Rapid7 identifizierte ein exponiertes Webverzeichnis, das die Betrugsoperation unterstützte, und stellte Telefonnummerndatensätze, Tools zur Kontovalidierung, Phishing-Panels, Vishing-Skripte, gefälschte Wallet-Apps und Telegram-Exfiltrationscode wieder her, wie aus seinem Incident-Report hervorgeht. Für weitere Berichterstattung siehe Bitcoin’s 2 p.m. Fed Risk Signals a Bigger Hawkish Camp.

Wie Operation ASTERIX angeblich KI nutzte, um Krypto-Phishing-Tools zu bauen

Operation ASTERIX ist der von Rapid7 verwendete Name für eine einzelne Krypto-Betrugsoperation, deren gesamter Workflow auf einem falsch konfigurierten Server offengelegt wurde. Der Name stammt von der auf diesem Server gefundenen Asterisk-Telefonieplattform, die der Betreiber laut Rapid7 nutzte, um Voice-Phishing-Anrufe neben Phishing-E-Mails und gefälschten Wallet-Anwendungen zu automatisieren. Für weitere Berichterstattung siehe Deribit Stock and ETF Perpetuals Launch on August 31.

Der KI-Aspekt steht im Zentrum des Berichts. Laut Rapid7 zeigen wiederhergestellte Prompts, Shell-Historie und Projektdateien, dass KI-Coding-Assistenten eingesetzt wurden, um Electron-Anwendungen zu paketieren, Code zu verschleiern, Builds zu analysieren, Phishing-Infrastruktur anzupassen und Malware für die Verteilung vorzubereiten. Vereinfacht gesagt schien der Betreiber KI als Entwicklungshilfe über die gesamte Toolchain hinweg zu nutzen und nicht nur für eine einzelne Aufgabe.

Wichtige Punkte

• Rapid7 sagt, KI-Coding-Assistenten hätten beim Aufbau und bei der Verschleierung der Phishing- und Malware-Tools der Operation geholfen.
• Die Kampagne kombinierte Vishing über die Asterisk-Plattform mit Phishing-E-Mails und gefälschten Wallet-Apps.
• Rapid7 meldete die Infrastruktur den Behörden, einschließlich Apples Sicherheitsteam, während sie noch aktiv war.

Die schädliche Wallet-Software war die Nutzlast. Rapid7 stellte gefälschte Trezor Suite-, Ledger Live- und Exodus-Anwendungen für macOS und Windows wieder her, die darauf ausgelegt waren, Kryptowährungs-Wallets und Recovery-Phrasen von Opfern zu stehlen, die sie installiert hatten.

Die Operation investierte zudem stark in das Targeting. Der exponierte Server enthielt rund 885,000 Telefonnummern, die mit dem Betrugsworkflow verbunden waren, darunter ein deutscher Datensatz mit 316,002 Mobilnummern zur Identifizierung potenzieller Opfer.

Diese Nummern wurden nicht wahllos verwendet. Rapid7 zufolge übermittelte ein Crypto.com-Checker Telefonnummern an einen Account-Existenz-Endpunkt mit 300 gleichzeitigen Threads, Retry-Logik und rotierenden Residential Proxies, um zu bestätigen, welche Nummern vor jeder Kontaktaufnahme zu echten Nutzerkonten gehörten.

Der Validierungsschritt funktionierte. Rapid7 sagte, aus dem deutschen Datensatz seien 43,066 Konten bestätigt worden, eine Trefferquote von etwa 13.6%, die dem Betreiber zeigte, welche Ziele eine Phishing-E-Mail oder ein skriptgesteuerter Support-Anruf lohnten.

Rapid7 sagte, es habe die identifizierte Infrastruktur den zuständigen Behörden gemeldet, einschließlich Apples Sicherheitsteam, während die Operation noch aktiv war. Christiaan Beek, der mit der Offenlegung in Verbindung steht, schrieb, die Forscher hätten „auch Beweise dafür gefunden, dass KI direkt in den Entwicklungsworkflow des Angreifers eingewoben wurde“.

