USB-Malware stiehlt Krypto-Wallets: Microsoft warnt vor Krypto-Klipper
Microsoft hat eine besonders heimtückische Schadsoftware analysiert, die seit Februar 2026 Windows-Rechner befällt und es gezielt auf Krypto-Wallets abgesehen hat. Sie verbreitet sich über präparierte USB-Sticks, liest Seed-Phrasen und private Schlüssel aus der Zwischenablage und tauscht beim Senden heimlich die Empfängeradresse aus – ohne sichtbares Warnsignal. Der gute Teil der Nachricht: Mit der richtigen Verwahrung deiner Schlüssel läuft genau dieser Angriff ins Leere. Wir erklären, wie die Malware arbeitet und wie du dich wirksam schützt.
- Verbreitung über USB-Sticks: ein Klick auf eine getarnte Verknüpfung startet unbemerkt einen Wurm.
- Die Malware liest Seed-Phrasen und private Schlüssel aus der Zwischenablage und macht Screenshots.
- Beim Senden ersetzt sie die kopierte Empfängeradresse durch eine Angreifer-Adresse.
- Sie kommuniziert anonym über das Tor-Netzwerk und kann zusätzlich Schadcode nachladen.
- Wirksamster Schutz: Hardware-Wallet, Seed niemals kopieren, Empfangsadresse auf dem Gerät prüfen.
Was ist passiert?
Das Bedrohungsanalyse-Team von Microsoft hat eine Schadsoftware-Kampagne offengelegt, die seit Februar 2026 aktiv ist. Microsofts Virenschutz Defender erkennt die Familie als Trojan:Win32/CryptoBandits. Es handelt sich um einen sogenannten Krypto-Klipper – eine Malware-Art, die die Zwischenablage ausspäht und nach wertvollen Daten durchsucht. Besonders an dieser Variante: Sie verbreitet sich wie ein Wurm selbst weiter, kommuniziert anonymisiert über das Tor-Netzwerk und bringt nebenbei eine Hintertür mit, über die Angreifer weiteren Schadcode ausführen können.
Wenn dir Begriffe wie Seed Phrase, Private Key oder Wallet noch nicht ganz geläufig sind, lohnt vorab ein Blick in unser Glossar der wichtigsten Krypto-Sicherheitsbegriffe.
Wie die Malware funktioniert
Der Ablauf besteht im Kern aus zwei Bausteinen – einem Wurm für die Verbreitung und einem Dieb für den eigentlichen Raub:
- Infizierter USB-Stick: Auf dem Stick liegt eine getarnte Verknüpfungsdatei (Endung .lnk). Solche Dateien sehen harmlos aus, starten in Wirklichkeit aber ein Programm. Dem Nutzer ist nicht bewusst, dass er beim Anklicken eine ausführbare Datei aufruft.
- Wurm wird installiert: Mit dem Klick installiert sich im Hintergrund der Schadcode. Er trägt sich in den Windows-Aufgabenplaner ein, um dauerhaft aktiv zu bleiben, und schließt sich selbst von der Virenprüfung aus.
- Zwischenablage wird ausgespäht: Etwa alle 500 Millisekunden prüft die Malware, was kopiert wurde. Erkennt sie eine 12- oder 24-Wort-Seed-Phrase oder einen privaten Schlüssel für Bitcoin oder Ethereum, fängt sie diese Daten ab.
- Diebstahl über Tor: Die erbeuteten Schlüssel werden über das anonyme Tor-Netzwerk an den Server des Angreifers geschickt. Zusätzlich macht die Malware fünf Screenshots im Abstand von zehn Sekunden, um Kontext über Wallet und Guthaben zu gewinnen.
- Adress-Austausch beim Senden: Kopierst du eine Empfängeradresse, um Coins zu versenden, ersetzt die Malware sie blitzschnell durch eine Adresse des Angreifers – passend zu den ersten oder letzten Zeichen des Originals, damit ein flüchtiger Blick nicht stutzig wird.
