Das US-Justizministerium hat am 2. September 2026 die Störung des sogenannten Sality-Botnets bekannt gegeben. Nach Angaben der Behörden nutzten die Betreiber dieses Netzwerks ein Schadprogramm namens EggJagger, das über acht Jahre mindestens 12,1 Millionen Rubel, umgerechnet rund 150.000 US-Dollar, an Kryptowährungen umgeleitet haben soll. Der Fall ist für Krypto-Nutzer relevant, weil die Malware beim Kopieren von Empfängeradressen auf infizierten Geräten ansetzte.
Sality-Botnet durch internationale Operation gestört
Laut einer Mitteilung des US-Justizministeriums erfolgte die Aktion in Zusammenarbeit mit Behörden aus Bulgarien, Ungarn und Rumänien sowie den privaten Partnern CrowdStrike und der Shadowserver Foundation. Sality sei demnach seit 2003 dafür eingesetzt worden, Malware auf kompromittierten Geräten zu installieren. Die Behörden brachten diese Aktivität mit Krypto-Diebstahl und weiteren Cyberangriffen in Verbindung.
CrowdStrike zufolge verloren die Betreiber infolge der Maßnahmen die Fähigkeit, mit infizierten Maschinen zu kommunizieren. Die verfügbaren Angaben beschreiben damit eine Störung des Netzwerks. Eine vollständige Beseitigung sämtlicher Komponenten oder Festnahmen Verantwortlicher werden darin nicht genannt.
So leitete EggJagger Krypto-Zahlungen um
Im Zentrum der Operation steht das Werkzeug EggJagger, das CrowdStrike als Clipjacking-Tool einordnet. Nach Darstellung des Unternehmens überwacht es die Zwischenablage eines infizierten Geräts gezielt auf Kryptowährungs-Wallet-Adressen und ersetzt diese still durch Adressen, die von den Betreibern kontrolliert werden.
Kopiert ein Nutzer eine Bitcoin- oder Ethereum-Adresse, um eine Zahlung vorzubereiten, kann die Malware die Adresse demnach austauschen. Wird die veränderte Adresse anschließend in eine Transaktion eingefügt, können die Gelder an die von den Angreifern hinterlegte Zieladresse weitergeleitet werden. Der Ablauf betrifft somit den Moment, in dem eine Wallet-Adresse auf einem kompromittierten Gerät kopiert und eingefügt wird.
15.000 infizierte Rechner und 150.000 US-Dollar Diebstahl
CrowdStrike bezifferte den nachweisbaren Krypto-Diebstahl im vorangegangenen Achtjahreszeitraum auf mindestens 12,1 Millionen Rubel beziehungsweise rund 150.000 US-Dollar. Diese Summe ist von einer weiteren Kennzahl zu unterscheiden: Der Wert der damit verbundenen, bislang nicht ausgegebenen digitalen Vermögenswerte erreichte im Januar 2025 laut CrowdStrike einen Höchststand von etwa 1,5 Millionen US-Dollar. Dieser Wert entspricht nicht der ausgewiesenen Diebstahlsumme.
Nach Angaben von Behörden und CrowdStrike bildeten rund 15.000 infizierte Computer ein Peer-to-Peer-Botnet. Die Systeme prüften demnach alle 40 Minuten, ob sie online waren. Die Mitteilungen nennen diese dezentrale Netzwerkstruktur als Teil der technischen Funktionsweise von Sality.
Warnsignal für Wallet- und Transaktionssicherheit
Der Fall verdeutlicht das Risiko von Malware auf Endgeräten bei der Vorbereitung von Krypto-Transaktionen. Eine manipulierte Zwischenablage kann dazu führen, dass die kopierte Empfängeradresse nicht mehr mit der Adresse übereinstimmt, die in der Transaktion eingefügt wird.
Bei der Übertragung von Kryptowerten ist es daher sinnvoll, die Empfängeradresse vor dem Absenden mit der vorgesehenen Adresse abzugleichen. Besonders relevant ist dies, wenn eine Adresse kopiert und anschließend in eine Wallet oder Transaktionsmaske eingefügt wird.
Was Anleger jetzt beobachten sollten
Die Operation stört laut den vorliegenden Angaben die Kommunikation der Betreiber mit infizierten Maschinen. Zugleich belegen die veröffentlichten Informationen keine vollständige Beseitigung der Sality-Infrastruktur. Das Risiko kompromittierter Geräte und unbemerkter Änderungen von Wallet-Adressen bleibt daher ein zentraler Aspekt bei Krypto-Transaktionen.
Weitere technische Details könnten von CrowdStrike, der Shadowserver Foundation oder den beteiligten Behörden veröffentlicht werden. Für Nutzer bleibt entscheidend, Empfängeradressen vor dem Absenden einer Transaktion sorgfältig zu überprüfen, insbesondere nach dem Einfügen einer zuvor kopierten Adresse.
Zuletzt aktualisiert am 3. September 2026
Bitcoin Hyper: Innovative Layer-2-Lösung für Bitcoin
- Extrem niedrige Gebühren – ideal für Mikrozahlungen
- Blitzschnelle Bitcoin-Transaktionen dank Layer-2-Technologie
- Bitcoin meets DeFi: Staking, DEX, Smart Contracts
Fragen und Antworten
Sie haben eine Frage? Unser Experten-Panel beantwortet gerne Ihre Fragen.