SlowMist waarschuwt macOS-gebruikers: MacSync Stealer kaapt Telegram-sessies en leegt cryptowallets

Het beveiligingsmonitoringsysteem MistEye van SlowMist heeft een macOS-infostealer betrapt — gedoopt MacSync Stealer — die Telegram-sessies kaapt en cryptowallets volledig leeghaalt, en dat is een acuut probleem voor iedereen die crypto beheert op Apple-hardware. De malware, gedocumenteerd in een technische analyse van SlowMist, dringt binnen via ClickFix-achtige malvertising en valse download-pagina’s voor applicaties, waaronder nagemaakte sites van de AI-assistent Claude die gebruikers manipuleren om de payload zelf uit te voeren. De schade wordt door jou aangericht. De pagina vertelt je alleen hoe.

Bitcoin

BTC

Bekijk coin →

$80.965,00 ▼1,62%

Marktkapitalisatie · $1.63T

De Telegram-invalshoek is wat dit onderscheidt van een standaard diefstal van inloggegevens. Diefstal van sessietokens trekt zich niets aan van je wachtwoord of je 2FA-code — een aanvaller met een geldig sessietoken loopt zo je account binnen zonder een van beide aan te raken, en vandaar is het een kleine stap naar social engineering richting je contacten, het resetten van gekoppelde diensten, of zich voordoen als jou in de crypto-DM’s waar echt geld van eigenaar wisselt.

Twee sporen aan de cryptokant

Allereerst ontsleutelt de malware cryptowallets die op de besmette machine zijn opgeslagen, waarmee private keys en saldi rechtstreeks worden blootgelegd. Ten tweede — en dit is waar mensen die denken voorzichtig te zijn in trappen — vragen valse app-meldingen gebruikers om hun seed of recovery phrase van hun wallet handmatig in te typen, waarna die woorden worden buitgemaakt voor een directe overname. Twaalf of vierentwintig woorden ingevoerd in een melding die wordt getriggerd door niet-vertrouwde software betekent een complete overdracht van tegoeden, punt. Cyberpress meldt dat MacSync Stealer breed inloggegevens buitmaakt, niet alleen Telegram-data; het is een algemene infostealer met een crypto-gerichte payload erbovenop.

Het macOS-probleem

Zowel Jamf als SlowMist hebben een MacSync-variant gesignaleerd die de ingebouwde verdediging van Apple omzeilt — iets om bij stil te staan voor iedereen die het platform lange tijd als inherent veiliger dan Windows voor cryptoactiviteiten heeft beschouwd. De campagne zet technieken op basis van AppleScript in, consistent met onderzoek dat Netskope Threat Labs in april 2026 publiceerde over macOS ClickFix-lokaas dat een AppleScript-stealer met persistente remote-access-mogelijkheden plaatst. Het tijdperk van “Macs krijgen geen malware” is voorbij.

Marktomstandigheden vergroten het risico

De marktomstandigheden van dit moment vormen precies de omgeving waarvoor dit soort aanval is ontworpen. De Fear & Greed Index staat op 27/100 — diep in Fear-territorium — terwijl BTC$80.965,00▼1,62% wordt verhandeld op $62.832, een daling van 1,87% over 24 uur, en de totale cryptomarktkapitalisatie op $2.246,99 miljard staat, 1,7% lager op de dag. Angstige houders die scrollen op zoek naar rendement, airdrops, of welk hulpmiddel dan ook dat een voordeel belooft, vormen precies de doelgroep waarvoor ClickFix-lokaas en valse download-pagina’s zijn gebouwd. Dalende koersen, zure sentiment, en een valse Claude-downloadpagina die AI-gestuurde handelsinzichten belooft op één klik afstand — dat is het scenario waar MacSync Stealer omheen is gebouwd.

Een functionerende commerciële markt voor macOS-stealers

Ook dit is geen nieuw terrein. De eerdere Atomic macOS Stealer — AMOS — werd op Telegram verkocht voor $1.000 per maand en richtte zich op keychain-wachtwoorden, systeeminformatie en gegevens van cryptowallets, en bewees dat er een functionerende commerciële markt bestaat voor macOS-specifieke cryptostealers, waarbij ontwikkelaars toegang in licentie geven aan affiliates die de malware verspreiden via phishing en malvertising. MacSync Stealer past in hetzelfde sjabloon: capabel, multi-vector, en geoptimaliseerd om een gecompromitteerde machine snel te gelde te maken.

Het aanvalsoppervlak reikt ver voorbij macOS. Een man uit Florida werd onlangs aangeklaagd in een zaak rond crypto-stelende malware die verstopt zat in Steam-games — een herinnering dat kwaadwillenden zich verspreiden over elk platform waar cryptohouders kunnen worden verleid om niet-vertrouwde code uit te voeren: gameclients, productiviteitstools, AI-assistenten, noem maar op. De analyse van Mallory AI over MacSync Stealer maakt hetzelfde punt: aanvallers hebben geen exotische zero-days meer nodig. Gebruikers downloaden en voeren kwaadaardige software vrijwillig uit als het lokaas overtuigend genoeg is. Dat is de hele truc.

Verdedigingshouding voor macOS-cryptohouders

De verdedigingshouding voor macOS-cryptohouders is simpel te formuleren en lastig vol te houden. Typ nooit een recovery phrase in bij welke app-melding dan ook — nooit, geen enkele keer, om geen enkele reden. Behandel elke downloadpagina die je bereikt via een advertentie, een Telegram-LINK$12,23▼2,50%, een Discord-bericht of een post op X als niet-vertrouwd totdat je de bron onafhankelijk hebt geverifieerd; haal applicaties alleen op bij officiële ontwikkelaarssites of de Mac App Store. En handel snel als iets verdacht aanvoelt — een gecompromitteerde Telegram-sessie kan binnen enkele minuten worden ingezet om contacten te benaderen voor secundaire wallet-overnames, dus snelle intrekking van de sessie is belangrijker dan de meeste mensen beseffen.

De bekendmaking van SlowMist bevat geen aantallen slachtoffers en geen cijfer voor de totale via MacSync Stealer gestolen tegoeden. Wat het onderzoek wel duidelijk uiteenzet, is de methodologie: valse downloadpagina’s, diefstal van sessietokens, ontsleuteling van wallets, phishing van seed phrases, allemaal verpakt in een vorm die langs de verdediging van macOS glipt. Het volgende om in de gaten te houden is of Apple een detectie-update uitbrengt voor de door Jamf en SlowMist gesignaleerde MacSync-variant, en of aanvullende beveiligingsleveranciers het bereik van de campagne bevestigen naarmate indicatoren van compromittering circuleren binnen de threat-intelligencegemeenschap.