Was sind Krypto-Phishing und Wallet Drainer?

Krypto-Phishing ist Betrug durch Nachahmung. Ein Betrüger gibt sich als vertrauenswürdige Krypto-Börse, Wallet oder App aus, um eines von zwei Dingen zu erhalten: die geheimen Wörter, mit denen sich eine Wallet steuern lässt, oder die Zustimmung des Besitzers zu einer Transaktion, die das Guthaben übergibt. Ein Wallet Drainer ist die Software, die die zweite Aufgabe übernimmt.

Wie funktioniert Krypto-Phishing?

Der Köder kommt als E-Mail, SMS, Antwort in sozialen Medien, Suchanzeige oder Direktnachricht. Er warnt vielleicht vor einem Sicherheitsproblem, kündigt eine kostenlose Token-Verteilung an, einen sogenannten Airdrop, oder bietet Hilfe von „Support-Mitarbeitern“ an. Der Link führt zu einer Website, die fast genauso aussieht wie die echte.

Von dort nimmt der Betrug einen von zwei Wegen. Im ersten Fall fordert die Website dazu auf, die Seed-Phrase einzugeben, also die 12 oder 24 Wörter, mit denen eine Wallet gesichert ist. Wer diese Wörter kennt, hat die volle Kontrolle über die Wallet. Im zweiten Fall soll die Wallet verbunden und eine Anfrage bestätigt werden.

Was ist ein Wallet Drainer?

Ein Drainer ist ein Skript, das in eine gefälschte Website eingebaut ist. Er zeigt eine Freigabeanfrage, die als etwas Harmloses getarnt ist, etwa „Claim“, „Verifizieren“ oder „Anmelden“.

Der Trick beruht auf einer normalen Funktion. Apps auf Netzwerken wie Ethereum brauchen eine Erlaubnis, bevor sie die Token eines Nutzers bewegen dürfen. Nutzer erteilen sie, indem sie eine Freigabe signieren. Ein Drainer fordert genau diese Art von Erlaubnis an, oft ohne Ausgabelimit. Ist sie signiert, kann der Angreifer die Token ohne weitere Nachfrage abziehen.

Was ist Address Poisoning?

Diese Masche zielt auf Gewohnheiten. Ein Angreifer sendet eine Transaktion über einen winzigen Betrag oder ganz ohne Wert von einer Adresse, die mit denselben Zeichen beginnt und endet wie eine Adresse, die das Opfer schon einmal genutzt hat. Diese Transaktion steht dann im Verlauf des Opfers.

Später kopiert das Opfer aus diesem Verlauf eine scheinbar bekannte Wallet-Adresse und sendet echtes Guthaben an den Angreifer.

Wie lässt sich eine Anfrage vor dem Signieren prüfen?

Sicherheitsforscher und Wallet-Hersteller verweisen auf dieselben Gewohnheiten:

• Die Seed-Phrase ist tabu. Keine echte Krypto-Börse, kein Wallet-Hersteller und kein Support-Mitarbeiter fragt danach. Eine solche Anfrage ist immer Betrug.
• Die Webadresse prüfen. Eine Website über ein gespeichertes Lesezeichen aufzurufen ist sicherer, als einem Link aus einer Anzeige, E-Mail oder Nachricht zu folgen.
• Die Anfrage lesen. Die Wallet zeigt, welche Website anfragt und was sie will. Um eine Seite anzusehen oder den Besitz nachzuweisen, ist keine Freigabe zum Ausgeben von Token nötig.
• Die ganze Adresse prüfen. Übereinstimmende erste und letzte Zeichen reichen nicht.
• Alte Freigaben überprüfen. Erlaubnisse, die Apps erteilt wurden, bleiben aktiv, bis sie widerrufen werden.

Eine Hardware-Wallet hält die Schlüssel offline und zeigt Transaktionsdetails auf einem eigenen Bildschirm an. Wer eine bösartige Anfrage bestätigt, ist aber auch damit nicht geschützt.