Eine als Relay bekannte Malware-Variante nutzt Berichten zufolge eine gefälschte KI-Meeting-Anwendung, um die Kryptowährungs-Wallets von Web3-Bewerbern ins Visier zu nehmen. Dies geht aus einem Threat-Intelligence-Bericht von SlowMist hervor. SlowMist ist ein Blockchain-Sicherheitsunternehmen, das regelmäßig Analysen von Phishing- und Wallet-Draining-Kampagnen im Krypto-Ökosystem veröffentlicht.

Sicherheitsforscher beschreiben Relay als ein Tool zum Diebstahl von Informationen, das über eine Software verbreitet wird, die Bewerbern als Interview-Programm präsentiert wird. Die Kampagne richtet sich gezielt an Personen, die Positionen im Web3-Sektor anstreben.

Social Engineering als Kernstück

Der Angriff beruht in erster Linie auf Social Engineering und nicht auf einer technischen Schwachstelle. Indem die Angreifer die Malware als Meeting- oder Interview-Tool tarnen, das ein Bewerber installieren soll, machen sie sich das Vertrauen zunutze, das in einem normalen Einstellungsprozess verankert ist. Das ultimative Ziel besteht darin, Zugriff auf die Crypto-Wallets derjenigen zu erhalten, die die Anwendung herunterladen.

Die gefälschte KI-Meeting-App dient als Einstiegspunkt für die gesamte Angriffskette. In einem Web3-Einstellungskontext werden Bewerber häufig gebeten, Interview- oder Meeting-Software herunterzuladen – eine routinemäßige Bitte, die es schwierig macht, die Aufforderung infrage zu stellen. Die rasche Verbreitung legitimer KI-gestützter Meeting- und Transkriptions-Tools in den letzten Jahren erhöht die Plausibilität einer solchen Bitte zusätzlich, da Unternehmen branchenübergreifend neue Videokonferenz- und KI-gestützte Plattformen eingeführt haben.

Da die Zielpersonen Bewerber sind, wird die Malware in einen Rekrutierungsablauf eingebettet, anstatt als unverlangter Link zu erscheinen. Ähnliche, auf Rekrutierung ausgerichtete Köder, die sich an Web3-Entwickler richten, wurden von Sicherheitsreportern im Zusammenhang mit betrügerischen Recruiter-Kampagnen in diesem Sektor dokumentiert. Auf Rekrutierung basierendes Social Engineering wurde auch in der breiteren Technologiebranche beobachtet, wo gefälschte Interviewprozesse genutzt wurden, um Malware an Softwareentwickler zu liefern. Diese Einbettung verleiht dem Download ein Maß an Legitimität, das herkömmliche Phishing-Versuche in der Regel nicht aufweisen.

Von dort an ist das erklärte Ziel das Crypto-Wallet des Bewerbers. Die konkreten Ausführungsschritte und die Mechanismen zum Entleeren der Wallet werden in der verfügbaren SlowMist-Forschung nicht im Detail beschrieben und daher hier nicht als bestätigte Tatsachen wiedergegeben.

Auswirkungen auf Web3-Einstellungen und Wallet-Sicherheit

Web3-Bewerber stellen eine besonders attraktive Zielgruppe dar, da viele von ihnen bereits Kryptowährungen besitzen und im Rahmen ihrer beruflichen Tätigkeit regelmäßig mit Wallets interagieren. Diese Überschneidung zwischen dem Bewerberpool und aktiven Wallet-Nutzern macht sie für Angreifer hochgradig attraktiv.

Auf Wallets ausgerichtete Angriffe haben schwerwiegendere Folgen als routinemäßiges Credential-Phishing. Sobald der Zugriff auf ein Wallet kompromittiert ist, können digitale Vermögenswerte direkt überwiesen werden – ein Risikomuster, das auch in Fällen wie der Klage wegen einer gefälschten iPhone-Wallet-App aufgetaucht ist, die mit einem angeblichen Bitcoin-Diebstahl in Verbindung steht. Anders als bei herkömmlichen Banktransaktionen können viele Kryptowährungs-Überweisungen nicht rückgängig gemacht werden, was bedeutet, dass erfolgreiche Wallet-Kompromittierungen häufig zu dauerhaftem Vermögensverlust führen.

Die Kombination aus gefälschten KI-Tools und rekrutierungsorientierter Sprache deutet darauf hin, dass Angreifer ihre Köder an aktuelle Technologie- und Einstellungstrends anpassen. Für Bewerber wie auch für Einstellungsteams im Krypto-Bereich lautet die praktische Empfehlung, besondere Vorsicht walten zu lassen, wenn ein nicht verifizierter Recruiter die Installation einer Interview-Software verlangt. Die Verifizierung von Software über offizielle Websites, die Nutzung separater Geräte für sensible Wallet-Operationen und die Bestätigung der Recruiter-Identität über etablierte Unternehmenskanäle gehören zu den von Sicherheitsexperten empfohlenen Standardmaßnahmen.