USB-Wurm kapert Krypto-Wallets: Was hinter Microsofts „Crypto Clipper"-Warnung steckt – und wie du dich schützt
Microsoft warnt vor einer Schadsoftware, die es gezielt auf Krypto-Vermögen abgesehen hat: Ein als „Crypto Clipper" bezeichneter Windows-Wurm verbreitet sich über USB-Sticks, durchsucht heimlich die Zwischenablage nach Seed-Phrasen und privaten Schlüsseln und tauscht beim Senden klammheimlich die Empfängeradresse gegen die des Angreifers aus. Das Tückische: Du musst dafür nicht einmal selbst einen fremden Stick anstecken – und die manipulierte Adresse sieht der echten zum Verwechseln ähnlich. Dieser Beitrag erklärt nüchtern, wie der Angriff abläuft, warum er so gefährlich ist und mit welchen einfachen Grundregeln du dein Krypto-Vermögen davor schützt.
Was ist passiert? Microsoft hat eine Windows-Malware entdeckt, die seit Februar 2026 aktiv ist. Defender erkennt sie als Trojan:Win32/CryptoBandits.A. Sie verbreitet sich wurmartig über manipulierte Verknüpfungsdateien (.lnk) auf USB-Laufwerken, überwacht die Zwischenablage mehrmals pro Sekunde, stiehlt Seed-Phrasen und private Schlüssel, ersetzt kopierte Wallet-Adressen und verschickt alles getarnt über das Tor-Netzwerk.
Was heißt das für dich? Die Zwischenablage deines Computers ist kein sicherer Ort. Kopiere niemals Seed-Phrase oder privaten Schlüssel, prüfe jede Empfangsadresse vollständig – und bewahre größere Bestände auf einer Hardware-Wallet auf, deren Schlüssel den Rechner nie erreichen.
Auf einen Blick
Wie der Angriff abläuft
Der Schädling besteht aus zwei Teilen: einem Wurm, der für die Verbreitung sorgt, und einem „Clipper"/Stealer, der Wallet-Daten abgreift und manipuliert. Der Ablauf ist erschreckend simpel:
- Infektion über USB und .lnk. Auf einem präparierten USB-Stick liegt eine getarnte Verknüpfungsdatei (.lnk), die wie ein normales Dokument aussieht. Ein Klick genügt – über den Windows Script Host wird im Hintergrund der Schadcode gestartet und weitere Komponenten werden aus einer .onion-Adresse im Tor-Netzwerk nachgeladen.
- Einnistung & Tarnung. Wurm- und Stealer-Komponente installieren sich, sichern sich per geplanter Aufgaben dauerhaften Zugriff – eine davon überwacht laufend neu angeschlossene USB-Laufwerke – und nehmen sich selbst von der Defender-Prüfung aus. Der Stealer wird laut Microsoft erst aktiv, wenn der Task-Manager nicht geöffnet ist, und kommuniziert über eine mitgebrachte Tor-Komponente (ugate.exe). Danach läuft das Programm in einer Endlosschleife.
- Zwischenablage ausspähen. Etwa alle 500 Millisekunden prüft die Malware die Zwischenablage auf typische Krypto-Daten: BIP39-Seed-Phrasen mit 12 oder 24 Wörtern, Ethereum-Private-Keys, Bitcoin-WIF-Schlüssel sowie Wallet-Adressen verschiedener Formate (Bitcoin Legacy, P2SH, Bech32, Taproot) und der Netzwerke Tron und Monero. Treffer gehen über Tor an den Angreifer. Zusätzlich macht die Malware fünf Screenshots im Abstand von zehn Sekunden und schickt sie per curl mit.
- Adresse heimlich austauschen. Kopierst du eine Empfänger-Adresse, ersetzt der „Clipper" sie blitzschnell durch eine Adresse des Angreifers – noch bevor du sie einfügst. Besonders perfide: Die Tausch-Adresse wird gezielt so gewählt, dass ihre Anfangszeichen denen des Originals ähneln, damit der Betrug bei einem flüchtigen Blick nicht auffällt. Genau dieses Muster beschreiben wir ausführlich unter Clipboard-Hijacking, wenn Malware deine kopierte Wallet-Adresse austauscht.