- Weiterverbreitung: Steckst du einen sauberen USB-Stick ein, durchsucht der Wurm ihn nach Dokumenten (Word, Excel, PDF), versteckt die Originale und legt gleichnamige Verknüpfungen an, die wieder den Schadcode starten. So springt die Infektion auf den nächsten Rechner.
Warum sie so gefährlich ist
Mehrere Eigenschaften machen diese Malware brisanter als einen gewöhnlichen Trojaner:
- Kein sichtbares Warnsignal: Der Adress-Tausch passiert lautlos. Wer die eingefügte Adresse nicht Zeichen für Zeichen kontrolliert, überweist sein Geld an den Täter.
- Selbstverbreitung über USB: Die Malware braucht kein Internet, um sich auszubreiten – ein weitergereichter USB-Stick genügt. Das macht sie auch in abgeschotteten Umgebungen gefährlich.
- Anonymität durch Tor: Die Kommunikation läuft verschleiert über das Tor-Netzwerk, was das Aufspüren und Blockieren erschwert.
- Hintertür inklusive: Über eine Nachlade-Funktion kann der Angreifer beliebigen weiteren Code ausführen – aus dem Krypto-Dieb wird so ein dauerhafter Fernzugriff.
- Sie zielt auf eine Gewohnheit: Kopieren und Einfügen von Adressen und Schlüsseln ist Alltag. Genau diese Routine wird hier ausgenutzt.
So schützt du dich wirksam
Dazu kommen ein paar Gewohnheiten, die diesen Angriff zuverlässig aushebeln:
- Seed Phrase und Private Key niemals kopieren oder digital speichern: Was nie in der Zwischenablage liegt, kann auch nicht abgegriffen werden. Wie du deine Wörter richtig sicherst, erklärt unser Leitfaden Seed Phrase sicher aufbewahren – wo und wie.
- Empfangsadresse vollständig prüfen: Verlass dich nicht nur auf die ersten und letzten Zeichen – genau darauf ist die Malware ausgelegt. Vergleiche möglichst die ganze Adresse und bestätige sie auf dem Wallet-Display.
- Kleinen Test-Betrag senden: Bei größeren Beträgen zuerst eine kleine Summe überweisen und den Eingang prüfen.
- USB-Hygiene: Keine fremden oder gefundenen USB-Sticks anschließen und AutoRun/AutoPlay für Wechseldatenträger deaktivieren.
- Windows härten (für fortgeschrittene Nutzer): Die Ausführung von .lnk-Dateien von Wechseldatenträgern per Gruppenrichtlinie blockieren und die Skript-Hosts wscript.exe und cscript.exe einschränken. Microsoft Defender erkennt die Schädlingsfamilie als CryptoBandits.
- Updates und Virenschutz aktuell halten: Ein gepatchtes System und ein aktiver Virenschutz schließen viele Einfallstore – auch wenn sie kein Ersatz für die Hardware-Wallet sind.
Eine umfassende Schritt-für-Schritt-Anleitung zur sicheren Selbstverwahrung – von der Wallet-Einrichtung bis zum Notfallplan – findest du in unserem Leitfaden Krypto-Vermögen schützen. Weitere Beiträge rund um digitale Absicherung sammeln die Bereiche Krypto und Sicherheit.
Bei Verdacht auf eine Infektion
- Führe vom betroffenen Rechner aus keine Krypto-Transaktionen mehr durch.
- Trenne den PC vom Netzwerk und scanne ihn mit einem aktuellen Virenschutz.
- Verschiebe deine Coins von einem nachweislich sauberen Gerät aus auf eine neue Wallet mit einer neuen Seed Phrase – eine einmal möglicherweise kompromittierte Seed gilt als verbrannt.
- Ändere Passwörter und 2FA-Einstellungen wichtiger Konten (Börsen, E-Mail) von einem sauberen Gerät aus.
