Ein fehlkonfigurierter Webserver hat den Vorhang für eine der ausgeklügelteren KI-gestützten Krypto-Phishing-Operationen gelüftet, die Sicherheitsexperten in diesem Jahr dokumentiert haben. Das Cybersicherheitsunternehmen Rapid7 gibt an, dass es fast zufällig auf die offengelegte Infrastruktur gestoßen ist – und was es darin fand, war eine vollständig aufgebaute Betrugsmaschine: fast 900.000 Telefonnummern, automatisierte Kontoprüfungs-Tools, gefälschte Wallet-Software und Code, der mit Hilfe gängiger KI-Coding-Assistenten geschrieben wurde. Rapid7 hat die Kampagne Operation ASTERIX genannt, und sie bietet einen seltenen, detaillierten Einblick darin, wie generative KI-Tools in Krypto-Phishing-Kampagnen eingebunden werden, die früher deutlich mehr manuelle Arbeit erforderten.
Summary
Wichtigste Erkenntnisse
- Rapid7 deckte Operation ASTERIX, eine KI-gestützte Krypto-Phishing-Kampagne, auf, nachdem ein fehlkonfigurierter, offengelegter Server gefunden wurde.
- Der offengelegte Datensatz enthielt rund 885.000 Telefonnummern, darunter 316.002 deutsche Mobilnummern, und lieferte 43.066 zugeordnete Crypto.com-Konten.
- Angreifer bauten gefälschte Wallet-Apps, die Trezor Suite, Ledger Live und Exodus nachahmten, sowie Phishing-Seiten, die Crypto.com und Binance vortäuschten.
- Coding-Assistenten wie GitHub Copilot und Claude Code wurden verwendet, um die bösartigen Tools zu schreiben, zu paketieren und zu verfeinern; die Betreiber versuchten, nach dem Erreichen von Sicherheitsbeschränkungen auf andere KI-Modelle zu wechseln.
- Rapid7 informierte nach der Dokumentation der Operation betroffene Anbieter und Behörden, darunter das Sicherheitsteam von Apple.
Rapid7 deckt Operation ASTERIX und ihr tatsächliches Ausmaß auf
Operation ASTERIX kombinierte Phishing-E-Mails, Telefonanrufe und gefälschte Wallet-Software zu einer einzigen, koordinierten Betrugspipeline, und die zugrunde liegenden Zahlen sind beeindruckend. Das offengelegte Verzeichnis von Rapid7 enthielt ungefähr 885.000 Telefonnummern, verteilt auf mehrere Datensätze, die offenbar jeweils gesammelt wurden, um die Zielauswahl-Engine der Operation zu speisen.
Entdeckung und Umfang von Operation ASTERIX
Die größte einzelne Charge in diesem Fundus war ein deutscher Datensatz mit 316.002 Mobilnummern. Anstatt wahllos Nachrichten zu versenden, ließen die Betreiber diese Liste durch automatisierte Validierungstools laufen, die dazu dienten zu bestätigen, welche Nummern zu aktiven Konten bei Kryptowährungsbörsen gehörten. Dieser Schritt war entscheidend: Er verwandelte eine Masse anonymer Ziffern in eine kuratierte Liste wahrscheinlicher Opfer.
Einsatz von Telefondatensätzen und Kontovalidierung
Allein aus den deutschen Nummern identifizierten die Angreifer 43.066 Crypto.com-Konten. Laut der Berichterstattung von Crypto Briefing über denselben Server ergaben die Validierungsprüfungen gegen die Systeme von Crypto.com eine Trefferquote von 13,6 %, was bedeutet, dass ungefähr jede siebte getestete Nummer einem echten, aktiven Konto entsprach. Auf die gesamte Datenbank mit 885.000 Nummern angewendet, könnte dieses Verhältnis theoretisch auf mehr als 120.000 aktive Börsennutzer hinweisen, die sich als lohnende Ziele eignen – ein Detail, das verdeutlicht, wie viel Reichweite eine Phishing-Kampagne gewinnen kann, sobald sie gestohlene oder gescrapte Telefondaten mit einem zuverlässigen Validierungstool kombiniert.
An diesem Punkt hört die Operation auf, wie ein Schrotflintenbetrug zu wirken, und beginnt, wie ein Zielsystem auszusehen. Sobald eine Nummer als aktiv bestätigt war, ergänzte die Kampagne laut Rapid7 die Datensätze um zusätzliche Informationen – Namen, Kontaktdaten, Standorte und in einigen Fällen kontobezogene Angaben –, um nachfolgende Kontaktaufnahmen persönlich statt generisch wirken zu lassen.
