Ein fingiertes Vorstellungsgespräch auf LinkedIn kostete ein Unternehmen letztlich US$11,8 Millionen, nachdem ein angeblicher Recruiter einen in Singapur ansässigen Mitarbeiter direkt in eine Malware-Falle geführt hatte. Der Krypto-Jobbetrug in Singapur entfaltete sich in Phasen, die sich zunächst ganz normal anfühlten – eine LinkedIn-Nachricht, ein paar Videoanrufe, ein Coding-Test – bevor er sich laut der Singapore Police Force und der Cyber Security Agency of Singapore zu einem vollständigen Einbruch in die Unternehmensinfrastruktur und einem Kryptowährungsraub auswuchs.
Summary
Wichtigste Erkenntnisse
- Ein Opfer wurde auf LinkedIn von einem Betrüger kontaktiert, der sich als Recruiter für ein krypto-bezogenes Unternehmen ausgab, und anschließend durch einen fingierten Bewerbungsprozess geführt.
- Eine gefälschte Domain und ein manipulierter technischer Test installierten unbemerkt Malware auf dem vom Unternehmen ausgegebenen Gerät des Opfers.
- Die Malware erbeutete ein Sitzungstoken, wodurch die Angreifer die Multi-Faktor-Authentifizierung umgehen und in das Bitbucket-Code-Repository-Konto des Opfers eindringen konnten.
- Von Bitbucket aus veränderten die Angreifer Deployment-Anweisungen, drangen in die internen Server des Unternehmens ein und umgingen Transaktionskontrollen, um Kryptowährungen im Wert von US$11,8 Millionen zu stehlen.
- Die Behörden in Singapur haben den Angriff weder mit Nordkorea noch mit einer anderen namentlich bekannten Hackergruppe in Verbindung gebracht.
Krypto-Jobbetrug in Singapur führt zu Verlust von 11,8 Millionen US-Dollar
Der Betrug begann mit einer Nachricht, die wie ein gewöhnliches Recruiting-Angebot aussah. SPF und CSA erklärten, das Opfer sei zunächst auf LinkedIn von jemandem kontaktiert worden, der vorgab, für ein kryptowährungsbezogenes Unternehmen zu rekrutieren, womit ein Bewerbungsprozess begann, der Außenstehenden schließlich Zugang zum Arbeitgeber des Opfers verschaffte.
Ein LinkedIn-Vorstellungsgespräch, das keines war
Sobald das Gespräch LinkedIn verlassen hatte, wechselte der falsche Recruiter zu E-Mail und nutzte dabei eine gefälschte Domain, die der echten Adresse des Unternehmens stark ähnelte. Das Opfer absolvierte daraufhin mehrere Vorstellungsgespräche über Google Meet – bemerkenswert war dabei, dass die durchführende Person die Kamera während des gesamten Prozesses ausgeschaltet ließ. Im weiteren Verlauf wurde das Ziel auf eine gefälschte Website geleitet und angewiesen, auf einem vom Unternehmen ausgegebenen Gerät einen technischen Coding-Test zu absolvieren. Diese Prüfung lieferte heimlich Schadsoftware auf das Gerät, und das Opfer hatte keine Ahnung, dass das Gerät kompromittiert worden war.
Malware umgeht MFA und erreicht Bitbucket und Unternehmensserver
Nach der Installation erbeutete die Malware das Sitzungstoken des Opfers – ein Datenelement, das es den Angreifern ermöglichte, die Multi-Faktor-Authentifizierung vollständig zu umgehen. Diese Umgehung der Multi-Faktor-Authentifizierung öffnete die Tür zum Bitbucket-Konto des Opfers, das direkt mit dem Code-Repository des Arbeitgebers verknüpft war. Da Bitbucket von Entwicklungsteams weit verbreitet genutzt wird, um Quellcode zu speichern, zu verwalten und gemeinsam daran zu arbeiten, kann ein einziges kompromittiertes Mitarbeiterkonto mit den richtigen Berechtigungen weit mehr als nur ein einzelnes Gerät exponieren.
Von dort aus eskalierte der Einbruch schnell. SPF und CSA erklärten, die Angreifer hätten nach dem Eindringen in das Bitbucket-Konto die automatisierten Software-Deployment-Anweisungen des Unternehmens verändert und diesen Zugang anschließend genutzt, um aus der Ferne auf die internen Server des Unternehmens zuzugreifen – und damit einen als Jobbetrug-Phishing begonnenen Versuch in einen ausgewachsenen Bitbucket-Kompromittierungsangriff auf die Infrastruktur des Unternehmens verwandelt.
