Operation ASTERIX: 316.002 deutsche Handynummern für gefälschte Wallet-Apps und Support-Anrufe

Wenn dich jemand anruft, deinen Namen und deine E-Mail-Adresse kennt und dich bittet, eine Wallet-Anwendung neu zu installieren, dann ist der Anruf mit hoher Wahrscheinlichkeit der Angriff selbst. Genau dieses Muster beschreibt das Sicherheitsunternehmen Rapid7 in einem Bericht vom 17. August 2026 unter dem Namen Operation ASTERIX. Der Kern für Leser in Deutschland steckt in einer einzigen Zahl: In der größten sichergestellten Datei lagen 316.002 deutsche Mobilfunknummern.

Der Fall ist deshalb bemerkenswert, weil er drei Angriffswege zusammenschaltet, die sonst getrennt auftreten. Eine Telefonanlage ruft automatisiert an. Eine E-Mail liefert den Vorwand. Und am Ende steht ein Programm, das aussieht wie die gewohnte Wallet-Software und die Wiederherstellungswörter abfragt. Wer diese Kette einmal verstanden hat, erkennt sie an der Stelle, an der sie bricht.

Operation ASTERIX erklärt: Was Rapid7 auf einem offenen Server gefunden hat

Operation ASTERIX ist die Bezeichnung für eine Betrugskette, die Telefonanrufe, Phishing-Mails und nachgebaute Wallet-Programme zu einem einzigen Ablauf verbindet. Den Namen haben die Analysten vergeben: Auf dem Server lief Asterisk, eine quelloffene Telefonanlagen-Software, und die diente als Rückgrat der Anrufe.

Gefunden wurde der Server durch einen Fehler der Betreiber. Nach Darstellung von Rapid7 war ein Web-Verzeichnis auf Port 8080 ohne Anmeldung erreichbar und listete seinen Inhalt offen auf. Darin lagen Telefonnummern-Datensätze, Werkzeuge zur Kontoprüfung, fertige Installationspakete der gefälschten Programme, Phishing-Oberflächen, Wählskripte und Sitzungsprotokolle der eingesetzten Sprachmodelle. Rapid7 hat die Erkenntnisse nach eigenen Angaben unter anderem an das Sicherheitsteam von Apple gemeldet und mit den Beteiligten an Gegenmaßnahmen gearbeitet.

Ein solcher Fund ist selten so vollständig. Meist sieht man von einer Kampagne nur das, was beim Opfer ankommt. Hier lag die Werkbank offen.

316.002 deutsche Handynummern: Warum Deutschland der größte Einzelposten war

Insgesamt umfassten die gefundenen Datensätze rund 885.000 Telefonnummern aus mehreren Regionen. Neben Deutschland nennt der Bericht Hongkong, Bulgarien, das Vereinigte Königreich, die Vereinigten Staaten und einen kanadischen Finanzdienstleister. Für Nutzer einer bekannten Hardware-Wallet-Marke lagen zusätzlich 54 nach Ländern sortierte Dateien vor.

Die deutsche Datei war die größte einzelne. Das heißt nicht, dass 316.002 Menschen in Deutschland angerufen wurden. Es heißt, dass ihre Nummern als Ausgangsmenge bereitlagen. Der Unterschied ist wichtig und wird weiter unten noch einmal aufgegriffen, weil er darüber entscheidet, wie groß diese Kampagne tatsächlich war.

Woher die Nummern stammen, sagt der Bericht nicht. Datensätze dieser Größenordnung kursieren seit Jahren aus Datenlecks bei Händlern, Versanddienstleistern und Onlinediensten. Für die Abwehr spielt die Herkunft keine Rolle: Eine Telefonnummer lässt sich nicht zurückrufen.

Trefferquote 13,6 Prozent: Wie aus Telefonnummern Krypto-Konten gefiltert werden

Der eigentliche Kunstgriff liegt vor dem ersten Anruf. Die Betreiber ließen automatisierte Prüfwerkzeuge gegen die Anmeldefunktion eines großen Handelsplatzes laufen und stellten so fest, welche Nummer dort ein Konto besitzt. Das Verfahren nutzt aus, dass viele Dienste beim Anmeldeversuch unterschiedlich antworten, je nachdem ob eine Nummer registriert ist.

Nach den Angaben im Bericht lag die Trefferquote im deutschen Datensatz bei 13,6 Prozent. Aus den 316.002 Nummern wurden damit 43.066 bestätigte Konten. Ungefähr jede siebte Nummer gehörte zu einem aktiven Nutzer.

Für die Angreifer ist das eine Effizienzfrage. Statt hunderttausende Menschen anzurufen und bei den meisten auf Unverständnis zu stoßen, bleibt eine Liste, bei der jeder Angerufene das Produkt kennt, über das gesprochen wird. Der Anruf wirkt dadurch plausibel, bevor ein Wort gefallen ist.