Die berichtete Verwendung von KI zum Auffinden und Bewaffnen von Software-Schwachstellen spiegelt aktuelle Forschung auf der anderen Seite wider, einschließlich der Offenlegung von BitBox, dass KI schwerwiegende Firmware-Schwachstellen in einer Hardware-Wallet aufgedeckt habe, was unterstreicht, wie dieselben Werkzeuge inzwischen in beide Richtungen eingesetzt werden. Für weitere Berichterstattung siehe BitBox: AI Found Severe Firmware Flaws in Bitcoin Wallet.

Warum die Operation ASTERIX für Krypto-Nutzer und Wallet-Sicherheit wichtig ist

Gefälschte Wallet-Apps gehören zu den gefährlichsten Angriffsvektoren im Krypto-Bereich, weil eine Wallet dazu dient, die Schlüssel aufzubewahren. Die gefälschten Trezor-Suite-, Ledger-Live- und Exodus-Builds waren darauf ausgelegt, Recovery-Phrasen abzugreifen, und eine gestohlene Seed-Phrase gibt einem Angreifer dauerhafte, irreversible Kontrolle über die damit gesicherten Mittel.

Die KI-Dimension ist wichtig, weil sie die Hürde senkt, überzeugende Werkzeuge in kurzer Zeit zu erstellen. Die von Rapid7 vorgelegten Belege, dass Assistenten beim Paketieren von Electron-Apps und beim Verschleiern von Code halfen, deuten darauf hin, dass ein einzelner Betreiber inzwischen plattformübergreifende Malware und Phishing-Infrastruktur zusammenstellen kann, für die früher ein Team nötig war, ein Trend, der Regulierungsbehörden beunruhigt, die bereits prüfen, wie KI-Modelle mit Krypto-Operationen verknüpft sind.

Auch die Telemetrie rahmt die Bedrohung als gezielt und nicht als Massen-Spam ein. Ein Rapid7-Panel protokollierte über etwa zwei Wochen nur eine Handvoll erfolgreicher Lead-Lookups und Phishing-E-Mails, was darauf hindeutet, dass der Validierungsschritt es Betreibern ermöglicht, ihre Bemühungen auf bestätigte Exchange-Nutzer zu konzentrieren, statt alle anzuschreiben.

Das deckt sich direkt mit Verbraucherhinweisen. In Apples Support-Material heißt es, Social-Engineering-Betrügereien nutzen häufig gefälschte E-Mails, vorgetäuschte Support-Anrufe, irreführende Pop-ups und Software-Downloads, um Anmeldedaten oder Daten zu stehlen; Nutzer sollten unaufgeforderte „Support“-Kontakte mit Misstrauen behandeln.

Für Wallet-Nutzer sind die praktischen Lehren eng und konkret: Wallet-Software nur über die verifizierten Kanäle des Anbieters herunterladen und nicht über Links aus E-Mails oder Telefonanrufen, eine Recovery-Phrase niemals in eine App eingeben, die danach fragt, und eingehende Anrufe, die sich als Exchange- oder Apple-Support ausgeben, bis zur unabhängigen Verifizierung als Phishing-Versuch behandeln. Das Interesse an KI-gestützten Krypto-Tools steigt branchenweit, wobei Plattformen wie Coinbase Base Projekte für KI-Agenten finanzieren, was es für alltägliche Nutzer schwieriger macht, legitime Apps von überzeugenden Fälschungen zu unterscheiden.

Dieser Beitrag ist eine Nachrichtenanalyse der Offenlegung durch Rapid7 und kein vollständiger Incident-Response-Leitfaden. Rapid7 veröffentlichte in den bereitgestellten Materialien keine bestätigte Gesamtsumme gestohlener Mittel und keine Opferzahl, und bis zur Veröffentlichung war keine öffentliche regulatorische Einreichung bekannt, die speziell mit Operation ASTERIX verknüpft war.

Haftungsausschluss: Dieser Artikel dient nur zu Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und digitale Vermögensmärkte sind mit erheblichen Risiken verbunden. Führen Sie vor Entscheidungen immer Ihre eigene Recherche durch.