Der finale Schlag erfolgte über die unterwegs gesammelten Zugangsdaten. Diese gestohlenen Zugangsdaten ermöglichten es den Angreifern, die Transaktionslimits und Genehmigungsprüfungen zu umgehen, die eigentlich Überweisungen von Kryptowährungen kontrollieren sollten, und sie nutzten diesen Zugang, um Gelder aus dem Unternehmen abzuziehen. Der Gesamtschaden: US$11,8 Millionen Verlust, wie die Behörden bestätigten.
Ein bekanntes Vorgehen in der gesamten Krypto-Branche
Dies ist keine isolierte Vorgehensweise. Rekrutierungsbezogene Angriffe haben wiederholt auf vertrauenswürdige Plattformen – LinkedIn, Telegram, Google Meet, Slack – gesetzt, um den Erstkontakt legitim wirken zu lassen, bevor die Ziele zu bösartigen Dateien oder Software gedrängt werden. Genau das macht diese Art von Kryptowährungs-Recruiting-Betrug so effektiv: Er nutzt berufliches Vertrauen aus, statt anfangs eine technische Schwachstelle auszunutzen.
Im April nutzte eine Obsidian-Malware-Kampagne LinkedIn und Telegram, um Fachleute aus Krypto- und Finanzbranche anzusprechen und sie davon zu überzeugen, bösartige Plugins für die legitime Notiz-App Obsidian zu installieren. Elastic Security Labs identifizierte die Malware als PHANTOMPULSE und stellte fest, dass sie drei Blockchain-Netzwerke nutzte, um Befehle zu empfangen und Persistenz aufrechtzuerhalten. Im selben Zeitraum meldete der Wallet-Dienst Zerion einen Sicherheitsvorfall in Höhe von $100.000, der aus einer länger andauernden Social-Engineering-Kampagne resultierte, die nordkoreanischen Angreifern zugeschrieben wurde. Forschende bei Security Alliance brachten die Kampagne mit 164 bösartigen Domains in Verbindung, die genutzt wurden, um über Slack und LinkedIn in Krypto-Unternehmen einzudringen. Zerion erklärte, die Angreifer hätten die menschliche Seite der Abläufe ins Visier genommen, anstatt die Wallet-Technologie direkt zu kompromittieren.
Nordkoreas UNC4899 und andere recruiterbasierte Angriffe
Die Behörden in Singapur haben den Verlust von US$11,8 Millionen weder Nordkorea noch einer anderen Hackergruppe zugeschrieben. Die Taktiken spiegeln jedoch ein Muster wider, das bereits von Akteuren mit mutmaßlichem Nordkorea-Bezug genutzt wurde. Google Cloud und Wiz berichteten 2025, dass eine Gruppe namens UNC4899, auch TraderTraitor genannt, Mitarbeiter von Krypto-Unternehmen über LinkedIn und Telegram kontaktierte, sich dabei als Recruiter ausgab und einige dazu brachte, bösartige Docker-Container auszuführen, die Downloader und Backdoors installierten. In mindestens einem Fall deaktivierte die Gruppe laut Google die Multi-Faktor-Authentifizierung auf einem privilegierten Google-Cloud-Konto, um auf Wallet-bezogene Dienste zuzugreifen. Die Gruppe soll seit 2020 aktiv sein und sich stark auf Krypto- und Blockchain-Unternehmen konzentrieren.
Entwicklungsumgebungen erweisen sich in all diesen Fällen immer wieder als Schwachstelle. Eine im Mai entdeckte TrapDoor-Kampagne kompromittierte GitHub-Tokens, SSH-Schlüssel und Cloud-Zugangsdaten zusätzlich zu Kryptowallet-Daten – und ermöglichte es Bedrohungsakteuren so, über eine einzige kompromittierte Entwickler-Workstation mehrere Formen des Systemzugriffs zu erlangen. Eine fingierte Interviewkampagne im Dezember 2024 wiederum sprach Web3-Fachleute über LinkedIn, Telegram und Freelancer-Plattformen an und lenkte sie später auf eine Videoaufgabe, bei der ein angeblicher Mikrofon- oder Kamerafehler die Opfer dazu brachte, Befehle auszuführen, die ihre Geräte für Angreifer öffneten. Die On-Chain-Ermittlerin Taylor Monahan erklärte damals, dass das Ausführen dieser Befehle Angreifern allgemeinen Zugriff auf ein Gerät verschaffen könne, wodurch sich Möglichkeiten zum Datendiebstahl, zur Überwachung von Aktivitäten oder zur Kompromittierung von Krypto-Wallets ergäben.
