Gestohlene Krypto-Daten werden im Dark Web für $105 verkauft

Gestohlene Krypto-Konten werden im Dark Web zu einem Durchschnittspreis von 105 $ verkauft. Die Daten stammen aus Phishing-Angriffen und gelten als erster Schritt in einer komplexen Diebstahl-Lieferkette.

Der Preis für ein einzelnes Krypto-Konto liegt laut SecureList zwischen 60 und 400 US-Dollar. Hacker erfassen Kryptodaten, monetarisieren sie sofort oder lagern sie in einer Datenbank ab. Das endgültige Ziel hängt von der Art und Qualität der erfassten Daten ab.

Wie gestohlene Kryptodaten Phishing-Seiten verlassen

Die erfassten Kryptodaten verlassen eine Phishing-Seite auf drei Wegen: per E-Mail-Zustellung, über einen Telegram-Bot oder durch Upload in ein Admin-Panel.

Angreifer missbrauchen zudem legitime Dienste, um ihre Aktivitäten zu verschleiern. Dazu gehören Google Forms, Microsoft Forms, GitHub, Discord und andere ähnliche Plattformen.

Bei der E-Mail-Zustellung werden die Daten aus gefälschten HTML-Formularen gesammelt und an ein serverseitiges Skript, meist PHP, gesendet. Das Skript leitet die gestohlenen Details dann an eine vom Angreifer kontrollierte E-Mail-Adresse weiter.

Ein Phishing-Kit verfügt über eine Datei zum Hosten der gefälschten Login-Seite, ein Skript zur Verarbeitung des Formulars und eine dritte Datei mit der E-Mail-Adresse des Angreifers. Die Zustellung von E-Mails nimmt jedoch aufgrund von Verzögerungen, Blockierungen durch Anbieter und schlechter Skalierbarkeit ab.

Anstatt E-Mails zu nutzen, senden viele Kits die Daten nun direkt an Telegram-Bots. Das bösartige Skript ruft die Telegram-API unter Verwendung eines Bot-Tokens und einer Chat-ID auf. Manchmal ist der API-Aufruf direkt im HTML-Code eingebettet.

Telegram hat sich als bevorzugter Kanal für Hacker etabliert. Gestohlene Daten kommen sofort an. Betreiber erhalten Echtzeit-Warnungen. Bots sind wegwerfbar und schwer zu verfolgen. Und das Hosting spielt kaum eine Rolle.

Fortgeschrittene Angreifer bevorzugen Admin-Panels. Sie sind Teil eines Frameworks oder Gerüsts, das Kryptodaten erfasst und an eine Datenbank sendet. Die Daten werden über eine Weboberfläche verwaltet.

Admin-Panels bieten Live-Statistiken nach Zeit und Land. Automatisierte Überprüfungen von Zugangsdaten sind enthalten. Das Framework exportiert zudem Daten zum Weiterverkauf oder zur Wiederverwendung. Diese Panels sind für organisierte Phishing-Operationen unverzichtbar.

Verkauf gestohlener Kryptodaten

Kryptodaten sind wertvoll, da sie häufig zu Geld führen. Die gestohlenen Daten können laut Kasperskys SecureList in Echtzeit verkauft oder in eine Weiterverkaufs-Pipeline eingespeist werden.

Hacker zielen auf Exchange-Logins, Wallet-Zugänge und Fiat-Onramp-Konten ab. Zu den weiteren angegriffenen Daten gehören Kontozugangsdaten, Telefonnummern und persönliche Informationen.

Wallet-Anmeldedaten mit Einmal-Codes oder Konten, die an Fiat-Onramps gekoppelt sind, qualifizieren sich für den Echtzeitverkauf. Die übrigen Daten werden für Folgeangriffe genutzt.

Telefonnummern können für SMS-Betrug oder die Abfangung von Zwei-Faktor-Authentifizierung (2FA) verwendet werden. Persönliche Daten dienen Social Engineering. Identifikationsdokumente, Sprachaufnahmen, Gesichtsdaten oder Selfies mit Dokumenten werden für Hochrisiko-Missbrauch eingesetzt.

Die Weiterverkaufs-Pipeline beginnt mit dem Verkauf von Dumps. Die Daten werden in große Archive oder Dumps gebündelt. Diese enthalten Millionen von Datensätzen aus Phishing-Angriffen. Zwischenhändler kaufen Dumps bereits ab 50 US-Dollar.

Sobald ein Dump erfasst wurde, filtern und testen Mittelsmänner die Daten. Anschließend prüfen automatisierte Skripte, ob die Zugangsdaten noch funktionieren. Der Code zeigt zudem, wo sie anderweitig wiederverwendet werden können.

Passwort-Wiederverwendung macht alte Daten wertvoll. Ein vor Jahren gestohlener Login kann heute noch ein anderes Konto entsperren. Anschließend werden die Daten aus mehreren Angriffen zusammengeführt. Ein Passwort, eine Telefonnummer und ein alter Arbeitgeber-Eintrag können so zu einem einzigen Benutzerprofil kombiniert werden.

Sobald die gestohlenen Daten bereinigt und organisiert sind, stehen sie für den Weiterverkauf an Betrüger bereit. Die verifizierten Daten werden auf Dark-Web-Foren und Telegram-Kanälen verkauft.

Telegram fungiert oft als Schaufenster mit Preisangaben und Käuferbewertungen. Die Preise variieren je nach Alter des Kontos, Guthaben, verknüpften Zahlungsmethoden und 2FA-Status.

Typische Preisspannen:

• Krypto-Konten: $60 – $400.

• Soziale Medien: Cent-Beträge bis zu Hunderten von Dollar.

• Messaging-Apps: Cent-Beträge bis $150.

• Persönliche Dokumente: $0.5–$125.

Die Analyse von Kaspersky ergab, dass 88,5 % der Angriffe auf Kontozugangsdaten abzielen. Rund 9,5 % stehlen persönliche Identitätsdaten, während lediglich 2 % Bankkartendetails sammeln. Das Cybersicherheitsunternehmen analysierte Phishing-Angriffe von Januar bis September 2025.

Gestohlene Kryptodaten sind ein wertvolles Gut für Cyberkriminelle. Sie werden gespeichert, bewertet, gehandelt und wiederverwendet. Ein einziger Phishing-Fehler kann noch Jahre später zu schweren Krypto-Hacks führen.