- Selbstverbreitung. Steckst du einen sauberen USB-Stick ein, versteckt der Wurm dort Word-, Excel- und PDF-Dateien und ersetzt sie durch gleichnamige .lnk-Verknüpfungen. Wer später so ein „Dokument" öffnet, startet unbemerkt erneut die Schadsoftware – du musst den manipulierten Stick also gar nicht selbst angefasst haben.
- Fernsteuerung. Schickt der Steuerserver den Befehl „EVAL", lädt die Malware JavaScript-Code in eine Datei namens cfile und führt ihn aus – so kann der Angreifer jederzeit weiteren Code nachladen und die infizierten Rechner über das Tor-Netzwerk dauerhaft fernsteuern.
Warum das so gefährlich ist
Die manipulierte Adresse sieht der echten optisch zum Verwechseln ähnlich – ein Trick, den wir auch von der Adress-Vergiftung kennen, bei der eine fast identische Adresse dein Geld umleitet. Weil die Angreifer gezielt Adressen mit passenden Anfangszeichen verwenden, reicht der übliche Kontrollblick auf die ersten und letzten Stellen nicht aus: Nur der Abgleich der kompletten Adresse entlarvt den Austausch. Auf den ersten Blick fällt er kaum auf, und das Geld ist nach dem Senden unwiederbringlich weg. Erschwerend kommt hinzu, dass sich der Schädling laut Microsoft weniger über klassische Signaturen, sondern eher über sein Verhalten erkennen lässt – er fliegt also leicht unter dem Radar einfacher Virenscanner.
Der Angriff reiht sich in eine wachsende Reihe von Maschen ein, bei denen Wallet-Adressen und Zahlungscodes manipuliert werden – etwa beim QR-Code-Betrug mit manipulierten Adressen. Und er zeigt erneut, wie ein kompromittiertes Gerät zum Einfallstor wird – ähnlich wie beim iPhone-Exploit-Kit, das Krypto-Wallets angreift, oder dem Fall, in dem eine per Bluetooth gekaperte Box den PC infizierte.
So schützt du dein Krypto-Vermögen
Die gute Nachricht: Wer ein paar einfache Grundregeln befolgt, macht diese ganze Angriffsklasse wirkungslos. Entscheidend ist, sensible Daten gar nicht erst auf einen vernetzten Rechner zu lassen und jede Adresse zu prüfen.
Seed & Schlüssel nie kopieren
Eine Seed-Phrase oder einen privaten Schlüssel niemals in die Zwischenablage kopieren oder am Online-PC eintippen – genau darauf lauert der Clipper. Was eine Seed-Phrase ist und warum dein ganzes Krypto-Vermögen an diesen Wörtern hängt, und der Unterschied zwischen Public Key, Private Key und Wallet-Adresse, gehören zum Pflichtwissen.
Adresse immer vollständig prüfen
Vergleiche vor dem Senden die komplette Adresse – nicht nur die ersten und letzten Zeichen – und schicke bei größeren Beträgen zuerst einen kleinen Testbetrag. Warum das der wichtigste Handgriff ist, zeigt Krypto-Adresse vor dem Senden prüfen.
Hardware-Wallet nutzen
Auf einer Hardware-Wallet verlässt der private Schlüssel das Gerät nie, und du bestätigst die Empfangsadresse auf dem geräteeigenen Display – ein heimlicher Tausch in der PC-Zwischenablage fällt damit auf. Mehr dazu: Cold- vs. Hot-Wallet, Hardware-Wallet sicher einrichten und die besten Hardware-Wallets im Vergleich.
Seed-Backup offline lagern
Die Wiederherstellungswörter gehören auf Papier oder Metall – niemals als Datei, Foto oder in die Cloud. Wie und wo, erklärt Seed-Phrase sicher aufbewahren.