Wie Unternehmen laut Behörden in Singapur reagieren sollten
Nach dem Vorfall forderten SPF und CSA Unternehmen und Privatpersonen – insbesondere in der Tech- und Krypto-Branche – dazu auf, die Identität von Recruitern zu verifizieren sowie die Unternehmen, die sie angeblich vertreten, zu überprüfen, bevor jobbezogene Dateien, Websites oder Software geöffnet werden. Unternehmen wurden außerdem angewiesen, API-Schlüssel und interne Zugangsdaten zu schützen, die Multi-Faktor-Authentifizierung zu stärken und insbesondere Code-Repositories und Deployment-Pipelines zu sichern, da der Zugriff auf diese Systeme es einem einzigen kompromittierten Gerät ermöglichen kann, in die unternehmensweite Infrastruktur vorzudringen.
Isolieren, widerrufen, zurücksetzen
Für Unternehmen, die einen bereits erfolgten Einbruch vermuten, rieten die Behörden, betroffene Geräte oder Systeme sofort zu isolieren, aktive Sitzungen zu widerrufen und Zugangsdaten unverzüglich zurückzusetzen. Zugriffsprotokolle sollten auf Anzeichen überprüft werden, dass Angreifer weitere Konten oder Infrastruktur erreicht haben, und Teams sollten verifizieren, ob Repositories, Server oder Genehmigungs-Workflows während der Kompromittierung verändert wurden. Interne Sicherheitsteams oder externe Dienstleister sollten umgehend hinzugezogen werden, um festzustellen, welche Konten offengelegt wurden und ob unautorisierte Änderungen auf den anfänglichen Einbruch folgten.
Für Einzelpersonen ist der Rat einfacher, aber ebenso deutlich: Unaufgeforderte Recruiting-Angebote mit Vorsicht behandeln, sowohl Recruiter als auch Unternehmen unabhängig verifizieren und wachsam bleiben, wann immer ein Bewerbungsprozess Kandidaten auffordert, Dateien herunterzuladen, unbekannten Code auszuführen oder Websites aus nicht verifizierten Quellen zu nutzen.
FAQ
Wie konnten die Angreifer das Gerät des Opfers zunächst kompromittieren?
Die Angreifer gaben sich auf LinkedIn als Recruiter aus und nutzten gefälschte Domains sowie eine fingierte Interview-Website, um während einer technischen Prüfung auf einem Unternehmensgerät Malware zu installieren.
Welche Sicherheitsfunktion umgingen die Angreifer, um auf das Bitbucket-Konto des Unternehmens zuzugreifen?
Die Angreifer erbeuteten über Malware Sitzungstokens, um die Multi-Faktor-Authentifizierung zu umgehen und auf das Bitbucket-Repository zuzugreifen.
Welche Ratschläge geben die Behörden in Singapur, um ähnliche Recruiting-Betrugsfälle zu verhindern?
Die Behörden raten dazu, die Identität von Recruitern zu verifizieren, API-Schlüssel und Code-Repositories zu sichern, kompromittierte Geräte sofort zu isolieren, Sitzungen zu widerrufen und Zugangsdaten zurückzusetzen.
Wird der Angriff einer bekannten Hackergruppe zugeschrieben?
Die Behörden in Singapur haben diesen spezifischen Angriff weder Nordkorea noch einer anderen Hackergruppe zugeschrieben.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Wie konnten die Angreifer das Gerät des Opfers zunächst kompromittieren?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Die Angreifer gaben sich auf LinkedIn als Recruiter aus und nutzten gefälschte Domains sowie eine fingierte Interview-Website, um während einer technischen Prüfung auf einem Unternehmensgerät Malware zu installieren.“}},{„@type“:“Question“,“name“:“Welche Sicherheitsfunktion umgingen die Angreifer, um auf das Bitbucket-Konto des Unternehmens zuzugreifen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Die Angreifer erbeuteten über Malware Sitzungstokens, um die Multi-Faktor-Authentifizierung zu umgehen und auf das Bitbucket-Repository zuzugreifen.“}},{„@type“:“Question“,“name“:“Welche Ratschläge geben die Behörden in Singapur, um ähnliche Recruiting-Betrugsfälle zu verhindern?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Die Behörden raten dazu, die Identität von Recruitern zu verifizieren, API-Schlüssel und Code-Repositories zu sichern, kompromittierte Geräte sofort zu isolieren, Sitzungen zu widerrufen und Zugangsdaten zurückzusetzen.“}},{„@type“:“Question“,“name“:“Wird der Angriff einer bekannten Hackergruppe zugeschrieben?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Die Behörden in Singapur haben diesen spezifischen Angriff weder Nordkorea noch einer anderen Hackergruppe zugeschrieben.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
