Malware in gefälschten Coding-Tests für Kryptojobs

Gefälschte Coding-Tests für Kryptojobs sind ein Malware-Angriff, bei dem ein falscher Recruiter oder eine Scheinfirma einer Bewerberin oder einem Bewerber ein Take-Home-Projekt oder eine technische Aufgabe mit verstecktem Schadcode schickt; sobald die Person es installiert oder ausführt, stiehlt der Code Wallets, Passwörter und Zugangsdaten oder installiert eine Hintertür. Der Job, das Unternehmen und oft auch der Interviewer sind erfunden – der Coding-Test ist nur das Transportmittel.

Entwickler sind attraktive Ziele, weil auf ihren Rechnern oft Krypto-Wallets, private Schlüssel, Cloud-Zugangsdaten und Zugänge zu den Systemen ihres Arbeitgebers liegen. Sicherheitsforscher haben einige dieser Kampagnen öffentlich mit gut ausgestatteten, staatlich verbundenen Gruppen in Verbindung gebracht, sodass die Köder sehr professionell wirken können. Dieser Leitfaden erklärt, wie der Angriff funktioniert, wie eine realistische Version aussieht und wie du dich schützt.

So funktioniert der Angriff, Schritt für Schritt

1. 1Erster Kontakt. Ein Recruiter spricht dich über ein berufliches Netzwerk, eine Messaging-App oder eine Jobbörse an und bietet eine attraktive Stelle bei einem Krypto-Startup – oft remote, gut bezahlt und dringend.
2. 2Aufbau von Glaubwürdigkeit. Du erhältst eine ausgefeilte Stellenbeschreibung, eine Firmenwebsite und manchmal ein kurzes Gespräch mit einem freundlichen „Hiring Manager“. Profile können gestohlen oder KI-generiert sein.
3. 3Der Test. Du bekommst einen Link zu einem Code-Repository oder eine ZIP-Datei und sollst einen Bug beheben, ein Feature hinzufügen oder „es einfach ausführen und die Architektur begutachten“.
4. 4Die Ausführung. Der bösartige Teil läuft, wenn du Abhängigkeiten installierst oder die App startest. Das kann ein Post-Install-Skript, ein manipuliertes Paket oder eine Zeile in einer Konfigurationsdatei sein, die eine zweite Schadstufe herunterlädt und ausführt.
5. 5Der Diebstahl. Die Malware sucht nach Wallet-Erweiterungen im Browser, Wallet-Dateien, gespeicherten Passwörtern, Cookies, SSH-Schlüsseln und Umgebungsdateien, schickt sie an den Angreifer und installiert womöglich ein Fernzugriffstool.
6. 6Die Auszahlung. Deine Wallets werden leergeräumt, manchmal erst Tage später, und gestohlene Arbeitszugänge können genutzt werden, um deinen aktuellen Arbeitgeber anzugreifen.

Eine Variante verzichtet auf das Repository: Der Interviewer behauptet, seine Meeting-Software funktioniere nicht, und schickt einen Link zu einer „reparierten“ Videocall-App oder einem Treiber – und genau das ist die Malware. Unser Artikel Gefälschte Browser-Updates und Captcha-Malware, die auf Krypto-Nutzer abzielt vertieft diesen Punkt.

Ein zusammengesetztes Beispiel

Das Folgende ist ein hypothetisches Szenario, das typische Muster kombiniert, kein echter Fall.

Stell dir vor, ein Backend-Entwickler namens Sam wird von einem Recruiter wegen einer Stelle als „Senior Blockchain Engineer“ bei einem neuen DeFi-Startup kontaktiert. Nach einem angenehmen Gespräch erhält Sam ein privates Repository für ein „Staking-Dashboard“ und soll innerhalb von 24 Stunden einen fehlschlagenden Test reparieren. Sam klont es auf seinen Alltagslaptop und führt den Installationsbefehl aus. Die Paketdatei enthält ein Post-Install-Skript, das wie ein Build-Schritt aussieht, aber eine versteckte Schadsoftware nachlädt. Die Tests laufen problemlos, Sam reicht seine Lösung ein, und der Recruiter meldet sich nicht mehr. Eine Woche später ist Sams Browser-Wallet leer, und sein Cloud-Konto bei der Arbeit zeigt Anmeldungen aus dem Ausland.