Vishing statt E-Mail: Wie der Anruf über eine Telefonanlage zustande kommt

Vishing bezeichnet Phishing per Sprachanruf: Der Betrugsversuch läuft über das Telefon statt über eine E-Mail. Auf dem Server fand Rapid7 dafür die vollständige Ausstattung, darunter die Telefonanlagen Asterisk und 3CX sowie mehrere Skripte zum automatisierten Wählen und zur Koordination mit der übrigen Infrastruktur.

Die Wirkung entsteht aus der Vorbereitung. Wer anruft, kann laut Bericht den Namen des Angerufenen nennen, die E-Mail-Adresse, den Ort und Angaben zum Konto. Das ist keine Zauberei, sondern das Ergebnis der vorgeschalteten Prüfung und der Datensätze. Für den Angerufenen sieht es aus wie ein Rückruf des Anbieters, bei dem der Mitarbeiter die Akte vor sich hat.

Anschließend folgt der Vorwand. Es gibt ein Sicherheitsproblem, eine verdächtige Anmeldung, eine notwendige Aktualisierung. Die Lösung, die angeboten wird, ist immer dieselbe: eine Anwendung installieren, die per E-Mail oder über einen genannten Link bereitsteht.

Gefälschte Trezor Suite, Ledger Live und Exodus: Welche Wallet-Programme nachgebaut wurden

Rapid7 hat drei nachgebaute Anwendungen sichergestellt. Es handelt sich um Fälschungen von Trezor Suite, Ledger Live und Exodus, jeweils als Installationspaket für Windows und macOS, im Fall der Trezor-Fälschung getrennt für Intel- und Arm-Prozessoren.

Der Punkt, der hier oft missverstanden wird: Die Hersteller dieser Programme sind in diesem Fall die Nachgeahmten. Weder ihre Geräte noch ihre echten Anwendungen wurden angegriffen. Nachgebaut wurde die Oberfläche, also das, was du auf dem Bildschirm siehst. Der Angriff findet in dem Moment statt, in dem du deine Wörter in ein Fenster tippst, das nur so aussieht wie das gewohnte.

Der doppelte Eingabe-Trick: Warum die gefälschte App einen Fehler vortäuscht

Das interessanteste Detail des Berichts ist eine kleine Gemeinheit im Ablauf. Die gefälschte Trezor-Anwendung nimmt Wiederherstellungsphrasen mit 12, 18, 20 oder 24 Wörtern entgegen, dazu auf Wunsch eine zusätzliche Passphrase. Nach der ersten Eingabe zeigt sie einen erfundenen Prüffehler an und bittet um erneute Eingabe.

Das dient der Qualitätssicherung der Täter. Wer eine Wiederherstellungsphrase abtippt, vertippt sich leicht, und ein einziges falsches Wort macht die Beute wertlos. Der vorgetäuschte Fehler sorgt dafür, dass die zweite Eingabe sorgfältiger ausfällt und beide Fassungen abgeglichen werden können.

Wenn du dieses Verhalten kennst, hast du ein sehr klares Erkennungszeichen an der Hand. Eine echte Wallet-Anwendung fordert dich im laufenden Betrieb nicht auf, deine Wiederherstellungswörter einzugeben. Diese Wörter braucht man ausschließlich beim Einrichten eines Geräts oder beim Wiederherstellen nach einem Verlust, und dann auf dem Gerät selbst.

Seed Phrase per Telegram-Bot: Wohin die Wiederherstellungswörter abfließen

Die Seed Phrase, auch Wiederherstellungsphrase genannt, ist die Wortfolge, aus der sich sämtliche Schlüssel einer Wallet neu berechnen lassen. Wer sie hat, hat das Guthaben, unabhängig davon, wo das Gerät gerade liegt.

Nach der Auswertung von Rapid7 packt die gefälschte Anwendung die Wortfolge, die optionale Passphrase und die IP-Adresse des Rechners in eine einzige Nachricht und schickt sie an einen Telegram-Bot. Die Nachricht trägt eine Kopfzeile, die den Inhalt benennt. Der Abfluss ist also sofort und ohne Umweg über einen eigenen Server organisiert.

Praktisch bedeutet das: Zwischen der Eingabe und dem Zugriff der Täter liegen Sekunden, nicht Stunden. Ein Widerruf ist ausgeschlossen. Wie du eine Wiederherstellungsphrase stattdessen aufbewahrst, ohne sie je in ein Textfeld zu tippen, haben wir in einem eigenen Beitrag zur sicheren Aufbewahrung der Seed Phrase beschrieben.

