Bitquery verfolgt 4 Millionen USDT aus geleerten TRON-Wallets

Unbekannte haben zwischen dem 5. Oktober und dem 4. November mindestens 4,06 Millionen USDT aus 365 Wallets im TRON-Netz abgezogen, hat das Analysehaus Bitquery auf der Blockchain nachgezählt. Ob dahinter Schadcode auf iPhones steckt, wie Betroffene berichten, ist nur in einem Fall belegt. Trust Wallet rät seinen iPhone-Nutzern seit Freitag, sofort das neueste iOS zu installieren.

Ausgangspunkt war ein einzelner Diebstahl. Am 15. Oktober um 07:29:48 UTC verließen 16.428 USDT eine Wallet auf einem iPhone, die ganze Summe in einer Zahlung. Zwölf Sekunden später folgte der Rest an TRX. Der Besitzer hatte den Fall einer russischsprachigen Nachrichtenseite geschildert: Er habe in Safari ein Video geöffnet, auf eine Anzeige getippt und sei auf eine fremde Seite geleitet worden.

Betrag, Abstand und Restguthaben stimmen nach der Auswertung von Bitquery sekundengenau mit einer Adresse im TRON-Netz überein. Von dort führte die Spur zu einer Sammeladresse und weiter zu einem Netz aus 43 kurzlebigen Sammel-Wallets, deren Netzwerkgebühren alle dieselbe Adresse bezahlte.

Die Diebe bezahlten die Gebühren ihrer Opfer selbst

Wer auf TRON USDT verschickt, zahlt die Gebühr in TRX, und viele Nutzer halten davon kaum etwas. Die Täter schickten deshalb zuerst ein paar TRX an die Opfer-Wallet und zogen Sekunden später das gesamte USDT-Guthaben ab. Am 25. Oktober um 23:16 UTC etwa kamen 18 TRX an, 18 Sekunden darauf gingen 519.093 USDT hinaus.

Den Schlüssel zu den Wallets hatten die Täter also schon.

Fast die Hälfte der geleerten Wallets, 46 Prozent, war nach Bitquery seit mehr als einem Jahr in Gebrauch. Auf acht weiteren Blockchains, von Ethereum bis Solana, leerten dieselben Täter laut der Auswertung 65 Wallets um mindestens 103.000 Dollar. Am 18. Oktober flossen der Gebührenadresse Auszahlungen von den Börsen Bybit und HitBTC zu; die Börsen können nach Bitquery sehen, wer sie veranlasst hat. Das Geld wanderte über den Stablecoin USDD und Brücken wie deBridge und NEAR Intents weiter.

Apple hat die ausgenutzten Lücken geschlossen

Die Spur zum iPhone ist dünner als die Geldspur. “The chain rarely shows which app a victim used”, schreibt Bitquery, sinngemäß: Welche App ein Opfer nutzte, verrät die Blockchain selten. Eine Zahl von 1,1 Millionen Dollar Schaden bei Trust-Wallet-Nutzern, die auf X kursiert, ließ sich deshalb weder bestätigen noch widerlegen; das Sicherheitsbündnis SEAL zählte in der Woche bis zum 3. November sechs gemeldete Diebstähle von iPhones mit zusammen rund 127.000 Dollar.

Verdächtigt werden die Angriffswerkzeuge Coruna und DarkSword, die ältere iPhones über präparierte Webseiten übernehmen und nach Wiederherstellungswörtern in Fotos und Notizen suchen. Apple hat die Lücken nach Angaben von Trust Wallet bereits geschlossen, Geräte mit dem neuesten iOS sind nicht betroffen, und wo das Update nicht geht, empfiehlt der Wallet-Anbieter den Blockierungsmodus von iOS.

Fotos sind kein Tresor. Ein Screenshot der zwölf oder 24 Wörter ist genau das, wonach die Werkzeuge suchen; wie man sie stattdessen aufbewahrt, steht in unserem Ratgeber zur Seed-Phrase-Sicherheit. Wer größere Summen hält, lässt die Schlüssel ohnehin besser auf einer Hardware-Wallet, die kein Browser erreicht.