Nichts in dieser Geschichte erforderte, dass Sam „auf einen bösen Link klickt“. Es genügte, den Code auszuführen. Für einen tieferen Einblick siehe Betrüger, die sich im Kryptobereich als Aufsichtsbehörden und Polizei ausgeben.

Checkliste der Warnsignale

Unser Leitfaden zu gefälschten Kryptojobs und Task-Betrug behandelt weitere jobbezogene Betrugsformen, und Krypto-Betrug auf LinkedIn erklärt, wie Recruiter-Identitätsbetrug in beruflichen Netzwerken funktioniert. Siehe auch: Gefälschte Krypto-Spendenaufrufe für Wohltätigkeit und Katastrophenhilfe.

So schützt du dich

Bevor du irgendetwas ausführst

• Prüfe das Unternehmen unabhängig. Suche die offizielle Website des Unternehmens selbst heraus, prüfe, ob die Stelle dort ausgeschrieben ist, und kontaktiere es über einen veröffentlichten Kanal. Siehe wie du prüfst, ob eine Website die offizielle Projektseite ist.
• Erst lesen, dann ausführen. Öffne die Paket- oder Build-Dateien und suche nach Installationsskripten, unbekannten Abhängigkeiten und langen kodierten Zeichenketten.
• Deaktiviere automatische Skripte, wo dein Paketmanager das zulässt, damit Abhängigkeiten bei der Installation nicht ohne dein Wissen Code ausführen können.

Die Umgebung isolieren

• Verwende eine verwerfbare virtuelle Maschine, einen Container oder eine Cloud-Entwicklungsumgebung.
• Stelle sicher, dass sie keine Wallets, Seed-Phrasen, Passwortmanager, SSH-Schlüssel, Cloud-Zugangsdaten oder angemeldete Browsersitzungen enthält.
• Lösche sie, sobald der Test erledigt ist.

Arbeit und Geld trennen

Bewahre Krypto auf einer Hardware-Wallet auf und speichere Seed-Phrasen oder private Schlüssel auf keinem Computer, den du zum Entwickeln nutzt. Ein eigenes Gerät für Krypto, getrennt von dem, auf dem du experimentierst, schränkt stark ein, was eine einzelne Infektion erreichen kann. Unser Leitfaden zu Supply-Chain-Angriffen erklärt, warum bösartige Abhängigkeiten selbst in seriösen Projekten gefährlich sind.

Was tun, wenn du einen verdächtigen Test ausgeführt hast

1. 1Trenne das Gerät vom Internet und nutze es für nichts Sensibles mehr.
2. 2Verschiebe von einem sauberen Gerät aus die Guthaben in neue Wallets mit brandneuen Seed-Phrasen. Verwende keine Seed-Phrase weiter, die jemals auf dem infizierten Rechner eingegeben oder gespeichert wurde.
3. 3Ändere Passwörter und beende Sitzungen für E-Mail, Börsen, Code-Hosting und Cloud-Konten – beginne mit der E-Mail. Tausche API-Schlüssel und SSH-Schlüssel aus.
4. 4Informiere das Sicherheitsteam deines Arbeitgebers, falls Arbeitszugänge oder Code auf dem Gerät waren.
5. 5Lösche und installiere das Betriebssystem neu, bevor du den Computer wieder verwendest.
6. 6Melde es. Melde das gefälschte Recruiter-Profil der Plattform und den Vorfall den örtlichen Behörden. Betrügerische Projekte oder Domains kannst du außerdem über unsere Seite zum Einreichen einer Anfrage melden.

Unsere Checkliste Was du sofort tun solltest, wenn deine Wallet kompromittiert ist beschreibt die Schritte zur Wiederherstellung ausführlicher.

Fazit

Ein gefälschter Coding-Test für einen Kryptojob macht deine eigenen Hände zum Transportmittel des Angreifers: In dem Moment, in dem du das Projekt installierst oder ausführst, kann versteckter Code alles auf deinem Rechner stehlen. Behandle jede unaufgeforderte Take-Home-Aufgabe als nicht vertrauenswürdigen Code, prüfe den Arbeitgeber unabhängig, führe Tests nur in einer sauberen, verwerfbaren Umgebung aus und bewahre deine Kryptoschlüssel auf einem separaten, dafür vorgesehenen Gerät auf.