Trojanisierter Installer: Wie ein gefälschtes Werkzeug die falsche Wallet mitliefert

Ein Fund fällt aus dem üblichen Rahmen. Neben den drei Wallet-Fälschungen lag auf dem Server ein manipuliertes Installationsprogramm, das sich als Entwicklerwerkzeug ausgibt und dabei die gefälschte Ledger-Live-Anwendung mit ausliefert.

Die Zielgruppe verschiebt sich damit. Angesprochen sind nicht mehr nur Anleger, die auf einen Support-Anruf reagieren, sondern auch technisch versierte Nutzer, die Software aus Suchergebnissen oder Anzeigen herunterladen. Gerade diese Gruppe hält sich für weniger gefährdet, weil sie die klassischen Phishing-Mails erkennt.

Für dich folgt daraus eine simple Regel, die im Abschnitt zu den Bezugsquellen weiter unten konkret wird: Ein Installationspaket ist nur so vertrauenswürdig wie der Weg, über den du es bekommen hast.

KI-Werkzeuge im Angriffsbaukasten: Was die Sitzungsprotokolle zeigen

Weil die Betreiber ihre Arbeitsumgebung offen liegen ließen, sind auch die Protokolle ihrer Sprachmodell-Sitzungen erhalten. Rapid7 beschreibt, dass die Werkzeuge für gewöhnliche Entwicklerarbeit eingesetzt wurden: Skripte schreiben, Daten aufbereiten, Anwendungen paketieren, Infrastruktur einrichten.

Der Bericht ordnet die Aufgaben unterschiedlichen Anbietern zu. Ein Programmierassistent habe bei der Entwicklung im Hintergrund geholfen, ein weiteres Werkzeug bei der Verwaltung und Bereinigung der Nummernlisten, unter anderem bei einem Bestand von mehr als 103.000 polnischen Rufnummern. Als es um das Verschleiern von Schadcode ging, sei die Anfrage abgelehnt worden, woraufhin die Betreiber auf ein anderes Modell auswichen und dort einen Umgehungsversuch unternahmen. Ob dieser Versuch erfolgreich war, lässt sich nach Angaben von Rapid7 nicht feststellen.

Für die Einordnung ist wichtig, was hier belegt ist und was nicht. Belegt ist, dass die Angreifer solche Werkzeuge für die Vorbereitung genutzt haben. Nicht belegt ist, dass diese Werkzeuge den Angriff erst möglich gemacht hätten. Telefonanlagen, Nummernlisten und nachgebaute Oberflächen gab es lange vorher; die Protokolle zeigen vor allem, wie viel Aufwand entfällt, wenn Routinearbeit an eine Maschine geht.

Nur 20 Abfragen und sechs E-Mails: Warum die Kampagne kleiner war, als die Zahlen wirken

An dieser Stelle gehört eine Zahl in den Text, die der Schlagzeile widerspricht. In einer der Phishing-Oberflächen waren nach Angaben von Rapid7 über einen Zeitraum von etwa zwei Wochen lediglich 20 erfolgreiche Datenabfragen und sechs versendete Phishing-Mails protokolliert.

Das ist kein Massenversand. Es deutet auf eine Kampagne im Aufbau oder auf eine bewusst kleine, gezielte Auswahl. Die 885.000 Nummern beschreiben also das Potenzial des Vorrats, nicht die Zahl der Betroffenen. Wer daraus eine Meldung über hunderttausende geschädigte Anleger macht, überzeichnet den Befund.

Die Relevanz für dich ändert sich dadurch trotzdem nicht wesentlich. Der Bauplan ist dokumentiert, die Werkzeuge sind zusammengestellt, und die Vorarbeit in Form geprüfter Kontolisten ist geleistet. Solche Infrastruktur wird selten stillgelegt, sie wechselt den Betreiber.

Falscher Support-Anruf: Woran du ihn im Gespräch erkennst

Es gibt eine Handvoll Merkmale, die unabhängig vom Anbieter tragen und die du dir für den Ernstfall merken kannst.

• Es ruft niemand an, den du nicht angerufen hast. Handelsplätze und Wallet-Hersteller arbeiten über Ticketsysteme, nicht über ausgehende Anrufe an Privatkunden.
• Der Anrufer kennt deine Daten. Das ist kein Beweis für Echtheit, sondern nach diesem Fall eher ein Warnzeichen, weil geprüfte Listen der Ausgangspunkt sind.
• Es entsteht Zeitdruck. Ein angeblich laufender Zugriff, eine Sperre in wenigen Minuten, eine Aktualisierung, die sofort erfolgen muss.
• Am Ende steht immer eine Installation oder eine Eingabe. Genau dort liegt der Zweck des Gesprächs.
• Der Rückrufweg wird umgangen. Wer echt ist, hat nichts dagegen, dass du auflegst und über die offizielle Adresse selbst Kontakt aufnimmst.

