Gefälschtes CAPTCHA stiehlt Kryptowährung von macOS-Nutzern

Krypto-Nutzer sehen sich einer neuen Sicherheitsbedrohung durch gefälschte Cloudflare-CAPTCHA-Seiten ausgesetzt. Der Angriff führt zur Installation eines neuen Infostealers namens Infiniti Stealer, der speziell dafür entwickelt wurde, Krypto-Wallet-Daten von macOS-Systemen abzugreifen. 

Das bedeutet, dass jeder Entwickler oder Krypto-Nutzer, der einen MacBook oder Mac-Desktop-Computer besitzt, Gefahr läuft, von dieser Malware infiziert zu werden.

ClickFix-Angriff startet macOS-Systeminfektion

Sicherheitsforscher von Malwarebytes entdeckten diese Kampagne. Das Bedienfeld der Malware wurde später offengelegt und enthüllte den Namen „Infinite Stealer“.

Der Infostealer wird über einen ClickFix-Angriff eingeschleust. Ein ClickFix-Angriff zählt zu den Social-Engineering-Angriffen. Er verleitet Nutzer dazu, selbst einen schädlichen Befehl auszuführen. Anstatt den Computer direkt zu hacken, überzeugt er den Nutzer, dies für ihn zu tun.

Der Angriff beginnt mit einer gefälschten CAPTCHA-Seite von update-check[.]com. Die Seite sieht aus wie eine Cloudflare-Seite zur menschlichen Verifizierung, ist es aber nicht. Nach dem Klicken auf das gefälschte CAPTCHA wird der Benutzer aufgefordert, das Terminal zu öffnen und einen Befehl einzufügen.

Der Befehl dient nicht der Verifizierung. Es handelt sich um ein verstecktes Installationsskript, das die Schadsoftware auf den Computer des Benutzers herunterlädt und ausführt.

Der Angriff funktioniert, weil der Benutzer den Befehl ausführt. Er umgeht herkömmliche Schutzmechanismen, da keine Sicherheitslücke ausgenutzt wird.

Sobald der Befehl ausgeführt ist, verbindet er sich mit einem vom Angreifer kontrollierten Server, der Infiniti Stealer herunterlädt und unbemerkt auf dem Mac installiert. Keine Pop-ups, keine Warnungen – einfach eine stille Installation.

Sicherheitsforscher sagen, dass diese Malware schwer zu analysieren und zu erkennen ist, da sie in eine native macOS-Binärdatei kompiliert ist. Es handelt sich nicht einfach um ein Python-Skript, das leicht gelesen und verstanden werden kann.

Die Malware ist darauf ausgelegt, sensible Daten von Macs zu stehlen, darunter Krypto-Wallet-Daten,dentvon Browsern und dem macOS-Schlüsselbund, Klartextgeheimnisse in Entwicklerdateien und sogar Screenshots, die während der Ausführung aufgenommen wurden.

Es prüft außerdem, ob es in einer Analyseumgebung ausgeführt wird, um einer Entdeckung zu entgehen, und sendet die gestohlenen Daten an den Server des Angreifers. Telegram-Benachrichtigungen werden an den Angreifer gesendet, sobald dietracabgeschlossen ist, und die erfasstendentwerden zur serverseitigen Passwortknackung in eine Warteschlange gestellt.

ClickFix-Angriffe sind unter Windows weit verbreitet, doch Hacker passen sie nun auch für Apple-Geräte an. macOS-Systeme gelten nicht mehr als sicher vor Schadsoftware. Krypto-Nutzer sollten beim Surfen im Internet vorsichtig sein und niemals Befehle aus unbekannten Quellen in das Terminal einfügen.

Sicherheitslücken bei Krypto-Wallets nehmen stark zu

Dies ist nicht der erste ausgeklügelte Angriff auf Krypto-Nutzer unter macOS. Cryptopolitan berichtete bereits im März über GhostClaw, eine neue macOS-Malware, die private Schlüssel, Wallet-Zugangsdaten und andere sensible Daten stiehlt.

Die Schadsoftware war auf npm, einem gängigen Paketmanager für JavaScript, gelistet. Sie gab sich als echtes OpenClaw-Tool aus, führte aber stattdessen einen mehrstufigen Angriff durch. Insgesamt 178 Entwickler luden das schädliche Paket herunter, bevor es aus der Registry entfernt wurde.

Im Jahr 2025 wurden der Kryptowährungsbranche insgesamt 3,4 Milliarden Dollar gestohlen.

„Die Kompromittierung persönlicher Wallets hat deutlich zugenommen und ist von nur 7,3 % des gesamten gestohlenen Wertes im Jahr 2022 auf 44 % im Jahr 2024 angestiegen“, so ein Bericht des Blockchain-Sicherheitsunternehmens Chainalysis.

Ohne die verheerenden Auswirkungen des Bybit-Angriffs hätte das Ausmaß von Hackerangriffen auf private Geldbörsen im Jahr 2025 37 % erreicht.