Die in dieser Woche gemeldeten Cybersicherheitsvorfälle reichten von groß angelegtem Diebstahl von Kryptowährungen und verdeckter Infrastruktur bis hin zu Phishing, Angriffen auf Software-Lieferketten und Spionagesoftware gegen mobile Nutzer. Mehrere Fälle begannen mit scheinbar gewöhnlichen Tools oder Diensten, darunter geteilte Links, Browser-Erweiterungen, Fernwartungssoftware und Drittanbieterplattformen.
Das FBI schrieb den Diebstahl virtueller Vermögenswerte im Wert von mehr als 6 Milliarden US-Dollar von Binance der nordkoreanischen Hackergruppe TraderTraitor zu. Die gemeldete Beute belief sich über 11 Blockchains hinweg auf 6,43 Milliarden US-Dollar, wobei sich 82 % der Vermögenswerte auf Ethereum und Bitcoin befanden. Tether, Circle, Ripple, Arbitrum und Optimism haben dem Bericht zufolge 2,85 Milliarden US-Dollar der gestohlenen Gelder on-chain eingefroren.
Die staatlich unterstützte chinesische Gruppe Volt Typhoon wurde ebenfalls mit Silent Train in Verbindung gebracht, einer Relaisinfrastruktur aus schnell wechselnden Ketten kompromittierter SOHO-, IoT- und Unternehmensgeräte. Das Netzwerk soll die Herkunft von Angriffen verschleiern, ausgewählte Operationen unterstützen und nach der Nutzung abgebaut werden. Die gemeldeten Aktivitäten deuten auf Bemühungen hin, den Zugang zu Kommunikationssystemen, kritischer Infrastruktur, Verteidigung, Logistik und anderen Systemen aufrechtzuerhalten, die während geopolitischer Spannungen wichtig werden könnten.
Die Prognosemarkt-Plattform Polymarket setzte den Handel vorübergehend aus, nachdem Angreifer DebugBear, einen Drittanbieterdienst, kompromittiert hatten. Über den Dienst verteiltes bösartiges JavaScript entwendete innerhalb von weniger als einer Stunde etwa 2,7 Millionen US-Dollar aus 33 Einzahlungs-Wallets. DebugBear erklärte, die Einträge bei seinem Domain-Registrar seien kompromittiert worden; zum Zeitpunkt seiner Aktualisierung habe das Unternehmen jedoch keine Beweise für einen Einbruch in seine internen Systeme gefunden.
Forscher von Parameter Labs legten eine inzwischen behobene Schwachstelle in ChatGPT offen, die gemeinsame Unterhaltungslinks betraf. Ein Angreifer konnte eine bösartige Unterhaltung erstellen und deren Freigabelink an einen anderen Nutzer senden, wodurch JavaScript innerhalb der authentifizierten ChatGPT-Sitzung des Opfers ausgeführt wurde. Eine erfolgreiche Ausnutzung konnte Unterhaltungslisten und private Unterhaltungsinhalte offenlegen und Daten an einen externen Server übertragen.
Cursor berichtete, dass zwei Versionen der offiziellen Claude-Code-Erweiterung auf seinem Marktplatz verändert worden waren, um eine dauerhafte SSH-Hintertür zu installieren. Der Vorfall könnte bis zu 5.000 Nutzer betroffen haben. Cursor erklärte, die Schlüssel ausgetauscht, den Marktplatz neu aufgebaut und den betreffenden Server offline genommen zu haben, und betonte zugleich, dass keine anderen Erweiterungen bösartig verändert worden seien. Fragen bleiben dazu offen, wie die veränderte Erweiterung unter dem Namen von Anthropic veröffentlicht werden konnte und welchen Zugriff der Angreifer erlangte.
Das US-Justizministerium gab die Beschlagnahmung einer mit Virtualine verbundenen Domain bekannt, einem Anbieter sogenannter bulletproof Hosting-Dienste. Die Behörden erklärten, der Dienst habe kriminelle Aktivitäten ermöglicht, darunter die Verbreitung sexuell expliziter Bilder Minderjähriger, nicht einvernehmlich verbreiteter intimer Bilder und internationale Geldwäsche. Der Bericht stellte außerdem fest, dass frühere Störungen der Infrastruktur den Markt fragmentieren könnten, indem sie Kunden zu neueren Diensten drängen.
Der Hersteller von Hardware-Wallets Keystone legte einen Sicherheitsvorfall offen, der seine Website und eine Schwachstelle in einem Überwachungstool eines Drittanbieters betraf. Der Angreifer erlangte Kundendaten und einen Schlüssel, der zur Überprüfung der Geräteauthentizität verwendet wurde. Zu den offengelegten Informationen gehörten Datensätze mit Namen, Kontaktdaten, Lieferadressen und Bestellinformationen sowie Checkout-Datensätze. Keystone erklärte, das Unternehmen werde 18.835 Lagergeräte mit dem alten Schlüssel vernichten und den Versand über seine offizielle Website vorübergehend aussetzen, während es auf ein Vorbestellungsmodell umstelle.