Häufige Fragen
Was ist ein Krypto-Klipper?
Ein Krypto-Klipper ist eine Schadsoftware, die die Zwischenablage überwacht. Sie fängt kopierte Krypto-Daten wie Seed-Phrasen und private Schlüssel ab und kann beim Versenden die kopierte Empfängeradresse heimlich gegen eine Adresse des Angreifers austauschen.
Wie verbreitet sich diese Malware?
Über infizierte USB-Sticks mit getarnten Verknüpfungsdateien (.lnk). Ein Klick startet im Hintergrund einen Wurm, der sich dauerhaft einnistet und beim Anstecken weiterer Sticks deren Dokumente durch neue Schad-Verknüpfungen ersetzt – so springt die Infektion weiter.
Welche Daten stiehlt sie genau?
Sie liest 12- oder 24-Wort-Seed-Phrasen sowie private Schlüssel für Bitcoin und Ethereum aus der Zwischenablage, macht zusätzlich mehrere Screenshots und schickt alles über das Tor-Netzwerk an den Angreifer. Außerdem tauscht sie kopierte Empfängeradressen aus.
Woran erkenne ich eine Infektion?
Das ist bewusst schwer, weil die Malware versteckt und anonymisiert arbeitet. Mögliche Hinweise sind plötzlich auftauchende Verknüpfungen statt deiner Dateien auf USB-Sticks oder ungewöhnliche Tor-Aktivität. Microsoft Defender erkennt die Familie als CryptoBandits.
Schützt eine Hardware-Wallet davor?
Ja, sehr gut. Der private Schlüssel verlässt das Gerät nie und landet nicht in der Zwischenablage. Da du die Empfängeradresse auf dem Display der Hardware-Wallet bestätigst, fällt ein Adress-Tausch am PC auf, bevor du sendest.
Warum ist die Zwischenablage so riskant?
Weil die Malware sie etwa zweimal pro Sekunde ausliest. Alles, was du kopierst – besonders Seed-Phrasen, private Schlüssel und Adressen – ist damit angreifbar. Deshalb gilt: sensible Krypto-Daten niemals kopieren.
Wie verhindere ich die Adress-Vertauschung?
Indem du die eingefügte Adresse vollständig kontrollierst und auf dem Display deiner Hardware-Wallet bestätigst. Verlass dich nicht nur auf die ersten und letzten Zeichen – genau darauf zielt die Malware. Ein kleiner Test-Betrag vorab gibt zusätzliche Sicherheit.
Bin ich auf dem Mac oder unter Linux sicher?
Diese konkrete Kampagne zielt auf Windows. Klipper-Malware, die die Zwischenablage ausspäht, gibt es aber grundsätzlich auch für andere Systeme. Die Schutzgewohnheiten – Seed nie kopieren, Adresse prüfen, Hardware-Wallet – gelten plattformübergreifend.
Was sollte ich bei Verdacht tun?
Keine Transaktionen mehr vom betroffenen Rechner, das Gerät vom Netz trennen und scannen, und die Coins von einem sauberen Gerät auf eine neue Wallet mit neuer Seed Phrase verschieben. Passwörter und 2FA wichtiger Konten von einem sauberen Gerät aus erneuern.
Reicht ein Virenscanner als Schutz?
Ein aktueller Virenschutz hilft und erkennt diese Familie, ist aber kein vollständiger Schutz – die Malware versucht, sich der Prüfung zu entziehen. Den eigentlichen Schutz liefern deine Gewohnheiten und eine Hardware-Wallet, bei der die Schlüssel den PC nie erreichen.
Dieser Beitrag dient der Information und Aufklärung über eine aktuelle Bedrohung und stellt keine Anlage- oder Rechtsberatung dar. Bei einem konkreten Sicherheitsvorfall wende dich im Zweifel an eine IT-Sicherheitsfachkraft.
