„Coruna": Wie ein staatliches iPhone-Hacking-Werkzeug bei Spionen und Krypto-Dieben landete
Ein hochentwickeltes iPhone-Hacking-Toolkit mit dem Namen „Coruna" konnte ungepatchte iPhones bereits beim bloßen Besuch einer präparierten Website kapern – ohne dass das Opfer auf irgendetwas tippen musste. Laut Google und der Sicherheitsfirma iVerify deutet vieles darauf hin, dass das Werkzeug ursprünglich von einem US-Auftragnehmer stammte, dann von mutmaßlich russischen Spionen gegen Ukrainer eingesetzt wurde und schließlich bei Kriminellen landete, die Kryptowährung von chinesischsprachigen Opfern stahlen. In einer einzigen Kampagne sollen rund 42.000 Geräte betroffen gewesen sein. Apple hat die Lücken in neueren iOS-Versionen geschlossen. Zwei Lehren vorweg: Aktualisiere jetzt – und halte Krypto nicht in einer „heißen" Wallet auf dem Handy.
Das Wichtigste in Kürze
- Was: „Coruna" ist ein iOS-Exploit-Framework, das laut Google 23 Schwachstellen in fünf Angriffsketten bündelt (iOS 13 bis 17.2.1).
- Wie: als „Watering-Hole"-Angriff – der Besuch einer manipulierten Website genügte, kein Klick nötig.
- Weg: mutmaßlich von einem US-Auftragnehmer über russische Spionage zu kriminellem Krypto-Diebstahl.
- Ausmaß: in einer Kampagne laut iVerify rund 42.000 kompromittierte Geräte.
- Schutz: iOS sofort aktualisieren, ggf. Blockierungsmodus aktivieren und Krypto in eine Hardware-Wallet auslagern.
Was ist „Coruna"?
Coruna ist ein hochentwickeltes Werkzeug, mit dem sich iPhones aus der Ferne kompromittieren ließen. Googles Threat Intelligence Group (GTIG) machte es Anfang März 2026 öffentlich. Nach den Berichten bündelt es 23 Schwachstellen in fünf vollständigen iOS-Angriffsketten und richtete sich gegen iPhones mit iOS 13 bis 17.2.1, wobei es Apples Browser-Technik ins Visier nahm. Das Besondere und besonders Gefährliche: Es funktionierte als „Watering-Hole"-Angriff – allein der Besuch einer infizierten Website konnte ein ungepatchtes Gerät kapern, ganz ohne Zutun des Nutzers. Die Sicherheitsfirma iVerify schätzte allein in einer Kampagne rund 42.000 betroffene Geräte. Wir verzichten hier bewusst auf technische Details zur Funktionsweise.
Watering-Hole- & Zero-Click-Angriff
Bei einem Watering-Hole-Angriff präparieren Täter Websites, die ihre Zielgruppe ohnehin besucht. Ist die Schadkette so gebaut, dass keine Nutzer-Interaktion nötig ist (Zero-Click), genügt der bloße Seitenaufruf, um ein verwundbares Gerät zu infizieren – ohne Tippen, ohne Download, ohne Warnung.
Der beunruhigende Weg: vom Staat zu Spionen zu Kriminellen
Die nachgezeichnete Geschichte ist das eigentlich Brisante. Laut Google tauchte das Werkzeug erstmals Anfang 2025 bei einem „Kunden eines Überwachungsanbieters" in gezielten Operationen auf. Monate später erschien eine vollständigere Version in einer mutmaßlich russischen Spionage-Kampagne, bei der der Schadcode in einer verbreiteten Besucherzähler-Komponente ukrainischer Websites versteckt war und sich gegen eine begrenzte Zahl von Ukrainern richtete. Schließlich wurde Coruna in einer breit angelegten, rein profitorientierten Kampagne eingesetzt: Über infizierte chinesischsprachige Krypto- und Glücksspielseiten wurde Schadsoftware verteilt, die Kryptowährung der Opfer stahl.
Zur Herkunft: iVerify erklärte, Hinweise im Code deuteten darauf hin, dass das Werkzeug ursprünglich von einem Unternehmen stammen könnte, das es an die US-Regierung verkaufte – es trage „die Merkmale" von Modulen, die zuvor öffentlich der US-Regierung zugeschrieben wurden. TechCrunch berichtete unter Berufung auf frühere Mitarbeiter, das Toolkit sei zumindest teilweise beim US-Rüstungskonzern L3Harris bzw. dessen Hacking-Sparte Trenchant entwickelt worden. In diesem Umfeld steht auch ein öffentlich gewordener Insider-Diebstahlsfall: Ein früherer Manager wurde in den USA verurteilt, weil er mehrere Angriffswerkzeuge an einen russischen Exploit-Händler verkauft hatte, der inzwischen unter US-Sanktionen steht. All das ergibt mehrere mögliche Pfade, über die solche Werkzeuge zu staatlichen wie kriminellen Gruppen gelangen können. Diese Zuordnungen sind Rechercheergebnisse und Verdachtslagen, keine abschließend bestätigten Tatsachen – wir geben den berichteten Stand wieder.
Ein bekanntes Muster
Staatlich entwickelte Cyber-Werkzeuge entkommen immer wieder der Kontrolle und werden von Gegnern und Kriminellen weiterverwendet. Schon 2017 wurde eine geleakte NSA-Schwachstelle zur Grundlage der weltweiten „WannaCry"-Erpressungswelle.
Die Lehre für Nutzer ist nüchtern: Du kannst nicht verhindern, dass solche Werkzeuge existieren – aber du kannst dein Gerät und dein Vermögen so aufstellen, dass ein Treffer möglichst wenig anrichtet.
