Angreifer nutzten eine gefälschte TronLink-Erweiterung mit Remote-Phishing-Tools, um Wallet-Zugangsdaten von TRON-Nutzern zu stehlen.
Krypto-Wallet-Nutzer sind mit einer neuen Phishing-Bedrohung konfrontiert, nachdem das Cybersicherheitsunternehmen SlowMist eine gefälschte TronLink Chrome-Erweiterung entdeckt hat, die gezielt TRON-Inhaber angreift. Angreifer nutzten versteckte Täuschungstricks und eine nahezu perfekte Wallet-Kopie, um sensible Zugangsdaten von Opfern zu stehlen. Forscher warnen, dass die Kampagne fortschrittliche Umgehungsmethoden einsetzt, die die Erkennung weitaus schwieriger machen als bei typischen Krypto-Betrugsmaschen.
Gefälschte TronLink Chrome-Erweiterung stiehlt Wallet-Zugangsdaten
Das Cybersicherheitsunternehmen SlowMist hat eine ausgeklügelte Phishing-Kampagne aufgedeckt, die gezielt Nutzer von TronLink angreift. Laut Bericht verteilten Angreifer eine gefälschte Chrome-Erweiterung, die die offizielle TronLink-Wallet imitiert, während sie leise sensible Wallet-Zugangsdaten stiehlt.
🚨 Threat Intelligence | Analysis of a Fake TronLink Chrome Extension Phishing Campaign 🚨
SlowMist’s MistEye threat monitoring system recently detected a high-risk phishing campaign targeting #TRON wallet users. Attackers created a fake Chrome MV3 extension impersonating… pic.twitter.com/2ygOLsdTtw
— SlowMist (@SlowMist_Team) May 11, 2026
Forscher erklärten, die Kampagne habe fortschrittliche Verschleierungsmethoden verwendet, die bei gewöhnlichen Krypto-Betrugsmaschen selten vorkommen. Anstatt bösartigen Code direkt in der Erweiterung zu verstecken, verließen sich die Betreiber auf entfernte Infrastruktur und Anti-Analyse-Techniken, um einer Erkennung zu entgehen. Die Ergebnisse stammen von SlowMists MistEye-Bedrohungsüberwachungssystem.
Laut dem Bericht erstellten Angreifer eine gefälschte Chrome-MV3-Erweiterung unter Verwendung von Unicode-Bidirektionalzeichen und kyrillischen Homoglyphen, um den TronLink-Markennamen nachzuahmen. Die betrügerische Erweiterung übernahm auch Nutzerstatistiken und positive Bewertungen aus dem legitimen Eintrag, sodass die gefälschte Version für ahnungslose Nutzer vertrauenswürdig wirkte.
SlowMist fordert Nutzer auf, verdächtige TronLink Chrome-Erweiterungen zu entfernen
Sicherheitsanalysten fanden zudem heraus, dass die lokalen Dateien der Erweiterung nahezu keine bösartige Logik enthielten. Stattdessen lud der Code über ein Iframe eine entfernte Phishing-Oberfläche. Diese Konfiguration verringerte die Wahrscheinlichkeit, dass statische Scanner die Erweiterung bei einer Überprüfung markieren.
Sobald die Erweiterung aktiv war, kopierte die Phishing-Seite die offizielle TronLink-Web-Wallet-Oberfläche. Opfer wurden aufgefordert, Mnemonic-Phrasen, private Schlüssel, Keystore-Dateien und Passwörter einzugeben. Die gestohlenen Daten wurden dann sofort über einen Telegram-Bot-Kanal an die Angreifer gesendet.
SlowMist identifizierte außerdem mehrere Anti-Forensik-Funktionen innerhalb des Phishing-Systems. Die Funktionen blockierten Berichten zufolge Rechtsklick-Aktionen, deaktivierten die Entwicklertools des Browsers, schränkten Drag-and-Drop-Aktivitäten ein und verhinderten das Drucken. Russischsprachige Nutzer wurden auf andere Seiten umgeleitet, um die Exposition gegenüber lokalen Ermittlern zu verringern.
Unterdessen forderte das Sicherheitsunternehmen die Nutzer auf, verdächtige oder unbekannte Chrome-Erweiterungen sofort zu entfernen, insbesondere solche, die vorgeben, TronLink zu sein. Laut dem Bericht sollten Händler, die möglicherweise Wallet-Zugangsdaten eingegeben haben, so schnell wie möglich eine neue Wallet erstellen und Gelder an eine neue Adresse verschieben. Das Belassen von Vermögenswerten in einer kompromittierten Wallet könne zu Diebstahl führen.
Schreibe einen Kommentar