Phishing-Methoden: Markenimitation und gefälschte Wallet-Anwendungen
Bestätigte Ziele wurden in eine mehrkanalige Druckkampagne geleitet, die wie legitimer Kundensupport aussehen sollte. Koordinierte E-Mails und Telefonanrufe bezogen sich auf übereinstimmende Kontodaten, was laut Rapid7 die Imitation deutlich überzeugender machte als ein typischer Massen-Phishing-Versand.
Imitation großer Krypto-Marken
Die Phishing-Infrastruktur imitierte direkt Crypto.com und Binance, zwei der größten Börsen der Branche, und verlieh der Kontaktaufnahme eine Aura von Authentizität, die die Ziele in die nächste Phase der Falle drängte.
Verbreitung gefälschter Wallet-Anwendungen
Diese nächste Phase konzentrierte sich auf gefälschte Kryptowährungs-Wallets, die so gebaut waren, dass sie vertrauenswürdige Software nachahmten. Rapid7 stellte gefälschte Versionen sicher, die Trezor Suite, Ledger Live und Exodus ähnelten und sowohl für macOS als auch für Windows paketiert waren. Nach der Installation forderten die Apps die Nutzer auf, ihre 12- bis 24-wörtigen Wiederherstellungsphrasen einzugeben – den Generalschlüssel zu jedem Krypto-Wallet –, die anschließend direkt über Telegram an die Angreifer exfiltriert wurden. Rapid7 fand außerdem heraus, dass die Operation einen gefälschten Claude-Code-Installer bereitstellte, der versuchte, eine dieser bösartigen Wallet-Apps unbemerkt zusammen mit dem legitimen KI-Coding-Tool zu installieren und so ein vertrauenswürdiges Entwicklerprodukt mit einer versteckten Schadkomponente zu kombinieren.
Wie KI-Tools die Kryptowährungs-Phishing-Kampagne antrieben
Was Operation ASTERIX von älteren Phishing-Playbooks unterscheidet, ist die sichtbare Rolle generativer KI beim Aufbau der Kampagne. Wiederhergestellte Artefakte vom offengelegten Server zeigen, dass sich die Betreiber bei Programmierung, Skripterstellung, Anwendungspaketierung und Infrastrukturarbeit auf GitHub Copilot und Claude Code stützten – also auf jene technische Arbeit, die früher einen dedizierten Entwickler erforderte.
Einsatz von GitHub Copilot, Claude Code und Wechsel zwischen KI-Tools
Die Untersuchung von Rapid7 ergab, dass die Betrüger diese Assistenten nicht nur nutzten, um funktionsfähigen Code zu schreiben, sondern auch, um ihn aktiv zu verfeinern – einschließlich Versuchen, die in die Tools eingebauten Sicherheitsleitplanken zu umgehen.
Versuche, Beschränkungen von KI-Modellen zu umgehen
Zu einem bestimmten Zeitpunkt verweigerte Claude Berichten zufolge Anfragen im Zusammenhang mit Code-Verschleierung. Anstatt dort aufzuhören, wechselte der Betreiber zu einem anderen Modell, Kimi, und versuchte ebenfalls, dessen Beschränkungen zu umgehen. Rapid7 gibt an, nicht bestätigen zu können, ob dieser spezielle Umgehungsversuch erfolgreich war – nur, dass die Beweislage ein bewusstes Muster des Tool-Hoppings dokumentiert, sobald ein KI-System Gegenwehr leistete.
Warum das wichtig ist: Dieses Muster zeigt, dass KI-Schutzmechanismen zwar nützlich sind, aber kein vollständiges Hindernis darstellen, wenn ein entschlossener Betreiber einfach zu einem anderen Modell wechselt. Je mehr KI-Coding-Tools es gibt, desto mehr Türen stehen jemandem offen, der versucht, Sicherheitskontrollen zu umgehen.
Benachrichtigung, Reaktion und wie es weitergeht
Trotz des Umfangs der betroffenen Daten wirkte die tägliche Aktivität der Operation überraschend gering. Aktivitätsprotokolle vom Server zeigten lediglich 20 Lead-Abfragen und sechs versandte Phishing-E-Mails über einen Zeitraum von etwa zwei Wochen, was darauf hindeutet, dass die Betreiber Präzision gegenüber Volumen bevorzugten – eine kleine, kuratierte Gruppe von Hochrisikozielen statt eines massenhaften Spam-Versands.
Benachrichtigung von Anbietern und Behörden
Rapid7 entdeckte die Kampagne, während ein Großteil ihrer Infrastruktur noch aktiv oder in Entwicklung war, und stimmte sich vor der Veröffentlichung der Ergebnisse am 17. August 2026 mit dem Sicherheitsteam von Apple ab. Das Unternehmen informierte außerdem andere relevante Anbieter über die offengelegten Daten und gefälschten Anwendungen.