Der letzte Punkt ist der belastbarste. Leg auf, such die Kontaktseite deines Anbieters über deinen eigenen Browser-Verlauf oder dein Lesezeichen, und frag dort nach. Ein echtes Anliegen überlebt einen Rückruf; ein Betrugsversuch nicht.

Dieselbe Grundregel gilt für die E-Mail-Variante der Masche, bei der eine angebliche Auszahlungsaufforderung im Postfach landet. Woran du die erkennst, steht in unserem Beitrag zu gefälschten Auszahlungsaufforderungen.

Wallet-App prüfen: Wo die echten Programme wirklich liegen

Weil in diesem Fall drei bekannte Anwendungen nachgebaut wurden, lohnt der Blick auf die Bezugswege. Wir haben die naheliegenden Adressen am 22. August 2026 gegen 19:00 Uhr UTC selbst abgerufen, um zu sehen, wo ein Nutzer tatsächlich landet.

Das Ergebnis ist uneinheitlich. Die offizielle Seite zu Trezor Suite antwortete direkt und führte zum Programm. Die naheliegende Adresse für Ledger Live dagegen leitete auf den Shop-Bereich des Herstellers weiter, also nicht auf eine reine Download-Seite. Bei Exodus wurde der automatisierte Abruf der Download-Adresse abgewiesen, während die Hauptseite normal antwortete. Diese Abweisung ist ein Schutzmechanismus gegen Bots und sagt nichts über die Erreichbarkeit im Browser aus.

Bezugsweg der Wallet-Software: Was das für dich praktisch heißt

Wenn schon der direkte Weg zum Hersteller umleitet, ist die Wahrscheinlichkeit hoch, dass Nutzer stattdessen suchen. Und Suchergebnisse und bezahlte Anzeigen sind seit Jahren der bequemste Verteilweg für nachgebaute Anwendungen. Setz dir deshalb ein Lesezeichen auf die Herstellerseite, solange du sie sicher erreicht hast, und benutz von da an nur noch dieses. Wer vor der Wahl eines Geräts steht, findet die Anbieter samt ihrer offiziellen Bezugswege in unserem Vergleich der Hardware-Wallets.

Seed Phrase eingegeben: Was in den ersten Minuten zählt

Falls du eine Wiederherstellungsphrase in ein Programm getippt hast, dessen Herkunft du nicht sicher belegen kannst, gilt die Wallet als kompromittiert. Nicht als möglicherweise gefährdet, sondern als offen.

Die Reihenfolge ist dann eindeutig. Richte auf einem Gerät, dem du vertraust, eine neue Wallet mit einer neuen Wiederherstellungsphrase ein. Überweise das Guthaben dorthin, beginnend mit dem größten Posten. Prüfe erst danach, was sonst noch betroffen sein könnte, etwa gleichlautende Passwörter oder verknüpfte Konten bei Handelsplätzen. Das Passwort einer Wallet zu ändern hilft an dieser Stelle nicht, weil die Wörter selbst der Zugang sind.

Dokumentiere den Vorgang parallel: Zeitpunkt, Anwendung, Herkunft der Datei, Transaktionskennungen. Für eine Anzeige bei der Polizei und für die spätere steuerliche Behandlung eines Verlusts brauchst du diese Angaben, und im Nachhinein sind sie schwer zu rekonstruieren.

Gefälschte Wallet-App erkennen: Was du daraus mitnimmst

1. Behandle jeden unaufgeforderten Anruf zu deinem Krypto-Konto als Betrugsversuch. Leg auf und nimm über einen Weg Kontakt auf, den du selbst kennst. Wenn du dabei feststellst, dass dein Anbieter gar keinen telefonischen Support führt, hast du die Antwort schon. Welche Handelsplätze in der EU zugelassen sind und wie du ihre echten Kontaktwege findest, zeigt unsere Übersicht der regulierten Krypto-Börsen.
2. Beziehe Wallet-Software ausschließlich über ein selbst gesetztes Lesezeichen. Nicht über Suchtreffer, nicht über Anzeigen, nicht über einen Link aus einem Gespräch. Eine Übersicht der gängigen Anwendungen samt Herstellerangaben findest du im Vergleich der Software-Wallets.
3. Gib die Wiederherstellungsphrase in kein Programm ein, das dich im laufenden Betrieb danach fragt. Diese Wörter gehören auf das Gerät beim Einrichten oder Wiederherstellen, sonst nirgendwohin. Welches Gerät die Eingabe auf dem eigenen Display bestätigt und damit den entscheidenden Zwischenschritt absichert, steht im Vergleich der Hardware-Wallets.

Der Bericht selbst ist öffentlich einsehbar und für alle Angaben dieses Beitrags die Grundlage: Rapid7 Labs zu Operation ASTERIX.

(Stand: 22. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)