Die Malware GhostClaw stiehlt verschlüsselte Wallet-Daten von Entwicklern über ein npm-Paket.

PANews berichtete am 23. März, dass laut Cryptopolitan eine neue Malware namens GhostClaw auf verschlüsselte Wallets auf macOS-Geräten abzielt. Diese Malware, die sich als legitimes OpenClaw CLI-Tool tarnte, existierte eine Woche lang im npm-Registry und infizierte 178 Entwickler, bevor sie am 10. März entfernt wurde. Sobald ein Entwickler den Befehl „npm install" ausführt, installiert ein verstecktes Skript das GhostClaw-Paket global und umgeht die Erkennung durch verschleierte Konfigurationsdateien.

GhostClaw scannt die Zwischenablage alle drei Sekunden und erfasst verschlüsselte Wallet- und transaktionsbezogene Daten wie private Schlüssel, mnemonische Phrasen und öffentliche Schlüssel. Nach dem Herunterladen der Payload in der zweiten Phase scannt GhostLoader verschlüsselte Wallet-Daten im Chromium-Browser, macOS Keychain und Systemspeicher, klont Browser-Sitzungen, um Zugriff auf eingeloggte Wallets zu erhalten, und stiehlt API-Tokens, die mit KI-Plattformen wie OpenAI und Anthropic verbunden sind. Die gestohlenen Daten werden über Telegram, GoFile und Befehlsserver an die Angreifer gesendet.