Potenzielle Risiken und Gefährdung für Krypto-Nutzer
Für Börsen wie Crypto.com wirft der Vorfall eine zugespitzte Frage auf: Wie viele Signale geben automatisierte Endpunkte zur Kontovalidierung bei externen Abfragen preis? Eine Bestätigungsrate von 13,6 % bei einer Telefonnummern-Abfrage reicht aus, damit ein Angreifer eine brauchbare Zielliste erstellen kann, ohne jemals ein Passwort anzufassen. Das ist ein starkes Argument dafür, die Reaktionen von Validierungs-APIs auf Massenabfragen zu verschärfen, da das Leck nicht in der Wallet-Software liegt – sondern in der Kontrollstelle, die einem Angreifer überhaupt erst verrät, wen es sich zu attackieren lohnt.
Die breitere Lehre für die Branche betrifft weniger diese eine Operation als vielmehr das, was sie signalisiert. KI-Coding-Assistenten haben es schneller und günstiger gemacht, überzeugende gefälschte Wallet-Anwendungen und Phishing-Infrastrukturen zu bauen, und Operation ASTERIX zeigt, dass sich die in diese Tools eingebauten Leitplanken einfach umgehen lassen, indem man zu einem permissiveren Modell wechselt. Diese Kombination – günstige, KI-unterstützte Entwicklung plus große, validierte Telefondatensätze – wird voraussichtlich auch in künftigen Krypto-Phishing-Kampagnen auftauchen, unabhängig davon, ob dieses spezielle Netzwerk unter einem neuen Namen wieder auftaucht oder nicht.
FAQ
Was ist Operation ASTERIX?
Operation ASTERIX ist eine KI-gestützte Krypto-Phishing-Kampagne, die von Rapid7 aufgedeckt wurde und Telefondaten, Kontovalidierung und gefälschte Wallet-Apps nutzte, um Wiederherstellungsphrasen für Kryptowährungen zu stehlen.
Wie identifizierten die Angreifer ihre Ziele?
Die Angreifer nutzten umfangreiche Telefondatensätze und automatisierte Validierungstools, um Telefonnummern zu identifizieren, die mit aktiven Konten bei Kryptowährungsbörsen verknüpft waren, darunter über 43.000 Crypto.com-Konten, die aus einem deutschen Datensatz mit 316.002 Nummern ermittelt wurden.
Welche Rolle spielten KI-Tools in der Phishing-Kampagne?
KI-Coding-Assistenten wie GitHub Copilot und Claude Code wurden für Programmierung, Skripterstellung, Anwendungspaketierung und Infrastrukturaufgaben der Phishing-Operation eingesetzt, und die Betreiber wechselten nach dem Auftreten von Sicherheitsbeschränkungen zwischen verschiedenen Modellen.
Welche Schritte wurden nach der Entdeckung von Operation ASTERIX unternommen?
Rapid7 informierte relevante Dienstanbieter und Behörden, darunter das Sicherheitsteam von Apple, und veröffentlichte seine Erkenntnisse am 17. August 2026, um zur Eindämmung der Kampagne beizutragen.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was ist Operation ASTERIX?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Operation ASTERIX ist eine KI-gestützte Krypto-Phishing-Kampagne, die von Rapid7 aufgedeckt wurde und Telefondaten, Kontovalidierung und gefälschte Wallet-Apps nutzte, um Wiederherstellungsphrasen für Kryptowährungen zu stehlen.“}},{„@type“:“Question“,“name“:“Wie identifizierten die Angreifer ihre Ziele?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Die Angreifer nutzten umfangreiche Telefondatensätze und automatisierte Validierungstools, um Telefonnummern zu identifizieren, die mit aktiven Konten bei Kryptowährungsbörsen verknüpft waren, darunter über 43.000 Crypto.com-Konten, die aus einem deutschen Datensatz mit 316.002 Nummern ermittelt wurden.“}},{„@type“:“Question“,“name“:“Welche Rolle spielten KI-Tools in der Phishing-Kampagne?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“KI-Coding-Assistenten wie GitHub Copilot und Claude Code wurden für Programmierung, Skripterstellung, Anwendungspaketierung und Infrastrukturaufgaben der Phishing-Operation eingesetzt, und die Betreiber wechselten nach dem Auftreten von Sicherheitsbeschränkungen zwischen verschiedenen Modellen.“}},{„@type“:“Question“,“name“:“Welche Schritte wurden nach der Entdeckung von Operation ASTERIX unternommen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Rapid7 informierte relevante Dienstanbieter und Behörden, darunter das Sicherheitsteam von Apple, und veröffentlichte seine Erkenntnisse am 17. August 2026, um zur Eindämmung der Kampagne beizutragen.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