USB-Hygiene
Keine fremden oder gefundenen USB-Sticks anstecken, AutoRun für Wechseldatenträger deaktivieren und bei „Dokumenten", die in Wahrheit Verknüpfungen (.lnk) sind, misstrauisch werden.
System härten
Microsoft rät, die Ausführung von .lnk-Dateien auf USB-Laufwerken per Gruppenrichtlinie zu blockieren und Skript-Hosts wie wscript.exe und cscript.exe einzuschränken. Warum solide Datensicherung wichtiger ist als jeder Virenschutz, gilt hier besonders.
Das Grundprinzip dahinter ist immer dasselbe: Wer die Kontrolle über seine Schlüssel behält, bleibt unabhängig vom infizierten Gerät. Was der Grundsatz „nicht deine Schlüssel, nicht deine Coins" wirklich bedeutet, und die wichtigsten Fragen zur sicheren Selbstverwahrung bilden dafür das Fundament. Einen kompakten Überblick über typische Stolperfallen gibt die 15 häufigsten Fehler bei der Krypto-Sicherheit, und damit das auf Dauer hält, lohnt der jährliche Krypto-Sicherheits-Check als feste Routine.
Woran du eine Infektion erkennst
Typische Warnsignale (laut Microsoft eher am Verhalten als an Signaturen erkennbar):
- unerwartete Prozesse wie wscript.exe oder cscript.exe
- auffällige Aktivität von PowerShell, cmd.exe oder curl, ungewöhnliche Kindprozesse
- Verbindungen zum lokalen Tor-Port (localhost:9050)
- eine Tor-Komponente wie ugate.exe oder eine ausgeführte JavaScript-Datei namens cfile
- ungewöhnliche Prozessketten und neu angelegte geplante Aufgaben
- auf USB-Sticks: Dokumente, die plötzlich als Verknüpfung (.lnk) erscheinen
Wenn es schon passiert ist
Besteht der Verdacht, dass deine Schlüssel oder deine Zwischenablage abgegriffen wurden, zählt jede Minute: Gerät vom Netz trennen, von einem nachweislich sauberen Gerät eine neue Wallet erstellen und Bestände dorthin verschieben, sobald die alten Schlüssel als kompromittiert gelten. Die geordnete Reihenfolge beschreibt Krypto-Wallet kompromittiert – Sofortmaßnahmen nach einem Hack.
Dein komplettes Schutzsystem – an einem Ort
Dieser Vorfall zeigt, warum einzelne Tipps nicht reichen: Sicherheit entsteht aus einem durchdachten System. Genau das liefert das Praxiswerk „Krypto-Vermögen schützen" – Schritt für Schritt von der Hardware-Wallet über das Seed-Backup bis zum Ernstfall.
Zum Krypto-SicherheitsleitfadenLieber erst stöbern? Hier entlang zum vollständigen Sicherheitssystem für die Selbstverwahrung.
Häufige Fragen
Was ist ein „Crypto Clipper"?
Ein „Clipper" ist Schadsoftware, die fortlaufend die Zwischenablage überwacht. Erkennt sie eine kopierte Krypto-Adresse, ersetzt sie diese durch eine Adresse des Angreifers – du fügst dann scheinbar das Richtige ein, überweist aber an den Täter. Der von Microsoft beschriebene „Crypto Clipper" stiehlt zusätzlich Seed-Phrasen und private Schlüssel und verbreitet sich wurmartig über USB.
Wie infiziert man sich überhaupt?
Über einen präparierten USB-Stick mit einer getarnten Verknüpfungsdatei (.lnk), die wie ein normales Dokument aussieht. Ein Klick startet den Schadcode. Danach verbreitet sich der Wurm selbst weiter, indem er auf sauberen Sticks Dokumente durch gleichnamige Verknüpfungen ersetzt – man muss den ursprünglichen Stick gar nicht mehr selbst angefasst haben.
Bin ich betroffen, wenn ich nur eine Hardware-Wallet nutze?