Trezor warnte unterdessen vor glaubwürdigen Berichten über ein mutmaßliches Implantat zum Diebstahl von Kryptowährungen in einem Safe-5-Gerät, das vom Wiederverkäufer CryptoBilis in Südostasien verkauft wurde. Kunden, die seit März 2026 einen Trezor bei diesem Wiederverkäufer gekauft hatten, wurde empfohlen, ihre Gelder in eine neu erstellte Wallet mit einer neuen Seed-Phrase zu übertragen.
Forscher identifizierten uCreator, ein kommerzielles Android-Spionageangebot für Nutzer mobiler Wallets und Messaging-Dienste in China und Südostasien. Die Schadsoftware zielt unter anderem auf GCash, WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber und MoMo und kann Berichten zufolge WeChat-Konten klonen. Opfer erhalten über Sideloading oder Social-Engineering-Kampagnen neu verpackte legitime Anwendungen. Die Spionagesoftware nutzt Virtualisierung auf dem Gerät, um zielgerichtete Anwendungen zu instrumentieren und Betrug zu ermöglichen.
Eine Kampagne namens Gheist nutzt gestohlene GitHub-Token, um in zugänglichen Repositories einen Workflow namens „sync-check“ zu platzieren. Der Workflow gibt Repository-Geheimnisse in seinem eigenen Protokoll aus, lädt dieses Protokoll über die GitHub-API herunter und löscht den Lauf kurz danach. Wiz erklärte, mehr als 13.500 platzierte Branches wiederhergestellt zu haben, die mit über 850 kompromittierten Konten verbunden waren. Die Kampagne wurde erstmals Mitte September 2026 entdeckt.
Die Woche brachte außerdem eine breite Gruppe von Schwachstellenmeldungen zu Produkten und Projekten wie Wasmtime, Fireblocks mpc-lib, COVESA vsomeip, ASUS-Software, Drupal, EPICS Base, TianoCore EDK II, GoAhead, Apache Camel, Okta, Apache Kafka, Google Chrome, Mozilla Firefox, dem Linux-Kernel, Veeam, dem Juniper Networks Session Smart Router, TeamViewer, Intelbras-IP-Kameras, WatchGuard Fireware OS, Apache Tomcat, Canonical LXD, Langflow OSS und TightVNC. Die Liste umfasste eine vor der Authentifizierung ausnutzbare Schwachstelle zur Remotecodeausführung in TightVNC sowie mehrere Schwachstellen in weit verbreiteter Software.
Sicherheitsforscher berichteten außerdem über die Kampagne Searchjacked, an der 319 Chrome-Erweiterungen mit zusammen 13,4 Millionen gemeldeten Installationen beteiligt waren. Die Erweiterungen kaperten Suchvorgänge über Tracking-Server, erfassten Suchanfragen und generierten Empfehlungszahlungen von Bing und Yahoo. Andere bösartige Browser-Erweiterungen gaben sich als Kryptowährungs-Wallets oder Dokumentanwendungen aus; dabei ging es um den Diebstahl von Wiederherstellungsphrasen, privaten Schlüsseln und Browserdaten.
Microsoft beschrieb zwei von Menschen gesteuerte Eindringversuche, bei denen Angreifer Teams-Nachrichten und -Anrufe nutzten, um sich als IT- oder Helpdesk-Mitarbeiter auszugeben. Die Angreifer überzeugten Nutzer, Fernzugriff zu gewähren, hauptsächlich über Quick Assist, stellten anschließend portable Laufzeitumgebungen bereit, führten System- und Netzwerkerkundungen durch und untersuchten Active Directory Certificate Services auf Wege zur zertifikatsbasierten Authentifizierung. Microsoft warnte, dass eine von einem Nutzer genehmigte Fernsitzung zum Zugriff auf privilegierte Identitäten und die Domäneninfrastruktur führen kann.
Zu den weiteren Entwicklungen gehörten die zunehmende Nutzung von Schwachstellen zum Eindringen in Unternehmensnetzwerke, der Missbrauch von Anti-Detect-Browsern wie Kameleo, AdsPower und MultiLogin zur Verwaltung großer Kontenzahlen sowie Cyberangriffe auf Notfallwarnsysteme in der Ukraine und Russland. Die Ukraine meldete landesweite falsche Luftangriffswarnungen, während Russland erklärte, auch seine Warnanwendung sei angegriffen worden, und sie als unterstützenden Dienst bezeichnete. Ein Zusammenhang zwischen den beiden Vorfällen wurde nicht festgestellt.
Quellen: The Hacker News.