Nicht vertrauen, sondern überprüfen: Manipulierte KI-Links offenbaren einen Albtraum für Krypto-Mitarbeiter

Claude-Chat-Link wird zur Malware-Falle

Generative künstliche Intelligenz (KI) gewinnt täglich an Bedeutung, und Menschen, die im Bereich digitale Vermögenswerte und Distributed-Ledger-Technologien arbeiten, nutzen diese Technologie regelmäßig für ihre Arbeit. Das Problem ist, dass diese Zielgruppe gezielt von böswilligen Angreifern ins Visier genommen wird und dass geheime Informationen, die sich nicht ohne Weiteres widerrufen lassen, gestohlen werden könnten. Am Freitag erklärte Numa Lunah, Mitbegründer von Refi Hub, dass er „gehackt wurde“. „Wurde gestern gehackt“, schrieb er auf X. „Der Link stammte aus dem Claude-Chat. Ich war gerade dabei, eine Transkriptions-App zu installieren. Claude schickte mir den Download-Link, und ich fügte den Befehl in das Terminal ein. Es sah alles ganz legitim aus. War es aber nicht. Es handelte sich um eine gefälschte Website, die Malware enthielt. Sie wurde sofort ausgeführt und versuchte, mir alles zu stehlen.“

Der Entwickler fügte hinzu, dass keine seiner sensiblen Daten abhandengekommen seien, und dass er den von ihm genutzten Laptop gelöscht und mit einer sauberen Installation neu aufgesetzt habe. Doch damit war die Angelegenheit noch nicht beendet. „Hier kommt der beängstigende Teil“, erklärte Numa. „Beim Wiederherstellen aus dem Backup fand ich eine manipulierte SKILL.md-Datei für Claude Code. Sie sah genauso aus wie mein eigener Stilleitfaden. Doch darin versteckt waren Anweisungen, die Malware unbemerkt erneut herunterzuladen und meine Anmeldedaten zu stehlen, jedes Mal, wenn die KI sie lud.“

LLM-Antworten eröffnen einen neuen Angriffsvektor, während Krypto-Mitarbeiter mit einem Sicherheitsproblem ohne „Rückgängig“-Button konfrontiert sind

Numas Erfahrung ist nicht der erste Fall, in dem ein LLM bösartige Antworten weitergibt. Vor einigen Monaten warnten Experten von Microsoft Defender, dass sich Cryptojacking-Angriffe von einfachem SEO-Poisoning hin zu LLM-Antwort-Poisoning weiterentwickelt hätten. Angriffe dieser Art gehen von KI-Modellen wie Gemini, Claude, Copilot und ChatGPT aus. Zu den Angriffsmethoden zählen im Kontextfenster geteilte Artefakte, Chatbots, die vom Angreifer kontrollierte Download-Links empfehlen, gefälschte Installationsprogramme unter dem Deckmantel der KI sowie manipulierte Codebasen und Agent-Fähigkeiten.

Grundsätzlich enthält ein normaler Laptop eines Wissensarbeiters wiederverwendbare Geheimnisse, die auch nach einem Hack widerrufen werden können, während Krypto-Mitarbeiter Geheimnisse besitzen können, die nicht widerrufen werden können. Dazu gehören unter anderem Seed-Phrasen, exportierte XPRV-/Keystore-Dateien, Hot-Wallet-JSON-Dateien, API-Schlüssel von Börsen mit Auszahlungsrechten, Deployer-Schlüssel, Lightning-Macaroons, Begleitdaten für Hardware-Wallets sowie Sitzungs-Cookies für CEX-Dashboards und vieles mehr.

Die gefährlichste Schwachstelle könnten menschliches Vertrauen und Bequemlichkeit sein

Die jüngsten Warnungen zeigen, dass ein grundlegender Wandel in der Sicherheitskultur notwendig ist. Anstatt KI-Tools einfach routinemäßig zu vertrauen, muss eine durchgängige Skepsis gegenüber der Automatisierung selbst an den Tag gelegt werden. Mitarbeiter in dieser Branche täten gut daran, jeden KI-Vorschlag als grundsätzlich feindlich einzustufen, unabhängig von der Quelle. Das ist weder übertriebene Vorsicht noch Paranoia, sondern buchstäblich eine Frage des Überlebens.

Die Lehre aus dieser Geschichte sind nicht anfälliger Code oder manipulierte Ausgaben unserer bevorzugten KI-Modelle; es ist der menschliche Instinkt, bequemen Antworten zu vertrauen. Dieser Instinkt ist in diesem Umfeld ein Risiko, das kein Patch beheben kann. Was den Mitbegründer von Refi Hub letztendlich gerettet hat, war die Tatsache, dass er nach eigenen Angaben „jede Skill-, Hook- und Konfigurationsdatei gelesen hat, bevor er die KI daran arbeiten ließ“.

Leider überprüfen die meisten KI-Nutzer heutzutage die Informationen, die ihnen die KI liefert, wahrscheinlich nicht noch einmal auf ihre Richtigkeit, sondern vertrauen ihnen einfach aus Gründen, die nach wie vor schwer zu erklären sind.