Eine Hardware-Wallet schützt sehr gut: Der private Schlüssel verlässt das Gerät nie, und du bestätigst die Empfangsadresse auf dem geräteeigenen Display. Ein heimlicher Adress-Tausch in der PC-Zwischenablage fällt dadurch auf – vorausgesetzt, du prüfst die angezeigte Adresse wirklich. Wichtig bleibt, die Seed-Phrase niemals am Computer einzutippen oder zu kopieren.
Warum ist die Zwischenablage so ein Risiko?
Die Zwischenablage ist ein offener Zwischenspeicher, auf den laufende Programme zugreifen können. Alles, was du kopierst – auch eine Seed-Phrase oder ein privater Schlüssel – liegt dort kurz im Klartext. Genau dieses Zeitfenster nutzt der Clipper, der mehrmals pro Sekunde nachschaut.
Hilft mein Virenscanner dagegen?
Teilweise. Microsoft Defender erkennt die Bedrohung als Trojan:Win32/CryptoBandits.A. Allerdings betont Microsoft, dass sich die Malware eher am Verhalten als an festen Signaturen erkennen lässt – ein Scanner allein ist deshalb kein Freibrief. Vorsicht beim Umgang mit USB, das Härten des Systems und sichere Wallet-Gewohnheiten sind genauso wichtig.
Woran erkenne ich, dass mein PC infiziert sein könnte?
Mögliche Anzeichen sind unerwartete Skript-Prozesse (wscript.exe, cscript.exe), auffällige PowerShell-/curl-Aktivität, Verbindungen zum lokalen Tor-Port (localhost:9050), ungewöhnliche Prozessketten sowie Dokumente, die auf USB-Sticks plötzlich als Verknüpfungen erscheinen. Im Zweifel das Gerät trennen und fachkundig prüfen lassen.
Welche Kryptowährungen sind betroffen?
Microsoft nennt Bitcoin (Adressen in den Formaten Legacy, P2SH, Bech32 und Taproot sowie WIF-Schlüssel), Ethereum (inklusive Private Keys), Tron und Monero. Gesucht werden außerdem BIP39-Seed-Phrasen mit 12 oder 24 Wörtern. Das Prinzip funktioniert bei jeder Währung, deren Adressen oder Schlüssel man kopiert und einfügt – die Liste der Ziele kann sich also erweitern.
Was tun, wenn ich glaube, betroffen zu sein?
Gerät sofort vom Netz trennen, nichts mehr von diesem Rechner senden und – von einem sauberen Gerät aus – eine neue Wallet erstellen und Bestände dorthin verschieben, sobald die alten Schlüssel als kompromittiert gelten. Die geordneten Sofortmaßnahmen findest du in unserem Leitfaden für den Ernstfall.
Reicht es, einfach keine fremden USB-Sticks zu benutzen?
Das ist ein wichtiger Schritt, aber nicht genug. Weil sich der Wurm über Dokumente tarnt und sich selbst weiterverbreitet, können auch eigene Sticks infiziert werden. Erst die Kombination aus USB-Vorsicht, gehärtetem System und sicheren Wallet-Gewohnheiten macht die Angriffsklasse wirkungslos.
Ist mein Krypto-Vermögen mit den richtigen Gewohnheiten sicher?
Gegen diese Angriffsklasse ja: Wer Schlüssel nie auf einen vernetzten Rechner lässt, jede Adresse vollständig prüft und größere Bestände auf einer Hardware-Wallet hält, nimmt dem Clipper die Grundlage. Sicherheit ist allerdings ein System aus mehreren Bausteinen – genau dafür gibt es unseren ausführlichen Leitfaden.
Hinweis: Dieser Beitrag dient der Information und gibt öffentliche Berichterstattung in eigenen Worten wieder. Sicherheit ist kein Einmal-Zustand, sondern eine fortlaufende Routine. Die genannten Maßnahmen sind allgemeine Empfehlungen und ersetzen keine individuelle Beratung.