FakeWallet crypto stealer spreading through iOS apps in the App Store

Securelist·20. April 2026, 09:22

Im März 2026 entdeckten Sicherheitsexperten über zwanzig Fälschungsapps im Apple App Store, die als beliebte Krypto-Wallets getarnt sind. Diese Apps leiten Nutzer auf gefährliche Browserseiten, von denen aus trojanisierte Versionen legitimer Wallets verteilt werden, um Recovery-Phrasen und private Schlüssel zu stehlen. Betroffen sind unter anderem MetaMask, Ledger, Trust Wallet und Coinbase. Kaspersky identifiziert diese Bedrohung als HEUR:Trojan-PSW.IphoneOS.FakeWallet.* und HEUR:Trojan.IphoneOS.FakeWallet.*. Nutzer sollten vorsichtig sein, Apps nur von offiziellen Quellen herunterladen und verdächtige Anfragen nach Zugangsdaten misstrauen.

Kurzfassung

Im März 2026 entdeckten Sicherheitsexperten über zwanzig Fake-Apps im Apple App Store, die sich als beliebte Krypto-Wallets tarnten. Die Apps leiten Nutzer auf gefährliche Browserseiten, die trojanisierte Wallet-Versionen verteilen, um Recovery-Phrasen und private Schlüssel zu stehlen. Betroffen sind unter anderem MetaMask, Ledger, Trust Wallet und Coinbase.

Relevanz für Manager / CISOs

Priorität:Hoch

Betroffene

Nutzer von Krypto-Wallets, darunter Nutzer von MetaMask, Ledger, Trust Wallet und Coinbase

Warum relevant

Recovery-Phrasen und private Schlüssel ermöglichen vollständigen Zugriff auf Krypto-Assets.

Realistisches Worst Case

Nutzer geben Recovery-Phrasen oder private Schlüssel an trojanisierte Wallets weiter und verlieren die Kontrolle über ihre Krypto-Assets.

Handlungsempfehlung

Apps nur aus offiziellen Quellen und verifizierten Anbieterlinks installieren, verdächtige Abfragen nach Recovery-Phrasen ablehnen und Wallets auf Manipulationsanzeichen prüfen.

Defensive Validierung / Purple-Team Checks

▸Defensiver Check 1: Mobile-Device-Management oder Asset-Daten auf bekannte Fake-Wallet-App-Installationen prüfen.
▸Defensiver Check 2: Nutzerkommunikation zu Recovery-Phrase-Schutz und offiziellen Wallet-Quellen aktualisieren.
▸Defensiver Check 3: DNS-, Proxy- oder Mobile-Security-Telemetrie auf Weiterleitungen zu verdächtigen Wallet-Downloadseiten prüfen.

MITRE ATT&CK Zuordnung

Taktik	Technik	Konfidenz	Beleg
Initial Access	T1444 Masquerade as Legitimate Application	High	Der Artikel beschreibt Fake-Apps, die als beliebte Krypto-Wallets getarnt sind.
Credential Access	T1417.001 Input Capture: Keylogging	Low	Der Artikel beschreibt den Diebstahl von Recovery-Phrasen und privaten Schlüsseln; die konkrete Erfassungsmethode ist nicht angegeben.