Der Krypto-Bezug: Warum das „heiße" Wallets bedroht
Für Krypto-Besitzer ist die letzte Stufe besonders relevant: Die kriminelle Kampagne hatte es gezielt auf gängige Smartphone-Wallets abgesehen, darunter laut Berichten MetaMask, Exodus, Bitget und Base. Das ist die logische Schwachstelle: Eine „heiße" Wallet, deren Schlüssel auf einem mit dem Internet verbundenen Telefon liegen, ist nur so sicher wie das Telefon selbst. Wird das Gerät gekapert, sind auch die darauf gespeicherten Schlüssel und Sitzungen in Gefahr. Genau deshalb gehört der private Schlüssel für größere Beträge nicht auf ein Alltagsgerät – sondern offline.
So schützt du dich
- iOS sofort aktualisieren: Apple hat die ausgenutzten Lücken in neueren Versionen geschlossen. Geräte mit iOS 13 bis 17.2.1 waren angreifbar – aktualisiere umgehend und lass automatische Updates aktiviert.
- Blockierungsmodus erwägen: Für besonders gefährdete Personen blockiert der Blockierungsmodus (Einstellungen → Datenschutz & Sicherheit → Blockierungsmodus) bekannte Angriffswege.
- Krypto offline halten: Bewahre größere Bestände in einer Hardware-Wallet auf; der Schlüssel bleibt dann außerhalb des Telefons.
- Seed niemals aufs Handy: Tippe deine Seed Phrase nie in eine App oder Website ein und speichere sie nicht auf dem Gerät.
- Vorsicht bei unbekannten Finanz-/Glücksspielseiten: Solche Seiten waren Verteilwege – auch wenn bei Zero-Click letztlich das Patchen entscheidet.
- Im Verdachtsfall handeln: Wer eine der genannten Wallets nutzte oder fragwürdige Seiten besuchte, sollte das Gerät aktualisieren und Guthaben von einem sauberen Gerät in eine neue Wallet verschieben.
Wenn dein Gerät betroffen sein könnte
Gehe im Zweifel davon aus, dass auf dem Gerät gespeicherte Wallet-Schlüssel kompromittiert sind. Verschiebe verbliebene Guthaben von einem nachweislich sauberen Gerät in eine neue Wallet mit neuer Seed Phrase, aktualisiere bzw. setze das Telefon neu auf und ändere zugehörige Passwörter.
Erste Schritte bündelt der Beitrag „Wallet gehackt – was jetzt?". Misstraue „Wiederherstellungsdiensten" gegen Vorkasse – das ist fast immer eine zweite Masche.
Häufige Fragen (FAQ)
Was ist „Coruna"?
Bin ich gefährdet?
Was hat das mit meiner Kryptowährung zu tun?
Stammt das Werkzeug wirklich von der US-Regierung?
Wie schütze ich mein iPhone grundsätzlich?
Der Coruna-Fall zeigt, warum eine heiße Wallet auf dem Handy riskant ist. Dieser Beitrag erklärt, wie du Schlüssel und Backups so absicherst, dass ein gekapertes Gerät nicht zum Totalverlust führt.
Eine Hardware-Wallet hält den privaten Schlüssel außerhalb des Telefons. Genau dieser Abstand schützt vor Schadsoftware auf dem Gerät. Ein Einstieg in die sichere Offline-Verwahrung.
Die Notfall-Anleitung für den Schadensfall. Sie führt dich durch die ersten, wichtigsten Schritte und warnt vor Folgebetrug. Der erste Anlaufpunkt, wenn ein Gerät kompromittiert wurde.
Der umfassende Leitfaden bündelt Geräte-, Schlüssel- und Backup-Sicherheit in einem System. Du lernst, alle Bausteine sauber aufzusetzen. Die Grundlage, um auch ausgefeilte Angriffe ins Leere laufen zu lassen.
In unserem Sicherheits-Bereich bündeln wir Analysen zu Spyware, mobiler Sicherheit und digitaler Selbstverteidigung. Wir erklären verständlich, was wirklich schützt. So bleibst du auf dem Laufenden.
Im Zukunfts-Bereich beleuchten wir, wie sich der Markt für Überwachungs- und Angriffswerkzeuge entwickelt. Wir ordnen ein, was das für deine Sicherheit bedeutet. So erkennst du Risiken frühzeitig.
Im Krypto-Bereich geht es um die sichere Verwahrung digitaler Vermögenswerte und den Schutz vor Diebstahl. Wir zeigen, welche Risiken real sind und wie du sie vermeidest. Besonders relevant, wenn Malware Wallets ins Visier nimmt.
Im Blog greifen wir aktuelle Entwicklungen aus Sicherheit, Krypto und Technik auf und ordnen sie ein. Statt reiner Schlagzeilen findest du hier Kontext und praktische Relevanz. Regelmäßige Beiträge halten dich auf dem Laufenden.
Quellen u. a.: WIRED, Googles Threat Intelligence Group (GTIG), die Analyse der Sicherheitsfirma iVerify sowie TechCrunch (Herkunfts-Recherche). Zuordnungen sind Rechercheergebnisse und Verdachtslagen; Angaben ohne Gewähr, Informationsstand: Juni 2026.
Dieser Beitrag dient der Aufklärung und Prävention und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Er enthält bewusst keine technischen Details zu den beschriebenen Angriffswerkzeugen. Bei Verdacht auf Kompromittierung handle von einem sicheren Gerät aus und ziehe fachliche Hilfe hinzu.